中小企業がサイバー攻撃の標的になる理由と、最初に確かめたい3つのこと

01被害の報告は、中小企業が多くを占めている

警察庁がまとめた2025年のランサムウェア（データを使えなくして身代金を求める攻撃）の被害報告は226件でした。そのうち中小企業は143件で、前の年と同じく全体の約6割を占めています。

攻撃する側は、会社の名前や規模を見て相手を選んでいるとは限りません。インターネットにつながった機器を機械的に調べ、守りの弱いところを見つけて入り込むやり方も多くあります。会社が小さいことは、狙われない理由にはなりにくいのです。

02狙われやすさは「入口」と「つながり」にある

警察庁の同じ資料では、ランサムウェアの感染経路として多かったのは、社外から社内のネットワークにつなぐためのVPN機器と、離れた場所からパソコンを操作するリモートデスクトップでした。便利な入口ほど、手入れが遅れると入り込まれやすくなります。

もう一つは取引先とのつながりです。IPA（情報処理推進機構）が2024年に中小企業約4,200社に行った調査では、不正アクセスの手口は、機器やソフトの弱点を突かれたものが48.0%、IDやパスワードを盗まれたものが36.8%、取引先などを経由した侵入が19.8%でした。また、被害に遭った企業の約7割が、取引先にも何らかの影響が出たと答えています。IPAの「情報セキュリティ10大脅威 2026」でも、取引先や委託先を狙う攻撃が組織編の2位に挙げられています。

031つ目：外とつながる機器が更新されているか

最初に確かめたいのは、VPN機器やルーター、UTM（社内ネットワークの出入口で通信を見張る機器）など、インターネットとの境目にある機器です。メーカーは弱点が見つかると、それを直す更新を出します。更新が止まったままの機器や、メーカーの更新期間が終わった古い機器は、入口の鍵が古いままになっている状態です。どの機器がどこにあり、誰が更新を担当しているのか。一覧にして書き出すだけでも、見落としに気づけることがあります。設置した業者に任せている場合は、更新の対応がどうなっているかを一度聞いてみるとよいでしょう。

042つ目と3つ目：パスワードとバックアップ

2つ目はパスワードです。同じパスワードを複数のサービスで使い回していると、どこか一か所から漏れたときに、ほかの入口も開けられてしまいます。特に、社外から社内につなぐためのアカウントは、パスワードに加えて、スマートフォンに届く確認コードなどを組み合わせる仕組み（多要素認証）が使えるかどうかを確かめておくと安心です。

3つ目はバックアップです。IPAは2026年3月に「中小企業の情報セキュリティ対策ガイドライン」を改訂し、はじめに取り組んでほしい対策に「バックアップを取ろう！」を加えて「情報セキュリティ6か条」としました。バックアップは、取っているだけでなく、ふだんのネットワークから切り離した場所にも保管されているか、実際に元に戻せるかを試しておくことが大切です。

05一度に全部でなくてよい。できるところから

同じIPAの調査では、過去3期にセキュリティ対策への投資をしていない中小企業は62.6%で、その理由として最も多かったのは「必要性を感じていない」でした。費用や人手の事情はどの会社にもあります。対策をしても被害の可能性がなくなるわけではありませんが、入口の手入れと備えによって、被害を小さくすることはできます。

まずは今日挙げた3つを、社内の誰が把握しているかを確かめるところから始めてみてください。IPAのガイドラインには、中小企業向けに取り組みの順番が分かりやすくまとめられています。自社だけで判断が難しいところは、機器を入れた業者や専門家に相談するのも一つの方法です。（記事の内容は2026年10月時点の公開情報にもとづいています）