なぜ小さな会社も狙われる？中小企業へのサイバー攻撃が起きる仕組みと狙われやすい入口

「うちのような小さな会社を、わざわざ狙う人はいないだろう」

情報セキュリティの話をすると、このように考える経営者の方は少なくありません。

確かに、ニュースで大きく報道されるのは、有名企業や大規模な組織へのサイバー攻撃が中心です。

そのため、

• うちは有名な会社ではない
• 社員も数人しかいない
• 特別な技術情報を持っているわけでもない
• 個人事業だから攻撃するメリットがない

と考えてしまうのも無理はありません。

しかし、ここで知っておきたいことがあります。

サイバー攻撃では、必ずしも「価値の高い会社」だけが狙われるわけではありません。

攻撃者にとって重要なのは、会社の知名度や従業員数ではなく、

「侵入できるところがあるか」

です。

言い換えれば、

「大きい会社だから狙われる」のではなく、「入れるところがある会社が被害に遭う」

と考えた方が、現在のサイバー攻撃を理解しやすくなります。

Day1では、情報セキュリティを単なるITコストではなく、事業継続や取引先からの信用を守るための経営課題として考える必要性を紹介しました。

今回はもう一歩進んで、

• なぜ中小企業や個人事業主も攻撃対象になるのか
• 実際にはどこから侵入されるのか
• なぜ「怪しいメールを開かなければ大丈夫」では足りないのか
• 経営者は何を確認すればよいのか

を、できるだけ専門用語を使わずに整理していきます。

Quick Answer：攻撃者は「会社の大きさ」より「入りやすい入口」を探している

中小企業がサイバー攻撃の対象になる理由は、「その会社自体が有名だから」とは限りません。

攻撃者は、インターネット上にある多くの会社やサービスの中から、

• 古い機器やソフトウェアを使っている
• パスワード管理が弱い
• 多要素認証が設定されていない
• 公開しているシステムに弱点がある
• 社員が偽メールに気づきにくい
• 退職者のアカウントが残っている

といった「入りやすい場所」を狙うことがあります。

さらに、中小企業そのものではなく、その先にいる取引先へ近づくための入口として狙われる可能性もあります。

つまり、

「狙われるほど大きな会社ではない」ではなく、「攻撃者が利用できる入口がないか」を考えることが重要です。

目次

• なぜ小さな会社でも攻撃対象になるのか
• 攻撃者が1社ずつ会社を調べているとは限らない
• 中小企業で注意したい代表的な6つの入口
• 入口1：メール・フィッシング
• 入口2：パスワードとアカウント
• 入口3：更新されていない機器やソフトウェア
• 入口4：リモート接続や外部から使える仕組み
• 入口5：クラウドサービス
• 入口6：人と社内運用
• 侵入されたあとに起きるランサム攻撃とは
• なぜ取引先を巻き込む問題になるのか
• 経営者が最初に確認したいポイント

