サイバー攻撃の種類は、会社に起きる被害で見ると「止まる」「漏れる」「騙し取られる」の3つに分けられます。手口の名前を覚えるより、自社で困る被害から逆に引くほうが、対策の順番を決めやすくなります。
今日やることは、3つの問いに答えることです。「何が止まると、いちばん困るか」「何が漏れると、取引が続かなくなるか」「誰が1人で振込を実行できるか」。この答えが、次の表のどの行から読むかを決めます。
3つの分類は私たちの整理で、公的な区分ではありません。手口の説明はIPAと警察庁の資料によります。セキュリティの基本のカテゴリから全体を見られます。
被害の形から引ける表
| 困る被害 |
主な手口 |
先に効く手 |
| 止まる（工場、受発注、サイト） |
ランサム攻撃、DDoS攻撃、脆弱性の悪用 |
更新、分離したバックアップ、代替手順 |
| 漏れる（図面、顧客、社員の情報） |
標的型攻撃、不正アクセス、委託先経由、内部不正 |
権限の最小化、認証の強化、委託先の確認 |
| 騙し取られる（お金、ID） |
ビジネスメール詐欺、フィッシング、ボイスフィッシング |
複数人の承認、別ルートの確認 |
製品を見るなら、止まる被害にはEDRの製品比較、公開サイトからの漏えいにはWAFの製品比較、騙されるメールにはメールセキュリティの製品比較があります。
手口と被害は1対1ではありません。IPAの10大脅威2026 解説書によると、ランサム攻撃はデータの暗号化に窃取や暴露の予告を組み合わせることがあります。暗号化しない「ノーウェアランサム」もあり、止まらなくても漏れる場合があります。
止まる：どの手口で何が止まるのか？
ランサム攻撃
データを暗号化したり、盗んだ情報の公開を予告したりして、金銭を要求する攻撃です。警察庁の令和7年の情勢資料では、被害報告は226件で、中小企業が約6割、製造業が約4割でした。
被害組織へのアンケートでは、復旧に総額1,000万円以上かかった組織が5割を超え、1か月未満で復旧した組織は5割強にとどまります。侵入経路はVPN機器が6割以上です。止まる期間の長さに備えて、紙や別の手段で業務を続ける手順まで決めておきます。
DDoS攻撃
大量のアクセスでサーバーや回線に負荷をかけ、Webサイトやサービスを使いにくくする攻撃です。解説書によると、主義主張の誇示や、攻撃の停止と引き換えの金銭要求を目的とすることがあります。
自社のサイトが会社案内だけなら、影響は限られます。受注や予約をサイトで受けている会社は、止まったときの受付方法と、サーバー会社への連絡先を決めておきます。
脆弱性の悪用
修正されていない弱点を使って侵入する攻撃で、結果は止まる被害にも漏れる被害にもなります。解説書は、脆弱性の発見から悪用までの時間が短くなっているとしています。インターネットから直接アクセスできるVPN機器やCMSは、とくに多くの企業に被害が及ぶおそれがあります。
対策の優先順位は、マルウェア対策で足す4つの手にまとめました。
漏れる：何が入口になるのか？
標的型攻撃
特定の組織の機密情報を主に狙う攻撃です。解説書は、組織の規模や業種を問わず狙われるおそれもあるとしています。潜伏が長期にわたるケースもあるので、技術情報や図面を持つ製造業は、どこに何を置いているかの把握から始めます。
公開サーバーへの不正アクセス
問い合わせフォームや会員ページなど、Webサイトの弱点や、盗まれたIDからの侵入です。サイトの更新を外注している会社は、CMSとプラグインの更新を誰が担当しているかを確かめてください。Webアプリケーションへの攻撃を検知して遮断する仕組みとして、WAFがあります。
委託先や取引先の経由
解説書によると、攻撃者は対策の強い組織を直接狙わず、関連会社や委託先など、サプライチェーンの中の弱い部分を足掛かりにすることがあります。足掛かりにされた組織は、取引停止や損害賠償を求められることもあります。
