会社がサイバー攻撃を受けて仕事が止まった、というニュースが続いています。大きな会社の話だと思いたくなりますが、警察庁の資料によると、データを人質に取ってお金を要求する攻撃の被害を受けた企業の約6割は、中小企業でした。小さな会社は、社内の何を見直せばいいのか。アパートに例えて点検します。
この記事でわかること
- 小さな会社に、泥棒（サイバー攻撃をする人）がどこから、なぜ入ってくるのか
- お金をかけずにできる、社内の締め忘れの3つの点検
- 入口の守りをもっと強くしたいときの選び方
結論から言うと、社内の見直しは「締め忘れ」の3つの点検から
多くの中小企業の社内は、入口に「とりあえず」オートロックを付けたアパートに似ています。管理人はいないし、付けたきり誰も点検していない。泥棒は今、こういう建物の締め忘れを、機械を使って片っ端から探しています。
| 点検すること | 会社で確かめること |
|---|---|
| ① オートロックは古くないか | ルーターの設定画面のパスワードが買ったときのままになっていないか。中のソフトを新しくしているか |
| ② 裏口が開いていないか | 社外から社内に入る仕組み（VPNなど）や、業者が外から点検するための入口が残っていないか |
| ③ 部屋の玄関が開けっぱなしになっていないか | 社内のパソコンと同じWi-Fiに、来客や社員の私用スマホをつないでいないか。パソコンのウイルス対策と更新はそろっているか |
どれも、お金をかけずにできます。
会社の中は、「とりあえずオートロックを付けたアパート」
小さな会社の多くは、光回線に量販店のWi-Fiルーターをつなぎ、その下にパソコンも複合機も全部つないでいます。 このWi-Fiルーターが、アパートの「とりあえず付けたオートロック」です。外から勝手に入ってくる通信は止めてくれますが、届いた荷物の中身までは見ていません。
| アパート | 会社 |
|---|---|
| 入口のオートロック | ルーター |
| 住人 | 社員 |
| 宅配業者のふりをして来る人 | 偽のメール、偽のサイト |
| 裏手の外階段 | テレワーク用のVPN、業者が外から点検するための入口 |
| 開けっぱなしの部屋の玄関 | 全部が同じWi-Fi。1台に入られると、ほかにも広がる |
泥棒は、どこから、なぜ入ってくるのか
これまでの泥棒は下見をした。今の泥棒は、片っ端からドアノブを回す
これまでの泥棒は、宅配業者のふりをして下見に来て、入る値打ちがあるかを確かめてから入りました。 だから「うちみたいな小さな会社に盗るものなんて無い」で済んでいました。
今は、機械が24時間、町じゅうのドアノブを片っ端から回しています。中に何があるかは見ていません。開いていたところに入ります。 泥棒のやり方を一式まるごと貸し出す人もいて、くわしい知識がなくても泥棒ができてしまいます。
入った泥棒は、まず何をするのか
住人を、自分の建物から締め出します。 順番に見ると、3つのステップです。
| ステップ | 泥棒がすること | 会社でいうと |
|---|---|---|
| 1 入り込む | 古いオートロックから建物に入り、鍵のかかっていない部屋に次々に入る | 古いルーターや開いた裏口から社内に入り、パソコンやサーバーに次々に入る |
| 2 盗んで、予備の鍵をつぶす | 部屋の中の書類を持ち出し、予備の鍵を探して使えなくする | データを盗み出し、バックアップを壊す |
| 3 締め出す | 部屋の鍵もオートロックの設備も入れ替える。住人は入れない。「新しい鍵が欲しければ、お金を払え」「払わなければ、書類を町じゅうに配る」 | データに鍵をかけ、システム全体を乗っ取る。仕事が止まり、お金を要求され、盗んだデータを公開すると脅される |
これを「ランサムウェア」と言います。最近、テレビや新聞でもよく聞く言葉ですよね。工場が止まった、病院でカルテが見られなくなった、というニュースの多くはこれです。警察庁の資料では、手口が分かった被害の約9割が、ステップ3のように「締め出し」と「書類をばらまく」の二重で脅すやり方でした。