なぜ小さな会社でも攻撃対象になるのか

まず知っておきたいのは、サイバー攻撃にはさまざまなタイプがあるということです。

特定の大企業を調べ上げて狙うような攻撃もあります。

しかし一方で、インターネット上から攻撃できそうな会社やアカウントを広く探し、侵入できるところを攻撃する手口もあります。

この場合、会社の売上規模や社員数は必ずしも重要ではありません。

例えば、会社の玄関に鍵がかかっているかどうかを、片っ端から確認して回る泥棒をイメージすると分かりやすいかもしれません。

泥棒が、

「この家は小さいから入るのをやめよう」

と判断するとは限りません。

むしろ、

「鍵が開いている」

「窓が閉まっていない」

「人がいない」

と分かれば、そこが狙われる可能性があります。

サイバー攻撃も似ています。

会社の規模ではなく、「攻撃できる弱い部分が残っているか」が問題になる場合があります。

攻撃者が1社ずつ会社を調べているとは限らない

「でも、世界中に会社があるのに、どうやってうちを見つけるの？」

と思う方もいるでしょう。

ここが、情報セキュリティを考えるうえで非常に重要なポイントです。

攻撃者が最初からあなたの会社名を知っている必要はありません。

インターネット上に公開されているシステムやサービス、メールアドレスなどを広く探し、攻撃できそうな場所を見つける方法があります。

つまり、攻撃者が一社一社を丁寧に調査して、

「今日はこの会社を狙おう」

と決めているとは限らないのです。

たとえば、あなたの会社が面識のない相手から迷惑メールを受け取った経験があるなら、似た考え方をイメージしやすいでしょう。

送信者は、必ずしもあなた個人を知っているわけではありません。

大量に送ったメールの中から、反応する人を探している場合があります。

サイバー攻撃でも、同じように「広く探し、その中から侵入できる場所を見つける」という考え方があります。

そのため、

「知られていない会社だから安全」

という考え方は、安全を判断する材料としては十分ではありません。

IPAが示す「組織が注意すべき脅威」

独立行政法人情報処理推進機構（IPA）が公表した「情報セキュリティ10大脅威 2026」では、組織向けの脅威として、次のようなものが挙げられています。

• ランサム攻撃による被害
• サプライチェーンや委託先を狙った攻撃
• AIの利用をめぐるサイバーリスク
• システムの弱点を悪用した攻撃
• 機密情報を狙った標的型攻撃
• 内部不正による情報漏えい
• リモートワークなどの環境や仕組みを狙った攻撃
• ビジネスメール詐欺

特に注目したいのは、

「ランサム攻撃による被害」が1位、「サプライチェーンや委託先を狙った攻撃」が2位

となっている点です。

この2つは、2023年から2026年まで4年連続で1位・2位となっています。

つまり、単に「ウイルスに感染する」という問題だけではなく、

業務停止や取引先への影響まで含めて考える必要性が高まっているということです。

中小企業で注意したい代表的な6つの入口

では、実際にどこから問題が起きるのでしょうか。

ここでは、中小企業や個人事業主が特に確認しておきたい入口を6つに分けて考えてみます。

1. メール・フィッシング
2. パスワードとアカウント
3. 更新されていない機器やソフトウェア
4. リモート接続や外部から利用できる仕組み
5. クラウドサービス
6. 人と社内運用

重要なのは、

「怪しいメールさえ開かなければ安全」という話ではない

ということです。

入口は一つではありません。

入口1：メール・フィッシング

まず、多くの人がイメージしやすいのがメールです。

例えば、

• 取引先を装ったメール
• 配送会社を装った連絡
• 金融機関を装ったメール
• クラウドサービスからの通知を装ったメール
• 請求書や見積書を装った添付ファイル
• 社長や上司を装った送金依頼

などがあります。

以前は、文章が不自然だったり、明らかに怪しい日本語だったりして、比較的見抜きやすいメールも多くありました。

しかし現在では、本物の通知に似た内容や、自然な文章で作られたメールもあります。

さらに、生成AIなどの技術が広がることで、不自然な文章かどうかだけを頼りに判断することは、ますます難しくなっています。

メールに書かれているリンクをクリックし、本物そっくりのログイン画面でIDとパスワードを入力してしまえば、その情報が盗まれる可能性があります。

ここで重要なのは、

「社員が気をつければいい」だけで終わらせないこと

です。

人間は忙しいときほど確認を省略します。

月末の請求処理中、顧客対応中、移動中、スマートフォンで確認しているときなどは、誰でも判断を間違える可能性があります。

そのため、

• 多要素認証を利用する
• 送金依頼は別の方法で確認する
• メールのリンクから直接ログインしない
• 怪しいメールを相談できるルールを作る

など、人が失敗しても被害になりにくい仕組みを作ることが大切です。

入口2：パスワードとアカウント

次に確認したいのが、パスワードとアカウントです。

中小企業では、業務の効率を優先するあまり、

• 複数のサービスで同じパスワードを使う
• 複数人で同じアカウントを共有する
• 退職した人のアカウントがそのまま残る
• 管理者権限を必要以上の人に与える
• 簡単なパスワードを長期間使う

