【2026年8月11日時点の情報です】 本記事は、IPA（情報処理推進機構）「情報セキュリティ10大脅威2026」（2026年3月公開）等の公開情報にもとづいています。手口・対策の詳細は変化するため、最終判断には必ず一次情報もあわせてご確認ください。
「うちみたいな小さい会社が狙われるはずがない」——サイバー攻撃のニュースを見るたび、そう感じている経営者は少なくないはずです。ですが実際に警察庁が集計した2025年のランサムウェア被害では、確認された226件のうち143件、6割超が中小企業でした。狙われているのは大企業だけではありません。
先に、要点をまとめます。
- ランサムウェア攻撃は、IPA「情報セキュリティ10大脅威2026」組織編で11年連続選出・6年連続の1位。中小企業を含む「組織」全体にとって最大の脅威という評価が続いている
- 中小企業が狙われる理由は「対策が手薄だから」だけではなく、「大企業に侵入するための踏み台」にされるケースが増えているため。2位のサプライチェーン攻撃と表裏一体の脅威
- 攻撃を受けたときに事業を止めずに済むかどうかは、防御の強さより「バックアップの取り方」で決まることが多い。ここが手薄な会社が実際には大半
ただし、バックアップさえ取っていれば安心というわけではありません。実は多くの会社が「バックアップを取っていたのに復旧できなかった」という落とし穴にはまります。この理由は後半で詳しく説明します。
本記事では、中小企業の経営者・情シス担当者に向けて、ランサムウェアがなぜ中小企業を狙うのか、攻撃を受けるとどうなるのか、そして事業を止めないためのバックアップ設計の基本を整理します。
ランサムウェアはIPAの脅威ランキングで何位？
IPA「情報セキュリティ10大脅威2026」の組織編で、ランサム攻撃による被害は11年連続の選出、2021年以降6年連続で1位という評価です（IPA公式）。2位には「サプライチェーンや委託先を狙った攻撃」が8年連続で選出されており、この2つが組織にとっての最大リスクという構図がここ数年変わっていません。
10大脅威は、IPAが前年に実際に発生した被害・インシデントをもとに、セキュリティ専門家の投票で順位付けしている資料です。つまり「怖がらせるための脅し文句」ではなく、実際に多くの組織が被害を受けた結果としての1位という点を押さえておく必要があります。
ランサムウェアの手口も年々悪質になっています。以前は「データを暗号化して身代金を要求する」だけでしたが、近年主流なのは「暗号化する前にデータを盗み出し、身代金を払わなければ公開する」という二重恐喝です。バックアップから復旧できても、盗まれた情報の公開までは防げないため、対策の考え方も「暗号化されないこと」だけでなく「盗まれても被害を広げないこと」まで含めて設計する必要が出てきています。
中小企業はなぜ狙われる？大企業への「踏み台」という理由
中小企業が狙われる最大の理由は、対策の手薄さに加えて、取引先の大企業へ侵入するための「踏み台」として利用価値が高いからです。
大企業は多層防御・専任のセキュリティ担当を置いていることが多く、正面から攻撃するのは手間がかかります。一方で、その大企業と受発注データやシステムでつながっている中小企業は、防御が手薄なまま重要な情報のやり取りをしていることが珍しくありません。攻撃者から見れば、中小企業のネットワークに侵入し、そこを踏み台にして取引先の大企業に侵入する方が効率的です。これが10大脅威2位の「サプライチェーン攻撃」の実態で、1位のランサムウェアと組み合わさって使われるケースも増えています。
御社が「うちには盗まれて困るような機密情報はない」と考えていても、取引先企業への足がかりとして狙われる可能性はゼロではありません。特に大企業と継続的に取引がある製造業・建設業・卸売業などは、この観点でのリスク評価が必要です。
もう1つの理由は単純に、中小企業ほどセキュリティ投資の優先順位が低くなりがちなことです。限られた予算を優先的に売上に直結する投資へ回すのは合理的な経営判断ですが、結果として基本的な対策(OS・ソフトウェアの更新、多要素認証、バックアップ)が後回しになっている会社は少なくありません。Windows Serverのサポート終了問題で解説したとおり、古いシステムを放置すること自体が「攻撃者にとって入り口が塞がれない状態」を作り出しています。
攻撃を受けるとどうなる？身代金は払うべき？
攻撃を受けると、システムが暗号化されて業務が止まるだけでなく、データの公開をちらつかせた二重の脅迫にさらされます。身代金の支払いは公的機関がそろって推奨していません。
被害の実態を整理すると、次のような影響が連鎖的に起こります。
- 業務システムの停止: 受発注・生産管理・顧客管理などのシステムが暗号化され、通常業務が止まる。復旧までの期間は数日から数週間に及ぶこともある
- データ公開の脅迫(二重恐喝): 盗み出した顧客情報や取引先情報を「身代金を払わなければ公開する」と脅される