取引先への説明の共通の物差しとして、経済産業省のSCS評価制度が準備されています。★3と★4は2026年度末頃の申請受付の開始を目指しており、変更の可能性があるとされています。
内部不正
外からの攻撃ではありませんが、被害の形は同じです。解説書は、必要以上に高いアクセス権限が悪用につながるとしています。権限を業務に必要な範囲にとどめ、異動や退職のときにアカウントを消します。
騙し取られる：どこで止められるのか？
ビジネスメール詐欺
IPAの特設ページは、偽のメールで従業員を騙し、攻撃者の口座へ送金させる手口と説明しています。解説書が挙げる形は、取引先になりすまして請求書の口座を差し替えるものや、経営者になりすまして振込を指示するものです。生成AIを悪用した手口も増えています。
文面で見抜くことを前提にしないでください。解説書の対策は、複数人の承認と、事前に決めた別ルートでの確認です。
フィッシング
偽のサイトに誘導して、IDやパスワード、口座の情報を入力させる手口です。警察庁の資料では、フィッシング対策協議会への令和7年の報告は245万4,297件でした。インターネットバンキングの不正送金は4,747件、被害総額は約103億9,700万円で、フィッシングがその手口の約9割を占めます。
ボイスフィッシング
電話で企業に接触し、偽のメールへ誘導する手口です。警察庁の資料によると、令和6年秋から令和7年4月にかけて法人口座の不正送金被害が急増しました。同年11月にも再び急増し、地方の中小規模の金融機関でも多くの被害が出ています。
資料が示す対策は明快です。銀行から電話があったら、営業店や代表電話に折り返して確かめます。インターネットバンキングは、銀行の公式サイトやアプリから利用します。経理と総務に、今日のうちに伝えられる内容です。
目の前の症状からは何を疑うのか？
攻撃の名前が分からなくても、最初の動きは決められます。
| 起きていること |
疑うもの |
最初にやること |
| ファイルが開けない、脅迫文がある |
ランサム攻撃 |
端末を切り離し、電源は切らず、担当者へ連絡 |
| 自社サイトが表示されない |
障害、DDoS攻撃 |
サーバー会社に確認、別の受付方法に切り替え |
| 自社名の不審なメールが届いたと取引先に言われた |
なりすまし、メールの乗っ取り |
パスワードの変更と認証の確認、取引先への連絡 |
| 取引先から振込先変更の連絡が来た |
ビジネスメール詐欺 |
振り込まず、別ルートで本人に確認 |
| 銀行を名乗る電話がかかってきた |
ボイスフィッシング |
切って、営業店や代表電話に折り返す |
| 添付を開いたと社員から報告があった |
マルウェア感染 |
端末を切り離し、責めずに経緯を聞く |
判断がつかないときの最初の動きは、警察庁の資料の初動に沿っています。感染した端末は切り離し、ログを残すため慌てて電源を切らず、態勢を整えてから調査と復旧に入ります。
連絡先は3つ押さえます。
製造業では3つをどう当てはめるか？
たとえば、工場を持ち、発注元の図面を預かり、海外から材料を買っている会社の場合、3つの被害がすべて当てはまります。
- 止まる：生産管理や出荷のシステムが止まると、納期に響く。自社だけでなく発注元の予定にも影響が及ぶ可能性がある
- 漏れる：預かった図面が漏れると、発注元との契約上の問題になり得る
- 騙し取られる：海外送金の口座変更はメールで依頼が来やすく、確認の手間がかかるので確かめずに進みやすい
どの行から手をつけるかは、金額の大きさと、止まる日数で決めます。迷うなら、費用がかからない送金ルールを先に決め、並行して入口の機器の更新に取りかかります。
全体の優先順位は、情報セキュリティ10大脅威2026を中小企業向けに読み直した記事で確認できます。社内に判断できる人を置くなら、兼任担当者に合う資格の順番も参考になります。