お金のない小さな会社に、なぜ泥棒が入るのか
「うちには大したお金は無い。身代金を要求されても払えない」。そう思いたくなります。でも、泥棒が欲しいのはお金だけではありません。
| 泥棒が欲しいもの | 使われ方 |
|---|---|
| 入りやすい建物 | 選んだのではなく、開いていたから入る |
| お客さんの名簿 | 売られる。偽のメールや電話の宛先に使われる |
| 取引先とのメール | 取引先になりすまして、偽の請求書を送る |
| 取引先の建物の合鍵 | 預かっている合鍵で、取引先の大きな会社に入る |
| 会社のパソコンやルーター | 乗っ取って、ほかの会社を攻撃する足場にする |
身代金を払えなくても、データを使えなくされれば仕事が止まります。警察庁の資料では、被害を受けた会社の5割以上が、元に戻すまでに1,000万円以上かかっていました。
泥棒が入ってくるのは、古いオートロックと、開いた裏口から
怪しいメールの添付ファイルは、思っているより少ないんです。 警察庁の資料で、ランサムウェアの被害にあった会社が入られた場所が分かった92件の内訳です。
| 泥棒に入られた場所 | 具体的にいうと | 件数 |
|---|---|---|
| 住人が外から帰ってくるための裏口（外階段の扉） | VPN機器（社外から社内に入るための機械） | 61 |
| 外から部屋に直接上がれる、窓に掛けたままのはしご | 外から社内のパソコンを操作する仕組み | 19 |
| 宅配便のふりをして届いた荷物 | 不審なメールや添付ファイル | 2 |
| その他 | 10 |
92件のうち61件、3件に2件は、住人が外から帰ってくるための裏口から入られています。会社でいえば、テレワークや支店から社内に入るために付けたVPN機器です。宅配便のふりをした荷物は、92件中2件しかありません。泥棒が使うのは、古い鍵、漏れた暗証番号、閉め忘れです。
外階段の鍵を、出入りの業者に渡していることもあります。2022年の大阪急性期・総合医療センターでは、給食を納める業者が点検のために置いていたVPN機器から入られ、病院の電子カルテまで使えなくされました。病院から見れば、業者に渡していた外階段の鍵です。業者から見れば、預かっていた取引先の合鍵を使われたことになります。中小企業にも、複合機や電話機、防犯カメラの業者が「外から見られるように」と付けた裏口が、社長の知らないまま開いていることがあります。
オートロックがあっても、住人が開けたら入れる
どれだけ入口を固めても、中の人がドアを開ければ泥棒は入れます。
| 泥棒の手助けをしてしまうこと | アパートでいうと |
|---|---|
| 偽のメールのリンクを押す | 「宅配便です」の声に、確かめずに解錠ボタンを押す |
| 偽のログイン画面にパスワードを打つ | 知らない人に暗証番号と部屋の鍵を渡す |
| 偽の「ウイルス感染」の警告を信じて電話する | 「点検です」という人を部屋に上げる |
宅配便のふりをして来る人は、年々増えて、制服も本物そっくりになっています。会社でいえば、偽のメールや偽のサイトです。偽メールを調べているフィッシング対策協議会には、2025年に245万件を超える報告が寄せられ、過去最多でした。
見分けるのが難しいなら、だまされても入れないようにしておきます。アパートでいえば、暗証番号を教えてしまっても、住人のスマホに届く番号を入れないと開かない入口にしておくことです。これを「二段階認証」と言います。
それでも開けてしまったら、すぐに管理人に言えることが大事です。会社でいえば、「偽のサイトにパスワードを打ってしまったら、すぐに言ってくれればいい」と、ふだんから社員に伝えておくことです。
入口でできる守りは9つある
会社の入口でできる守りを、アパートの管理人の仕事に例えると、次の9つです。
| 名前 | アパートの管理人でいうと |
|---|---|