といった状態が起こることがあります。

一つのサービスからIDやパスワードが知られてしまった場合、その組み合わせを別のサービスでも試される可能性があります。

例えば、会社で利用しているメール、クラウドストレージ、会計サービス、オンラインショップ、SNSなどで同じパスワードを使っていた場合です。

一つが突破されることで、複数のサービスへ被害が広がる可能性があります。

特にメールアカウントは注意が必要です。

なぜなら、多くのサービスでは「パスワードを忘れた場合」の再設定メールが、登録メールアドレスに届くからです。

つまり、会社のメールアカウントを乗っ取られると、他のサービスまで乗っ取られるきっかけになる可能性があります。

その意味で、メールは単なる連絡手段ではありません。

さまざまなサービスの「鍵を管理する場所」になっている場合があるのです。

多要素認証は、なぜ重要なのか

そこで重要になるのが、多要素認証です。

多要素認証とは、パスワードだけではなく、別の確認方法を組み合わせて本人確認をする仕組みです。

例えば、

• 認証アプリによる確認
• スマートフォンへの通知
• セキュリティキー

などがあります。

仮にパスワードが知られても、それだけではログインできない状態にすることで、不正ログインのリスクを下げられます。

もちろん、多要素認証を設定すればすべての攻撃を防げるわけではありません。

しかし、重要なアカウントをパスワードだけで守るよりも、追加の防御を設けることができます。

特に、

• メール
• Microsoft 365やGoogle Workspaceなどの業務サービス
• クラウドストレージ
• 会計・決済サービス
• サーバー管理画面

など、重要な情報につながるアカウントから優先して確認したいポイントです。

入口3：更新されていない機器やソフトウェア

「パソコンは普通に動いているから、問題ない」

この考え方にも注意が必要です。

パソコン、サーバー、ルーター、VPN機器、Webシステム、ソフトウェアなどでは、後から安全上の問題が見つかることがあります。

こうした安全上の弱点を「脆弱性」と呼びます。

難しく考える必要はありません。

建物でいえば、

「後から見つかった、壊れやすい鍵や窓」

のようなものです。

メーカーや開発会社は、その問題を修正するために更新プログラムを提供することがあります。

しかし、更新せずに古い状態で使い続けていると、知られている弱点がそのまま残ってしまう場合があります。

特に注意したいのは、

• 長期間更新していないパソコン
• サポートが終了したOS
• 古いルーター
• 使っていることを忘れているサーバー
• 更新されていないWebサイトのシステム
• 古いVPNやリモート接続機器

