強い会社の着眼点（第37回） サイバー攻撃者に狙われやすい企業の特徴10選

　サイバーセキュリティの脅威は、AIを悪用した攻撃など手口が複雑化・多様化している。どんな脅威が増えているかを知るには、独立行政法人情報処理推進機構（IPA）が毎年発表している「情報セキュリティ10大脅威」が参考になる。ここでは狙われやすい中小企業の10の特徴を挙げる。

なぜ今、「狙われやすさの兆候」を知る必要があるのか

　特に注意してもらいたいのは、中小企業が狙われている実態だ。冷徹に結果を求める攻撃者は、企業規模ではなく防御の弱いところを攻撃してくる。例えば、警察庁によると、令和7年も前年に引き続き、ランサムウエア攻撃の被害企業の約6割を中小企業が占めた（「令和７年におけるサイバー空間をめぐる脅威の情勢等について」p14）。

　サイバー攻撃者は「守りの甘さ」を選んで攻撃するため、「自社には関係ない」と思っている企業ほど対策が遅れ、被害を受けたときのダメージも大きい。自社に当てはまる兆候をあらかじめ把握し、優先的に対処することが、被害を防ぐ第一歩となる。

狙われやすい企業の10の特徴

特徴1　「自社は狙われない」と考えている

　「うちには狙われるような情報はない」という思い込みは、防御に隙を生む最大の要因だ。サイバー攻撃者は中小企業が保有する情報だけでなく、防御の弱い企業を踏み台にして、大企業や官公庁の情報を狙うケースもある。規模の大小にかかわらず、すべての企業が攻撃対象になり得ると認識することが重要だ。

特徴2　経営層の関与が弱く、対策が担当者任せになっている

　経営者がサイバーセキュリティリスクを自社の重要課題と認識していなければ、組織全体が無関心になりやすい。担当者が対応しようとしても現場の協力が得られず、対策が不完全なまま放置されてしまう。セキュリティ対策は経営層が主導して推進すべき経営課題の1つだ。

特徴3　情報システムの専門人材や予算が不足している

　ITに詳しい人が兼務で担当する体制では、サイバー攻撃の変化についていけない。その結果、最新の対策を取り入れられず、防御体制が不十分になる恐れがある。また、セキュリティ対策には相応の予算が必要であることも理解しておきたい。

特徴4　古いOS・ソフトウエア・VPN機器を使い続けている

　サイバー攻撃者はどこに隙があるかを洗い出し、そこを攻撃の標的に選ぶ。OSやソフトウエアがアップデートされていないとウイルスなどに感染する恐れがある。また、VPN機器はランサムウエアの主な侵入経路の1つであり、常に最新の状態に保つことが不可欠だ。

特徴5　ID・パスワード管理やアクセス制御が十分でない

　パスワードが盗み取られたり、ウェブサービスから流出したりすることで、情報漏えいにつながるケースは後を絶たない。最近では生成AI（Generative AI）を悪用してパスワードを推測・解析する手口も登場しており、不正アクセスのリスクに拍車をかけている。多要素認証の導入やアクセス権限の定期的な見直しが有効な対策となる。

特徴6　脅威情報や注意喚起が社内で共有されていない

　サイバー攻撃にはトレンドがある。新たな脅威が発生して一気に広がることも多い。IPAや警察庁などが発信する最新の動向を取り込み、社内で共有する仕組みがなければ、大きな被害を受けるリスクが高まる。

特徴7　従業員のセキュリティ教育が不足している

　セキュリティ教育が行き届いていないと、不審なメールの添付ファイルを開いてしまったり、リスクのあるサイトを業務中に閲覧してしまったりするケースが起きやすい。従業員自身が最大の脆弱性になってしまう事態を防ぐには、定期的な教育と訓練が欠かせない。

特徴8　異常の検知、バックアップ、復旧準備が不十分である

　ウイルス対策ソフトはセキュリティの基本だ。IDやパスワードを盗み取ったり、端末を遠隔操作したりするウイルスが増えているため、最新の状態での運用が求められる。また、ファイルを暗号化するランサムウエアへの対策として、バックアップの定期取得と迅速な復旧手順の整備も必須だ。

特徴9　事故発生時の対応計画や相談先が決まっていない

　万一に備えたBCP（事業継続計画）を整備していなければ、事故発生時の対応が遅れ、被害拡大につながる。緊急時の連絡網、現場での対応手順、アドバイスを求める専門家などをあらかじめ決めておく必要がある。

特徴10　サプライチェーンの弱点になっている

　中小企業はサプライチェーン全体のセキュリティレベルを担保する役割も担っている。取引先に一定のセキュリティ対策を求める大企業も見られるようになっているが、セキュリティ体制が不十分な中小企業は、サプライチェーン全体の弱点となり、サイバー攻撃者に狙われやすい状況にある。

自社に当てはまる項目があったら、何から見直すべきか

　10の特徴のいくつかに当てはまる企業も多いのではないだろうか。いきなり全項目に対応しようとしても、コスト面から現実的でない場合もある。まず自社の現状をしっかり把握した上で、優先度の高いリスクから順に対処することが重要だ。

まずは「現状把握」と「相談先の確保」から始めよう

　対策の第一歩は、現状を正確に把握することだ。その上で、専門的なアドバイスを受けられる相談先を確保しておきたい。IPAが提供する「中小企業の情報セキュリティ対策ガイドライン」なども活用しながら、デジタル時代にビジネスを展開するプレイヤーとして、狙われにくい企業へと着実に変わっていくことをめざしてほしい。

※掲載している情報は、記事執筆時点のものです。