| 1. ファイアウォール | 正面の入口だけ開けて、窓や裏口は閉めておく |
| 2. アプリケーションコントロール | 住人が勝手に呼んだ知らない業者を、建物に入れない |
| 3. IPS | 鍵をこじ開けている人を見つけて追い返す |
| 4. URLフィルタリング | 「その店は詐欺で有名ですよ」と住人を止める |
| 5. アンチボット＋DNSセキュリティ | 中に入り込んだ泥棒と、外の親玉との連絡を止める |
| 6. アンチウイルス | 届いた荷物を、不審物リストと見比べる |
| 7. アンチスパム | 郵便受けの前で、チラシや偽の請求書をよける |
| 8. サンドボックス | リストに無い荷物を、管理人室で開けてみる |
| 9. ゼロフィッシング | できたばかりの詐欺の店も、見た目で見抜いて住人を止める |
量販店のWi-Fiルーターに入っているのは、1の簡単なものくらいです。5は、中に入り込んだ泥棒が外と連絡を取るのを見つけるので、入られたことに気づくきっかけにもなります。
社内の見直し：締め忘れの3つの点検
何もしていない会社でも、今あるルーターと機械だけで始められます。
① オートロックは古くないか：ルーターのパスワードと更新
ルーターの裏や箱のシールに書いてある、買ったときのパスワードのままなら変えます。設定画面に「ファームウェアの更新」（中のソフトを新しくすること）があれば実行します。メーカーが面倒を見なくなった古い機種なら、買い替えます。
② 裏口が開いていないか：業者に聞く
複合機や電話機、防犯カメラの業者に「外から点検するための入口はありますか」と聞きます。テレワーク用のVPNも、今も使っているかを確かめます。使っていなければ閉じます。
③ 部屋の玄関が開けっぱなしになっていないか：Wi-Fiを分け、パソコンをそろえる
最近の多くのWi-Fiルーターには、来客用と社内用を別にする機能があります。家庭用のルーターにも付いています。これを使って、Wi-Fiを「社内用」と「来客用」に分けます。来客用には、お客さんのスマホだけでなく、社員が休憩時間に使う私用のスマホもつなぎます。社内のパソコンや複合機とは、別の部屋にしておくということです。社内用のパスワードは、来客や辞めた社員が知らないものに変えます。
あわせて、社内のパソコンのウイルス対策（Windowsに入っているMicrosoft Defenderなど）と更新が、全台で動いているかを確かめます。
あわせて、バックアップを社内とは別の場所にも1つ置いておきます。警察庁の資料では、被害を受けた会社のうちバックアップから戻せたのは99件中20件でした。泥棒はバックアップも一緒に使えなくするからです。
入口の守りをもっと強くしたいとき：UTMという機械と、相談先
3つの点検のあと、入口をもっと強くしたいときに使うのが、UTM（統合脅威管理）という機械です。 さきほどの9つのような入口の守りを、1台にまとめたものです。何がいくつ入っているかは、製品や契約によって違います。置く場所は、光回線の機械とWi-Fiルーターのあいだです。アパートでいえば、自動ドアの前に、管理人のいる受付をつくるようなものです。本体のほかに、毎年の料金がかかります。
置くときは、誰が更新するか、誰が届いたレポートを見るかを先に決めます。UTMも入口の機械なので、更新しなければ、それ自体が裏口になります。また、自宅や出張先で使うパソコンやスマホは、会社の入口を通らないので、UTMでは守れません。
まとめ
- 小さな会社の社内の多くは、「とりあえずオートロックを付けたアパート」
- 今の泥棒は、選ばずに、開いているところに入る。欲しいのはお金だけでなく、名簿、メール、取引先の合鍵、乗っ取れる機械
- 入られる場所として多いのは、古い機械と、VPNのような開いた裏口。住人がドアを開けてしまうことも多い
- まずは、お金をかけずに3つ点検する。ルーターのパスワードと更新、業者の裏口、Wi-Fiを社内用と来客用（私用スマホも）に分けてパソコンの守りをそろえる