です。

IPAの「情報セキュリティ10大脅威 2026」でも、「システムの脆弱性を悪用した攻撃」が組織向け脅威の一つに挙げられています。

ここで経営者がすべての専門用語を覚える必要はありません。

まずは、

「会社に何の機器があり、誰が更新を確認しているのか」

を把握できているかが重要です。

入口4：リモート接続や外部から使える仕組み

働き方の変化によって、社外から会社のシステムへ接続する機会が増えています。

これは便利な一方で、外部から利用できる入口が増えるということでもあります。

例えば、

• VPN
• リモートデスクトップ
• 社外から利用できる管理画面
• 遠隔保守サービス
• NAS
• クラウド上の管理システム

などです。

これらの仕組みそのものが危険という意味ではありません。

問題は、

• 初期設定のまま使っている
• 古い機器を更新していない
• 弱いパスワードを使っている
• 多要素認証を利用していない
• 誰が利用できるか把握できていない

といった状態で放置されることです。

「昔、取引していた業者に設定してもらったけれど、その後どうなっているか分からない」

という環境は特に確認が必要です。

便利な入口は、社員だけでなく攻撃者から見ても入口になる可能性があります。

入口5：クラウドサービス

現在、多くの中小企業がクラウドサービスを利用しています。

例えば、

• メール
• ファイル共有
• 会計
• 顧客管理
• チャット
• オンライン会議
• 請求書発行
• 勤怠管理

などです。

クラウドサービスを使えば、自社でサーバーを管理する負担を減らせる場合があります。

しかし、

「クラウドだから、自社では何もしなくていい」

というわけではありません。

サービス提供会社がシステムを守っていても、自社側のアカウント管理が弱ければ問題が起きる可能性があります。

例えば、

• 退職者のアカウントが残っている
• 共有アカウントを複数人で利用している
• 誰でも重要データを見られる設定になっている
• 多要素認証を設定していない
• 管理者アカウントを日常業務でも使っている

といったケースです。

クラウドサービスを使う場合には、

「サービス会社が守る部分」と「自社が管理する部分」の両方がある

と考えると分かりやすいでしょう。

入口6：人と社内運用

セキュリティというと機械の問題に見えますが、実際には人や日々の運用も重要です。

例えば、

• 間違った相手にメールを送る
• 重要なファイルを誤って共有する
• USBメモリを紛失する
• 退職者の権限を削除し忘れる
• 紙に書いたパスワードを見える場所に置く
• 個人のクラウドサービスへ業務データを保存する

といったことも情報漏えいのきっかけになります。

ここで避けたいのは、事故が起きるたびに、

「社員の注意が足りなかった」

と個人の責任だけにすることです。

人は間違えます。

大切なのは、

人が間違えても、大きな事故になりにくい仕組みを作ること

です。

例えば、

• 不要な人には重要情報への権限を与えない
• 退職時のアカウント削除手順を決める
• 重要な送金は複数人で確認する
• 怪しいメールを受け取ったときの相談先を決める
• 重要データのバックアップを取る

といった仕組みに変えていくことが重要です。

侵入されたあとに起きる「ランサム攻撃」とは

最近よく聞く言葉に「ランサムウェア」があります。

難しい言葉ですが、経営者としては、

「会社のデータやシステムを使えない状態にされ、事業へ大きな影響が出る可能性がある攻撃」

と理解しておけばよいでしょう。

攻撃の内容によっては、

• ファイルが開けない
• 受発注システムが利用できない
• 工場や店舗の業務が止まる
• 顧客対応ができない
• 会計データへアクセスできない
• 取引先へ納品できない

といった状態になる可能性があります。

さらに、データを使えなくするだけでなく、盗み出した情報の公開を材料に金銭を要求するタイプもあります。

IPAの「情報セキュリティ10大脅威 2026」では、ランサム攻撃による被害が組織向け脅威の1位となっています。

2026年版で初めて1位になったわけではなく、2023年以降4年連続で1位です。

経営者がここで見るべきなのは、攻撃方法の細かな技術ではありません。

重要なのは、

「もし明日の朝、会社のデータが使えなくなったら、仕事を続けられるか」

という問いです。

バックアップがあれば絶対に大丈夫、でもない

ランサム攻撃への対策として、バックアップは非常に重要です。

ただし、

「バックアップを取っているから大丈夫」

と考えるだけでは不十分な場合があります。

確認したいのは、

• 何をバックアップしているか
• どのくらいの頻度で保存しているか
• バックアップまで同時に被害を受けないか
• 実際に復元したことがあるか
• 復元にどの程度の時間がかかるか

です。

例えば毎日バックアップを取っていても、復元方法を誰も知らなければ、事故発生時に業務をすぐ再開できないかもしれません。

また、バックアップ先まで同時に被害を受ければ、復旧に使えない可能性があります。

したがって、

「バックアップを取ること」と「バックアップから戻せること」は別の話

として考える必要があります。

なぜ取引先を巻き込む問題になるのか

Day1でも触れましたが、ここでサプライチェーンの問題が出てきます。

サプライチェーンという言葉は難しく感じるかもしれません。

簡単に言えば、

商品やサービスを届けるまでにつながっている会社同士の関係

です。

例えば、一つの商品を作る場合でも、

• 材料を供給する会社
• 部品を作る会社
• 加工する会社
• 物流会社
• システムを管理する会社
• 販売する会社

など、多くの企業が関係しています。

そして現在では、それぞれの会社がメールやクラウド、受発注システムなどを通じてつながっています。

そのため、一社で起きた問題が他社へ広がる可能性があります。

IPAが全国の中小企業4,191社を対象に実施した「2024年度 中小企業における情報セキュリティ対策に関する実態調査」でも、サプライチェーン上の弱点を狙い、攻撃対象への侵入を図るサイバー攻撃が問題になっていることが指摘されています。

