DDoS攻撃とは、特定のコンピュータに対し、複数のコンピュータから大量のアクセスを繰り返し行い、サービスの提供をできなくするサイバー攻撃です。定義は警察庁の令和7年の報告によります。
今日やることは、自社のサイトごとに「3時間止まったら誰が困るか」を書くことです。そのうえで、契約中のレンタルサーバー、クラウド、回線の事業者に、DDoS対策が契約に含まれているかを確かめます。
答えが「誰も困らない」なら、高額な製品を比べる前に連絡手段の準備で足ります。
なぜサイトが止まる？
サーバーと回線が処理できる量には上限があります。2025年2月4日の内閣サイバーセキュリティセンターの注意喚起によると、年末年始の一連の攻撃では、IoTボットネットなどが使われ、複数の種類の攻撃が行われました。ルータやIPカメラなどがマルウェアに感染して、攻撃の一部に組み込まれることがあります。
情報を盗む攻撃とは目的が違います。DDoS攻撃そのものの主な被害は、利用できなくなることです。情報セキュリティ10大脅威 2026の組織編では9位に選ばれ、2016年以降で7回目の選出です。
実際の影響は、警察庁の報告に例があります。2024年12月下旬から2025年1月上旬には、交通機関や金融機関などで被害とみられる事案が相次ぎ、空港の手荷物の自動チェックイン機が使えない障害や、ネットバンキングにログインしづらい状況が起きました。2025年6月には、政府機関、自治体、民間事業者などのウェブサイトで閲覧障害が複数発生しています。
同じ報告によると、事業者が遮断しても手口を変えて攻撃を続ける事例がありました。CDNを回避してオリジンサーバを直接狙う攻撃も、複数の事案で確認されています。一度の設定で終わる対策ではないと考えてください。
自社にDDoS対策は要る？どう決める？
攻撃の仕組みより、止まったときの影響で決めます。注意喚起も、対策には多くの費用と時間が必要なものがあるとしたうえで、コストをかけてでも守るサービスと、一定期間の停止を許容できるサービスを分けるよう示しています。
次の4つの手順で決められます。
手順1：サイトとサービスを書き出す
会社サイトだけでなく、見積もりフォーム、取引先向けの受発注画面、製品のサポートページ、メールのサーバー、DNSも並べます。同じサーバーに同居しているものは、まとめて止まる可能性があるので印を付けます。
手順2：止まったときの影響を書く
売上、取引先への影響、社内業務の3つを書きます。たとえば、部品メーカーの会社案内サイトは止まっても電話で受注を続けられるかもしれません。一方、同じ会社でも取引先が毎日使う受発注の画面が止まれば、工場の出荷に響くおそれがあります。この場合、同じ会社の中でも守る水準が分かれます。
手順3：許せる停止時間を決める
社長か責任者が決めます。担当者だけでは決めにくい項目です。「半日なら電話とメールで代わりが利く」「1時間で取引先に連絡が要る」のように、業務の言葉で書きます。
手順4：区分ごとに備えを決める
次の表は、影響の大きさを3段階に分けた私たちの整理です。公的機関の基準ではありません。
| 止まったときの影響 |
備えの例 |
| 小さい（会社案内のみ・代わりの連絡手段がある） |
更新、設定の見直し、案内文と連絡先の準備 |
| 中くらい（問い合わせや受注の入口） |
上記に加え、CDN、WAF、事業者の遮断機能、監視と通知 |
| 大きい（取引や出荷に直結する画面） |
上記に加え、専用の対策サービス、冗長化、切り替えの訓練 |
中小企業に要る備えは何？
注意喚起の内容は、被害を抑える対策、被害を想定した対策、加担を防ぐ対策の3つに分かれます。
被害を抑える対策
次のような手段が挙げられています。
- 海外などに割り当てられたIPアドレスからの通信の遮断
- 同じIPアドレスからの大量のリクエストの遮断
- WAF、IDS/IPS、UTM、DDoS対策の専用製品の導入（WAFはWAFの製品比較で見比べられます）
- CDNの利用
- 回線事業者やクラウド事業者が提供する遮断機能の利用
- サーバーや回線の冗長化
- サーバーなどの設定の見直し
国内の取引先だけを相手にするサイトでは、海外からの通信の遮断を検討しやすくなります。注意喚起も、国内からのアクセスのみを受けるシステムなら有効としています。ただし、海外拠点や海外の取引先、出張中の社員まで止めないよう、正規の通信への影響を確かめます。
CDNを使うときは、オリジンサーバのIPアドレスを隠す必要があります。警察庁の報告も、CDNを経由しないアクセスの遮断と、IPアドレスが知られないDNS設定の見直しを挙げています。DNSの守りはDNSセキュリティの製品比較で見られます。
契約中のサービスに含まれていないか確かめる
追加の製品を買う前に、すでに契約しているサービスの内容を確かめます。
たとえば、AWS Shield Standardは、AWSの全利用者に追加料金なしで自動的に適用されると公式文書に書かれています。対象は、よくあるネットワーク層とトランスポート層の攻撃です。Cloudflareは、全プランでDDoS攻撃を自動で検知・緩和すると案内しています。
対象の範囲はサービスごとに違います。どの層の攻撃が対象か、追加の費用が出るのか、攻撃中の相談窓口があるのかを確かめてください。製品を比べるときはDDoS対策サービスの比較で、方式と守る範囲を見比べます。Webアプリケーションへの攻撃も併せて守るならWAFが自社サイトに要るかの判断基準が判断の材料になります。
被害を想定した対策
費用をあまりかけずに始められるのがこの部分です。止まらない前提より、止まる前提で決めておくことを増やします。
止まる前に決めておくこと
- 平常時の通信量の監視と、記録の保存期間
- 異常な通信が起きたときの通知先
- 別のサーバーに用意する案内ページと、SNSでの案内文
- 警察や関係機関の通報先、事業者の連絡先の一覧
- サーバーや回線が使えないときの代わりの手段
受発注の画面を持つ会社なら、止まったときの代わりの手段を取引先と先に決めておくと、当日の混乱が減ります。FAXやメールでの受付に切り替える手順を、担当者以外も読める形で残します。
加担を防ぐ対策
自社の機器が攻撃に使われないようにする対策です。注意喚起は、管理するDNSサーバーで外部の不特定のIPアドレスからの再帰的な問い合わせを許可しない設定、パッチの適用、送信元IPアドレスを詐称したパケットを送らないフィルタリングを挙げています。
インターネットに接続しているルータやIPカメラも対象です。工場の監視カメラや、現場に置いたルータを導入後そのままにしていないか、設定と更新の状況を確かめます。
DDoS攻撃を受けたら何をする？
最初の連絡先は、回線、サーバー、CDNの契約先です。事業者が遮断の手段を提供していることがあるので、緊急時の窓口と契約番号を一覧に入れておきます。
利用者には、SNSや別のサーバーの案内ページで状況を伝えます。警察などへの通報先も注意喚起が準備項目に挙げているので、平時に調べて一覧に入れます。
DDoS攻撃で手がふさがっている間も、ほかの入口の確認は止めないようにします。入口の点検は不正アクセスの入口と防ぎ方、通信の暗号化の確認はSSL証明書の確かめ方で扱っています。サイト全体の守り方はWebサイト・サーバー防御のカテゴリにまとめています。