- 入口をもっと強くしたいときは、UTMという機械を光回線の機械とWi-Fiルーターのあいだに置く。置くなら、更新する人とレポートを見る人を決める。相談先に迷ったら、国のお助け隊サービスの一覧もある
よくあるご質問
Q. 社内の見直しは、誰がやればいいですか？
A. 社長か、社内でいちばんパソコンに慣れている人が、ルーターや複合機の業者と一緒にやるのが早いです。点検した結果と、誰がいつ更新するかを、紙1枚に残しておいてください。
Q. 社員が数人の会社でも、UTMは必要ですか？
A. 会社によります。社内にお客さんの情報が入ったパソコンがある、支店や自宅から社内につないでいる会社なら、意味は大きいです。仕事のほとんどがクラウドの会社なら、パソコン1台ずつの守りと二段階認証が先です。
Q. ルーターのことがよく分からない段階でも、相談できますか？
A. できます。どの回線に、どの機械がつながっていて、誰が管理しているのかを、一緒に書き出すところから始められます。
自分の会社のアパートを、一緒に点検するところから
何がどうつながっているのか分からない、UTMの提案を受けたけれど必要か判断できない、という方は、伴走支援で、つながっている機械を書き出すところから一緒に進めています。依頼を決めていない段階でも構いませんので、お問い合わせからお気軽にご連絡ください。国の機関のIPA（情報処理推進機構）が基準を決めている「サイバーセキュリティお助け隊サービス」という相談先もあります。入口の見張りや、何かあったときの駆けつけを、中小企業向けにまとめて引き受けてくれる会社が一覧になっています。こうした話は、毎週メールマガジン「高林のつぶやき」でも書いています。
株式会社ダブルノット
代表取締役 髙林 努
https://doubleknot.co.jp/contact/
参考にしたもの
- 警察庁「令和7年におけるサイバー空間をめぐる脅威の情勢等について」（2026年3月）
- IPA「サイバーセキュリティお助け隊サービス」
- フィッシング対策協議会「フィッシングレポート2026」
- 大阪急性期・総合医療センター 情報セキュリティインシデント調査報告書（概要版、2023年3月）
くわしい方へ（補足）
本文では分かりやすさを優先して、次の点を省いたり、言い切ったりしています。
- Wi-Fiルーターの守り：多くの家庭用ルーターは、外から直接つなげないようにする仕組み（NAT）と簡単なファイアウォールを持っています。ただし、機器の側から入口を開ける機能（UPnP）が有効だと、知らないうちに入口が開くことがあります。
- 来客用のWi-Fiの設定：Wi-Fiの名前を2つ作るだけでは、社内の機械と切り離せていない機種があります。来客用から社内のパソコンやプリンター、ルーターの設定画面が見えない設定（ゲストポート、ネットワーク分離など、メーカーで名前が違います）になっているかを確かめてください。機種によっては、来客用の初期設定が「時間制限つき・暗号化なし」のこともあります。
- 入口が2台あることも：光回線で電話も契約していると、回線の会社から来た機械と量販店のWi-Fiルーターの2台が入口にあることがあります。どちらも点検の対象です。
- UTMを置く場所：本文では光回線の機械とWi-Fiルーターのあいだとしました。製品によっては、Wi-Fiルーターの役もUTMが兼ねて、ルーターごと置き換えるものもあります。
- UTMと暗号化された通信：今のWebの通信はほとんどが暗号化されていて、UTMが中身まで調べるには追加の設定が要ります。どこまで調べているかは機種と設定で変わります。
- メールとアンチスパム：GmailやMicrosoft 365でメールを使っている会社では、メールは会社の入口を通らないことが多く、メールのサービス側の対策がこの役をしています。
この記事は、私自身の知識と、支援の現場や自分で試してきた経験をもとに書いています。足りないところや、考え方が違うところがあれば、ぜひお問い合わせからご連絡ください。