中小企業の対策が不十分な場合、

• 自社の業務が止まる
• 重要情報が流出する
• 製品やサービスの供給が止まる
• 取引先の仕事へ影響する
• 自社が取引先への攻撃の入口として悪用される

可能性があります。

ここが、経営者にとって非常に重要なポイントです。

セキュリティ対策は「自社の情報を守るためだけ」のものではありません。

取引先へ迷惑をかけないための対策でもあります。

「うちには重要な情報がない」でも安心できない理由

中小企業の経営者から、

「うちには盗まれるような情報なんてないですよ」

と言われることがあります。

しかし、一度会社の中にあるものを整理してみると、さまざまな情報があります。

例えば、

• 顧客の名前
• 住所
• 電話番号
• メールアドレス
• 請求書
• 見積書
• 契約書
• 仕入価格
• 取引先担当者の連絡先
• 社員情報
• 給与情報
• 銀行関連情報
• メールのやり取り

などがあります。

それだけではありません。

仮に本当に重要な情報がほとんどなかったとしても、会社のメールアカウントやシステムが乗っ取られれば、別の目的に利用される可能性があります。

例えば、取引先から見れば、

「いつもやり取りしている会社のメールアドレス」

から届いたメールは信用しやすいでしょう。

もしそのメールアカウントが悪用されれば、取引先への攻撃に利用される可能性があります。

つまり、攻撃者から見た価値は、

「その会社が持っている秘密情報」だけではない

のです。

説明用の例：ある小さな会社のメールが乗っ取られたら

※以下は仕組みを分かりやすく説明するための仮想ケースです。実在企業の事例ではありません。

社員10人のA社があったとします。

A社は、大手企業B社と継続的に取引しています。

A社には特別な機密技術はありません。

そのため社長は、

「うちは狙われるような会社ではない」

と思っていました。

ある日、A社の経理担当者に、普段利用しているクラウドサービスを装ったメールが届きます。

「アカウントの確認が必要です」

と書かれていたため、担当者はリンクを開きました。

表示されたログイン画面は本物によく似ていました。

担当者はIDとパスワードを入力しました。

その結果、メールアカウントの情報が第三者に知られてしまったとします。

もし多要素認証が設定されておらず、その情報だけでログインできてしまえば、攻撃者はメールの内容を見る可能性があります。

すると、

• どの会社と取引しているか
• 誰が担当者なのか
• どんな請求をしているか
• どのような文面で連絡しているか

などを知られる可能性があります。

そして、その情報を利用して取引先へ本物らしいメールを送られれば、A社だけの問題ではなくなるかもしれません。

ここで重要なのは、A社が攻撃者にとって「最終目的」だったかどうかではありません。

A社が、その先へ進むために利用できる存在だった

という点です。

「怪しいメールに注意してください」だけでは足りない

情報セキュリティ研修で、

「怪しいメールを開かないでください」

と言われた経験がある方も多いでしょう。

もちろん大切です。

しかし、それだけに頼るのは危険です。

なぜなら、社員が100回すべて正しく判断できるとは限らないからです。

忙しい日もあります。

疲れている日もあります。

本当に取引先から荷物が届く予定の日に、配送業者を装ったメールが届くかもしれません。

普段利用しているサービスとよく似た通知が来るかもしれません。

つまり、

「絶対に間違えない人を作る」のではなく、「間違えても被害が広がりにくい環境を作る」

という発想が重要です。

例えば、

• 多要素認証を使う
• 重要データへのアクセス権限を絞る
• バックアップを分けて保存する
• 重要な送金を一人で決めない
• 端末やソフトウェアを更新する
• 困ったときにすぐ相談できる相手を決める

