なぜ自社がサイバー攻撃を受けるのか？犯人の儲け方から理解する狙われ方

自社がサイバー攻撃を受けるのは、攻撃が金銭目的の商売として分業され、犯人が会社の知名度より入り込める隙を広く探しているからです。

今日やることは、インターネットから見える機器の一覧を作ることです。VPN機器、ルーター、公開サーバー、リモート接続の入り口を書き出し、型番、管理者、最後に更新した日を埋めます。埋まらない欄が、最初に確認する場所です。

この記事は公開資料を整理したもので、攻撃の手順は書きません。全体はセキュリティの基本のカテゴリから見られます。

犯人はどこで儲けているのか？

警察庁は、令和7年⁠の報告書⁠でランサムウェア攻撃を「基本的に金銭目的」⁠と⁠し⁠、攻撃者は侵入する隙のある標的を探すと説明しています。ランサムウェアとは、データを暗号化して使えなくし、元に戻す対価を要求する不正プログラムです。

近年の被害の多くは、二重恐喝と呼ばれる形です。データを盗んだうえで暗号化し、対価を払わなければ公開すると迫ります。バックアップから戻せても、盗まれた情報の公開という脅しは残ります。

この商売は分業で動いています。警察庁の令和8年上半期の報告書と、IPAの情報セキュリティ10大脅威2026の解説書⁠をもとに整理すると、次のようになります。

提供の形はRaaS（Ransomware as a Service）⁠と呼ばれます。警察庁は、これにより高度な専門知識がない者でも実行が可能になり、攻撃者の裾野が広がったと分析しています。「売り手の収入」⁠の欄は、IPAの解説にある売買や提供の記述から私たちが整理した部分です。

この分業から、私たちは次のように読みます。実行者が多く、手口がそれぞれ違うなら、大企業だけに狙いが集まるとは限りません。入れる相手が見つかれば、そこが標的になります。

なぜ会社の規模に関係なく狙われるのか？

攻撃の前段階では、機器の探索が広く行われているからです。警察庁のセンサーが検知した脆弱性探索などの不審なアクセスは、令和8年上半期に1日・1IPアドレス当たり1万3,687件で、前年比50.7%増でした。脆弱性とは、ソフトや機器にある安全上の弱点のことです。

令和7年⁠の報告書では、情報通信研究機構の観測で、不特定多数の機器を対象とするアクセスが全体の半数以上を占めたとされています。報告書はこれを、公開された機器やサービスが常時第三者に探索される前提で運用されている現状だと述べています。

先に見られているのは社名ではなく、機器です。会社が無名でも、機器がインターネットに出ていれば探索の対象に入ります。

被害の統計もこの見方と矛盾しません。

令和8年上半期の123件は、統計を取り始めた令和2年下半期以降で半期の最多です。警察に報告された件数なので、すべての被害を表すものではありません。また、これをもって中小企業の被害に遭う確率が高いとまでは言えません。

すべてが無差別というわけでもありません。同じ報告書は、政府機関や大手製造業者に対する情報窃取を目的とみられる攻撃にも触れています。金銭目的の広い探索と、特定の情報を狙う攻撃は、別のものとして考えてください。

犯人はどこから入るのか？

令和8年上半期の被害組織へのアンケートでは、侵入経路の約5割⁠がVPN機器でした。令和7年⁠の報告書では6割以上です。どちらもアンケートに答えた組織の範囲の数字です。

悪用されるのは、未修正の脆弱性や漏えいした認証情報などです。令和7年⁠の報告書は、簡易なパスワードや設定の不備も挙げています。添付ファイルによる感染は少なくなっているとされ、社員へのメール訓練だけでは入り口を塞ぎきれないことがわかります。

IPAのASM診断の報告書（2026年3月公開）⁠で⁠は⁠、診断した中小企業126社⁠の全社で何らかの脆弱性が検知されました。深刻さは検知ごとに異なるので「全社が危険」⁠と⁠い⁠う意味ではありませんが、外から見て弱点がゼロの会社はこの調査にはなかったことになります。ASMとは、インターネットから把握できる情報をもとに、公開された機器やサーバーを洗い出して管理する方法です。自社で調べきれないときは、ASMツールの比較が参考になります。

取引先の入り口として使われることはあるのか？

あります。IPAの2024年度の実態調査では、2023年度に被害を受けた企業のうち、「特に無し」⁠と答えた約3割⁠を除く約7割が、取引先に影響があったと回答しました。不正アクセスを受けた企業の約2割は、他社経由での侵入でした。

たとえば、大手メーカーに部品を納める会社の場合を考えます。受発注の端末や図面を置くサーバーが止まれば、自社の出荷だけでなく、納品先の生産計画にも影響が及びます。受け取った図面が盗まれれば、預かった情報の問題になります。犯人から見れば、業務を止められることや取引先とつながっていることが、そのまま脅しの材料や次の足場になり得ます。

被害はどのくらいの大きさになるのか？

2つ⁠の調査で、見え方がかなり違います。

• 警察庁の令和8年上半期のアンケートでは、ランサムウェア被害の復旧に総額1,000万円以上⁠を要した組織が全体の6割でした。1か月未満で復旧できた組織は5割弱です
• IPAの2024年度調査では、過去3期内にサイバーインシデントが起きた企業の被害額の平均は73万円でした。うち9.4%⁠が100万円以上で、復旧までの平均は5.8日です

警察庁の数字はランサムウェアの被害を報告した組織が対象で、IPAの数字は中小企業のインシデント全般が対象です。比較的小さな事故が多い一方、ランサムウェアで業務が止まると桁が変わる、と読むのが妥当です。

身代金について、警察は、犯罪グループ等の活動資金となることが懸念され、復号が保証されるわけではない旨を被害者に説明しています。令和7年⁠の報告書⁠に記載があります。

儲け方がわかると、何を先にやればいいか？

犯人の採算を悪くする順に手をつけます。入りにくくし、脅しの効き目を弱くするという考え方です。

1. インターネットに面した機器を減らし、更新する。使っていないVPNやリモート接続の入り口は止めます。警察庁も、主要な侵入経路であるVPN機器などは速やかな対応が必要としています
2. 管理者のパスワードを見直し、使い回しをやめる。漏えいした認証情報が入り口になるからです
3. バックアップをネットワークから切り離して保管し、戻せるかを試す。IPAの情報セキュリティ6か条では、第4.0版でバックアップが新たに加えられました
4. 事故のときの連絡先を紙で持っておく。警察、IPAの相談窓口⁠、保守会社、主要な取引先です。IPAは2026年10月に不正アクセス特別相談窓口の開設⁠も案内しています

人、物理、技術、組織のどこに抜けがあるかを確かめるなら、情報セキュリティ対策の具体例一覧⁠で点検できます。社内の用語をそろえるには、マルウェアとウイルスの違い⁠が使えます。

社内で判断しきれない部分は、セキュリティコンサルティングの比較から外部の相談先を探せます。保険は被害の費用に備えるもので、攻撃を防ぐものではありません。入るかどうかは、対策の後にサイバー保険の比較で補償の範囲を見て決めてください。