- 取引先・顧客への説明責任: 情報漏えいの可能性がある場合、取引先や顧客への報告・謝罪対応が発生し、信用の毀損につながる
- 復旧コスト: 専門業者への調査・復旧依頼、システムの再構築など、身代金以外にも相応の費用がかかる
身代金を払うかどうかは経営判断が問われる場面ですが、警察庁・IPAともに支払いを推奨していません。理由は単純で、支払っても復号鍵が提供される保証がなく、支払った実績があると「金を払う会社」として再度狙われるリスクが高まるためです。攻撃者は約束を守る義務を負っていません。
だからこそ重要になるのが、身代金を払わずに済む状態、つまりバックアップから自力で復旧できる体制を事前に作っておくことです。ここが本記事の核心部分です。
バックアップがあれば復旧できる？「3-2-1-1-0ルール」の考え方
多くの会社が「バックアップは取っている」と答えますが、実際に攻撃を受けると復旧できないケースが少なくありません。原因は、バックアップ先が本体システムと同じネットワーク上にあり、バックアップごと暗号化されてしまうためです。
冒頭で予告した「バックアップを取っていたのに復旧できなかった」落とし穴の正体がこれです。近年のランサムウェアは、侵入後にネットワーク内を探索し、見つけたバックアップサーバーやバックアップファイルを先に暗号化・削除してから本体を攻撃する挙動が確認されています。同じネットワークの中にコピーを置いているだけでは、バックアップの意味がなくなってしまいます。
この問題への回答として、米国の政府機関CISA(サイバーセキュリティ・インフラストラクチャセキュリティ庁)なども推奨しているのが 「3-2-1-1-0ルール」 という設計の考え方です。
3-2-1-1-0バックアップルールの構成図。データを3つ以上のコピーとして保持し、2種類以上の異なる媒体に保存し、1つは遠隔地またはオフラインに置き、1つは変更不可能な形式で保持し、0エラーの復元テストを定期的に行うという5つの要素
内容を分解すると次のようになります。
| 数字 | 意味 | 中小企業での実践例 |
|---|---|---|
| 3 | データのコピーを3つ以上持つ | 本番データ+バックアップ2箇所 |
| 2 | 2種類以上の異なる媒体に保存 | 社内NAS+クラウドストレージなど |
| 1 | 1つは遠隔地・オフラインに保管 | ネットワークから切り離した外付けHDD、または別リージョンのクラウド |
| 1 | 1つは変更・削除できない形式(イミュータブル) | クラウドのオブジェクトロック機能付きストレージ等 |
| 0 | 0エラーで復元できることを定期的に検証 | 年に数回、実際に復元テストを行う |
ポイントは最後の2つ、「オフライン(ネットワークから切り離す)」と「変更不可能な形式」です。ここが欠けていると、せっかくバックアップを取っていても、攻撃者がネットワーク経由でバックアップごと暗号化してしまいます。逆に言えば、この2つさえ満たしていれば、たとえ本番システムが暗号化されても、隔離されたバックアップから復旧できます。
もちろん、すべての中小企業がフルセットの3-2-1-1-0を初日から実現する必要はありません。まずは「バックアップ先が本番システムと同じネットワークにないか」「復元テストを一度でも実施したことがあるか」の2点だけでも確認してみてください。この2点が「はい」であれば、御社のバックアップは実際の攻撃時にも機能する可能性が高いといえます。
今日から何を確認すればいい？システム発注時のチェックポイント
新規にシステムを発注する、または既存システムを見直すタイミングでは、バックアップ設計そのものを要件に含めるかどうかで、その後の事業継続力が大きく変わります。
自社でシステムを開発・改修する予定がある場合、あるいは既存システムの保守を見直す場合は、次の観点を発注前に確認しておくと安全です。
システム発注時のセキュリティ確認フロー。要件定義でバックアップ方式を明記する、開発時にオフラインまたはイミュータブルな保存先を設計する、納品前に復元テストを実施する、運用開始後も定期的に復元訓練を行うという4ステップ
- 要件定義の段階でバックアップ方式を明文化する: 「バックアップを取る」とだけ発注書に書くと、開発会社側の裁量で「同じサーバー内に定期保存」という最低限の実装で終わることがあります。保存先の分離・世代管理・保持期間まで具体的に指定してください
- 本番環境と物理的・論理的に分離された保存先を要求する: 同一のクラウドアカウント・同一ネットワーク内での「別フォルダへのコピー」は分離とはいえません
- 復元テストを納品条件に含める: 「バックアップが取れていること」と「実際に復元できること」は別問題です。納品前に一度、本番相当のデータで復元テストを行う工程を契約に含めておくと安心です
- 多要素認証・アクセス権限の最小化もあわせて確認する: バックアップだけでなく、システムへの侵入経路そのものを狭める設計も重要です。管理者権限を持つアカウントを必要最小限に絞り、パスワードだけでなく多要素認証を必須にする