といった対策を組み合わせます。

一つの対策ですべてを防ぐのではなく、複数の壁を作るという考え方です。

経営者が最初に確認したいのは「誰が管理しているか」

ここまで読むと、

「メール、パスワード、クラウド、パソコン、VPN、バックアップ……。結局全部確認しなければいけないのか」

と感じるかもしれません。

しかし、経営者自身が技術の専門家になる必要はありません。

まず確認してほしいのは、

「それぞれを誰が管理しているのか」

です。

例えば、次の質問に答えられるでしょうか。

• 会社のパソコン一覧を誰が把握しているか
• 退職者のアカウントを誰が削除するか
• クラウドサービスの管理者は誰か
• ルーターやネットワーク機器を誰が管理しているか
• Webサイトの更新を誰が管理しているか
• バックアップが正常か誰が確認しているか
• 不審なメールが来たとき誰に相談するか
• 事故が起きたとき最初に誰が判断するか

もし答えが、

「昔の業者に任せたまま」

「たぶん社員の誰か」

「詳しい人がいるので全部その人」

「分からない」

であれば、そこが最初の改善ポイントです。

「詳しい社員に全部任せる」にもリスクがある

小さな会社では、パソコンに詳しい社員が自然にIT担当になることがあります。

これは珍しいことではありません。

しかし、

一人の人しか状況を分かっていない

という状態には注意が必要です。

その社員が、

• 退職した
• 病気で長期休暇に入った
• 急に連絡が取れなくなった

場合、誰も管理方法を知らない状態になる可能性があります。

例えば、

• 管理者パスワードが分からない
• どこにバックアップがあるか分からない
• 契約しているサービスが分からない
• 機器の設定が分からない

といった問題が起こります。

情報セキュリティ対策では、

「誰が詳しいか」だけではなく、「その人がいなくても会社として管理できるか」

という視点も大切です。

個人事業主なら「自分一人だから安全」ではなく「自分が止まると事業が止まる」

個人事業主の方の場合、

「従業員がいないから社内セキュリティは関係ない」

と感じることがあるかもしれません。

しかし、一人で事業をしているからこそ、別の問題があります。

自分自身が業務システムそのものになっていることです。

例えば、

• パソコンが使えない
• メールに入れない
• クラウド上のデータへアクセスできない
• 会計サービスへログインできない
• SNSアカウントが乗っ取られる

といった問題が起きると、そのまま事業停止につながる可能性があります。

大企業であれば別の社員が対応できる仕事も、個人事業では代わりがいません。

だからこそ、

小規模だから対策が不要なのではなく、小規模だからこそ「止まったときの影響」を考える必要があります。

セキュリティ対策は「全部守る」ではなく「重要なところから守る」

ここまで多くの入口を紹介してきました。

すると、

「そんなに全部対策する予算はない」

と思う方もいるでしょう。

その感覚はもっともです。

中小企業が大企業と同じ人員・予算・設備で対策することは現実的ではありません。

だからこそ必要なのが、優先順位です。

例えば、次の会社を考えてみましょう。

• 顧客との連絡のほぼすべてをメールで行っている
• 見積書や契約書をクラウドに保存している
• 会計ソフトもクラウド型
• 社員5人でパソコンを利用している

この会社であれば、最初から高額なセキュリティ製品を購入することより、

• メールの多要素認証
• クラウドの権限設定
• 端末の更新
• バックアップ
• 退職者アカウントの管理

などを優先する方が合理的かもしれません。

一方、工場で古い設備や特殊なシステムを利用している会社では、確認すべきポイントが変わります。

つまり、

「セキュリティ対策は何を買えばいいですか？」と考える前に、「うちの仕事は何に依存しているか」を確認することが重要

なのです。

経営者向け「入口チェック」

ここで、自社の状況を簡単に確認してみましょう。

次の項目について、

「できている」

「できていない」

「分からない」

の3つに分けてみてください。

アカウント

• 重要なメールやクラウドサービスで多要素認証を使っている
• 社員ごとにアカウントを分けている
• 退職者のアカウントを確実に削除している
• 管理者権限を持つ人を把握している

パソコン・機器

• 会社で使っているパソコンの台数を把握している
• OSやソフトウェアを定期的に更新している
• 古いルーターやネットワーク機器を放置していない
• 誰が機器を管理しているか決まっている

データ

• 重要なデータがどこにあるか把握している
• 定期的なバックアップがある
• バックアップから復元できることを確認している
• 誰が重要情報を見られるか把握している

メール・社員対応

• 不審なメールを受け取ったときの相談先が決まっている
• 重要な送金や口座変更は別の方法でも確認している
• セキュリティ事故が疑われたときの連絡先が決まっている

ここで重要なのは、

「できていない」の数だけではありません。

むしろ注目したいのは、

「分からない」がいくつあるか

です。

「分からない」という状態は、何か問題が起きていても気づけない可能性があるからです。

今日できること：会社の「入口」を3つだけ確認する

今日すべてを調べる必要はありません。

まず、次の3つだけ確認してみてください。

1. 会社のメールに多要素認証が設定されているか
2. 退職者や昔の外注先のアカウントが残っていないか
3. 会社で使っているパソコンや機器を誰が管理しているか

この3つのうち、一つでも答えが分からなければ、それを確認するところから始めてください。

セキュリティ対策は、いきなり何十万円、何百万円という製品を導入することから始めなくてもかまいません。

「何を使っているのか」「誰が管理しているのか」「どこが入口なのか」を把握することが第一歩です。

まとめ＋要約

中小企業や個人事業主がサイバー攻撃について考えるとき、

「うちは狙われるほど大きな会社ではない」

という考え方だけで安全性を判断することはできません。

サイバー攻撃では、特定企業を狙うものだけでなく、広く攻撃できそうな場所を探し、侵入できる環境を狙うものもあります。

そのため重要なのは会社の規模より、

「攻撃者から利用できる入口が残っていないか」

という視点です。

代表的な入口には、

• メールやフィッシング
• パスワードやアカウント
• 更新されていない機器・ソフトウェア
• リモート接続
• クラウドサービス
• 人や社内運用

があります。

IPAの「情報セキュリティ10大脅威 2026」でも、「ランサム攻撃による被害」が組織向け脅威の1位、「サプライチェーンや委託先を狙った攻撃」が2位となっています。

つまり、サイバー攻撃は単なるパソコンのトラブルではありません。

被害が発生すれば、

• 仕事が止まる
• 顧客対応ができなくなる
• 納品できなくなる
• 取引先へ影響が広がる
• 信用問題につながる

可能性があります。

だからこそ、中小企業の情報セキュリティ対策では、最初から「完璧に守る」ことを目指す必要はありません。

まず、自社にどんな入口があり、どこに重要な情報があり、誰が管理しているのかを把握する。

そのうえで、事業への影響が大きいところから順番に対策していくことが大切です。

Key Takeaways

• サイバー攻撃は、有名企業だけを狙うとは限らない。
• 会社の規模よりも、侵入に利用できる弱点や入口があるかどうかが問題になる場合がある。
• 攻撃の入口はメールだけではなく、パスワード、古い機器、リモート接続、クラウド、日々の運用など複数ある。
• IPAの「情報セキュリティ10大脅威 2026」では、ランサム攻撃が1位、サプライチェーンや委託先を狙った攻撃が2位となっている。
• 「社員が気をつける」だけでなく、人が間違えても被害が広がりにくい仕組みを作ることが重要。
• 経営者が技術の専門家になる必要はないが、「何を使い、誰が管理しているか」は把握する必要がある。