システム開発の見積もりガイドでも触れているとおり、見積書に「セキュリティ対策一式」とだけ書かれている場合、何が含まれ何が含まれないかが不明瞭なまま契約してしまうリスクがあります。バックアップ設計は特に「動いているうちは気づかない」機能のため、発注時に具体的な言葉で仕様化しておくことが、後になって効いてきます。
すでに稼働中のシステムがある会社は、システムの保守運用にかかる費用相場を参考にしながら、現在の保守契約にバックアップの定期検証が含まれているかを保守会社に確認してみるのも一つの手です。
セキュリティ対策には補助金も使える？
サイバーセキュリティ対策の導入費用には、デジタル化・AI導入補助金2026の「セキュリティ対策推進枠」が使える場合があります。
この枠は、IPAが「サイバーセキュリティお助け隊サービス」として一定基準で認定した民間事業者のサービスを導入する際、サービス利用料(最大2年分)の一部を補助する制度です。以前は通常枠の加点項目だったものが、単独で申請できる枠として独立しました(詳細な申請枠・締切はデジタル化・AI導入補助金2026の申請ガイドで整理しています)。
ただし、補助金はあくまで既製のセキュリティサービスの利用料を対象にしたものです。自社システムのバックアップ設計そのものを作り込む場合は、通常枠でのシステム開発費用としての申請可否や、対象経費の範囲を個別に確認する必要があります。制度は年度ごとに要件が変わるため、申請を検討する際は必ず公式の公募要領で最新情報を確認してください。
まとめ:今日から始められる3つの確認
この記事で持ち帰れることは、次の3点です。
- 自社が狙われる理由の理解: 「対策が手薄だから」だけでなく「取引先への踏み台」として狙われる可能性がある。機密情報の有無だけでリスクを判断しない
- バックアップの合格ライン: 「取っているかどうか」ではなく「本番と同じネットワークから切り離されているか」「復元テストをしたことがあるか」の2点で判断できる
- 発注・見直し時の言語化: 「バックアップ対策済み」という曖昧な言葉ではなく、保存先の分離・世代管理・復元テストを契約や仕様書の言葉として明記する
対策の全体設計を一度に見直すのは大掛かりに感じるかもしれませんが、今日一人でもできることがあります。まずは自社の直近のバックアップが、本番システムと同じサーバー・同じネットワークの中に置かれていないか、担当者や保守会社に一度確認してみてください。それだけで、御社の弱点が「対策不足」なのか「設計の見直しで足りる」のかの見当がつきます。
ゼットリンカーは、中小企業向けにNext.jsフルスクラッチでのシステム開発を手がける中で、バックアップ設計・権限管理を含めた要件定義からご相談を受けています。既存システムの保守委託先にバックアップの分離・復元テストについて確認しても曖昧な返答しか得られない場合や、新規システムの発注時にセキュリティ要件をどう仕様化すればよいか分からない場合は、お問い合わせからお気軽にご相談ください。
よくある質問(FAQ)
Q. 中小企業でもランサムウェアの標的になりますか?
A. なります。警察庁が集計した2025年のランサムウェア被害226件のうち143件、6割超が中小企業でした。「機密情報がないから狙われない」ではなく、取引先の大企業へ侵入するための踏み台として利用価値があるために狙われるケースが増えています。
Q. バックアップを取っていれば安心ですか?
A. 保存先の設計次第です。バックアップが本番システムと同じネットワーク上にある場合、攻撃者がバックアップごと暗号化・削除してしまうことがあります。ネットワークから切り離した保存先(オフライン)と、変更・削除できない形式(イミュータブル)の保存先を含めることが重要です。
Q. 身代金は払ったほうが早く復旧できますか?
A. 警察庁・IPAともに支払いを推奨していません。支払っても復号鍵が提供される保証がなく、支払い実績があると再び狙われるリスクが高まります。バックアップから自力で復旧できる体制を事前に作っておくことが基本の対策です。
Q. セキュリティ対策の費用に補助金は使えますか?
A. デジタル化・AI導入補助金2026の「セキュリティ対策推進枠」が、IPA認定の「サイバーセキュリティお助け隊サービス」の利用料に使える場合があります。自社システムのバックアップ設計を個別に作り込む場合は対象経費の範囲が異なるため、公式の公募要領で確認が必要です。
Q. システム発注時にバックアップについて何を確認すればいいですか?
A. 「バックアップ対策済み」という曖昧な言葉で済ませず、保存先が本番環境と物理的・論理的に分離されているか、復元テストが納品条件に含まれているかを具体的に確認してください。見積書や要件定義書に、保存先の分離・世代管理・復元テストの実施を明記してもらうのが確実です。
運営・編集