よくある質問

Q1. 本当に社員数人の会社までサイバー攻撃の対象になるのでしょうか？

会社の規模だけで対象になるかどうかが決まるわけではありません。インターネット上から利用できるシステムやアカウントに弱点があれば、企業規模にかかわらず攻撃を受ける可能性があります。また、その会社自体ではなく、取引先へ近づくための入口として悪用される可能性も考える必要があります。

Q2. ウイルス対策ソフトを入れていれば大丈夫ではないですか？

ウイルス対策ソフトは重要な対策の一つですが、それだけですべてを防げるわけではありません。パスワードの漏えい、不正ログイン、クラウドの設定ミス、古い機器の弱点、メール詐欺など、別の入口もあります。複数の対策を組み合わせることが重要です。

Q3. 多要素認証を設定すれば安全ですか？

多要素認証は、不正ログインへの対策として重要ですが、万能ではありません。ソフトウェアの更新、バックアップ、権限管理、社員への注意喚起など、ほかの対策と組み合わせる必要があります。

Q4. クラウドサービスを使っているので、自社でセキュリティ対策をする必要はありませんか？

クラウド事業者が守る部分はありますが、自社側で管理しなければならない部分もあります。特にアカウント、パスワード、多要素認証、アクセス権限、退職者アカウントなどは、自社で確認する必要があります。

Q5. セキュリティ担当者がいない場合、誰が管理すればよいですか？

専任担当者を置けない会社も珍しくありません。その場合でも、誰が判断するのか、機器やアカウントの管理を誰が担当するのか、困ったときにどの外部事業者へ相談するのかを決めておくことが重要です。すべてを社内だけで解決する必要はありません。

次の記事

ここまでで、

「小さい会社だから狙われないとは限らない」

「攻撃の入口はメールだけではない」

ということが見えてきました。

では次に出てくる疑問は、

「分かった。でも、うちには大きな予算がない。結局どこまでやればいいの？」

ではないでしょうか。

中小企業の情報セキュリティで難しいのは、対策方法を知らないことだけではありません。

限られた予算の中で、

• 何を優先するのか
• 何は後回しにできるのか
• どこまでやれば十分なのか
• 費用対効果をどう考えるのか

を判断することです。

Day3では、「セキュリティ対策にいくらかければいい？中小企業が陥りやすい失敗と、投資の優先順位の考え方」を具体例とともに整理します。

内部リンク案

• 「中小企業が最低限やっておきたい情報セキュリティ対策」→ 最低限の基本対策をまとめた記事
• 「多要素認証とは？パスワードだけでは足りない理由」→ アカウント保護の記事
• 「ランサムウェアとは？中小企業経営者が知っておきたい基礎知識」→ ランサム攻撃の記事
• 「バックアップの正しい考え方」→ データ保護・復旧の記事
• 「退職者アカウントを放置すると何が起きる？」→ アカウント管理の記事
• 「サプライチェーン攻撃とは？」→ 取引先リスクの記事

Sources / Evidence

• 独立行政法人情報処理推進機構（IPA） 「情報セキュリティ10大脅威 2026」 組織向け脅威として「ランサム攻撃による被害」を1位、「サプライチェーンや委託先を狙った攻撃」を2位、「システムの脆弱性を悪用した攻撃」を4位などに選定。2025年に発生した社会的影響の大きい事故・攻撃状況などを基に、研究者・企業実務担当者などによる選考会で決定。
• 独立行政法人情報処理推進機構（IPA） 「2024年度 中小企業における情報セキュリティ対策に関する実態調査」 全国の中小企業4,191社を対象とした調査。サプライチェーン上の弱点を狙う攻撃や、中小企業のセキュリティ不備による取引先への影響、踏み台として利用されるリスクなどの説明に参照。
• 独立行政法人情報処理推進機構（IPA） 「情報セキュリティ10大脅威 2025」 2025年版でも「ランサム攻撃による被害」が1位、「サプライチェーンや委託先を狙った攻撃」が2位であり、2026年版との継続性を確認するために参照。