>
>
公開日
最終更新日
サイバー攻撃とは、コンピュータ、クラウド、ネットワーク、利用者の認証情報を狙い、情報窃取や金銭要求、業務停止などを引き起こす不正行為です。現在は大企業だけでなく、取引先への侵入口として中小企業も狙われます。
本記事では、サイバー攻撃の種類と仕組みを初心者にも分かりやすく整理し、生成AIを悪用した詐欺、ランサムウェア、ゼロトラスト、EDRとSOC、サプライチェーン管理まで解説します。個人向けの注意事項にとどまらず、経営者と情シスが予算や対応順序を決めるための判断基準も掲載しています。
この記事で確認したこと（最終確認日: 2026年09月30日）：警察庁、IPA、個人情報保護委員会などの公表資料を基に、国内被害統計、2026年の脅威、現行制度と改正議論、企業の初動対応を確認しました。法令施行状況・IPA脅威動向・警察庁統計など更新頻度の高い情報は、各機関の最新公表資料で確認してください（施行日の変更や新たな統計公表があった場合、本記事の記述と異なる場合があります）。
サイバー攻撃とは
サイバー攻撃とは、情報システムや利用者を不正な手段で侵害し、情報窃取、改ざん、金銭詐取、サービス停止などを引き起こす行為の総称です。
本記事のポイント
サイバー攻撃は自動化されており、企業規模に関係なくインターネット上の弱点が狙われます。
ランサムウェアは暗号化だけでなく、盗んだ情報の公開を迫る二重脅迫へ変化しています。
ファイアウォールと従来型ウイルス対策だけでは足りず、認証、端末監視、バックアップ、初動体制を重ねます。
セキュリティは情シスだけの技術課題ではなく、事業停止に備える経営課題です。
サイバー攻撃の基本的な仕組み
多くの攻撃は、偵察、初期侵入、権限拡大、内部探索、情報窃取または破壊という流れで進みます。攻撃者は公開サーバーの脆弱性、VPN機器の未修正箇所、メール添付ファイル、盗まれたパスワードなどから侵入します。
侵入後は管理者権限を奪い、社内端末やクラウドへ移動します。悪意のあるソフトウェアはマルウェアと呼ばれ、ランサムウェア、情報窃取型マルウェア、トロイの木馬などが含まれます。ただし、正規の管理ツールやPowerShellを悪用し、ファイルを残さない攻撃もあるため、マルウェアのファイル検査だけでは見逃します。
侵入から情報窃取までの高速化
CrowdStrikeはGlobal Threat Reportで、侵入後に別の端末へ移動するまでのブレイクアウトタイムが平均29分、最速27秒に達した事例を報告しています。年次で更新されるレポートの最新版では版によって数値が更新されるため、リンク先の最新版を確認すると、自社のインシデント対応目標時間（RTO）を設定する根拠になります。数日後にログを確認する運用では、発見時点ですでに認証基盤やバックアップへ侵入されている可能性があります。
この速さに対抗するには、検知後に担当者へメールを送るだけでなく、端末のネットワーク隔離、認証トークンの失効、管理者アカウントの停止までを事前に決めます。夜間に対応者が不在なら、外部SOCまたはMDRへ一次対応を委託する判断になります。
企業規模別の主な対象読者
50名未満の企業では、専任者を増やす前に端末とアカウントの一覧化、更新の自動化、多要素認証、クラウド型バックアップを優先します。50〜300名では、EDR、端末管理、シングルサインオン、外部SOCを組み合わせます。300名を超える組織では、CSIRT、SIEM、委託先監査、インシデント対応訓練まで社内標準として運用します。
個人利用者は、使い回しのないパスワード、パスワードマネージャー、多要素認証、OS更新から着手します。企業では個人任せにせず、設定を端末管理や認証基盤から強制できる仕組みに変えます。
▲ サイバー攻撃が侵入から被害発生に至るまでの基本プロセス
サイバー攻撃の目的と2026年の傾向
2026年のサイバー攻撃は、金銭目的の犯罪ビジネス、国家を背景とする諜報・妨害、生成AIによる攻撃効率化の三方向で拡大しています。
金銭目的の犯罪ビジネス化
現在の攻撃者は、侵入ツール、盗んだ認証情報、ランサムウェア、資金洗浄を分業しています。ランサムウェアをサービスとして提供するRaaSでは、開発者が攻撃基盤を用意し、実行役が侵入して身代金を分配します。高度な開発能力を持たない犯罪者でも攻撃へ参加できる構造です。
旧記事で参照していたチェック・ポイント・リサーチの2022年調査を紹介した発表は、当時の前年比増加を把握する参考資料です。ただし、2026年の判断には、警察庁やIPAが公表する直近資料を優先します。
国家関与と地政学的攻撃
国家を背景とする攻撃では、金銭ではなく、機密情報の収集、重要インフラの停止能力の確保、世論への影響が目的になります。攻撃者が長期間潜伏して取引先や認証基盤を調べるため、目立つ障害がないことは安全の証明になりません。
2025年5月に成立したサイバー対処能力強化法など、いわゆる能動的サイバー防御に関する法整備は段階的に施行されます。政府資料は主要部分を公布から一定期間内に施行する枠組みとしており、2026年秋に向けて運用整備が進む見通しです。ただし、対象事業者や個別規定ごとの施行日・政省令・所管省庁の運用方針によって時期は変わり得るため、内閣サイバーセキュリティセンター（NISC）および所管省庁の最新案内で施行状況を確認してください。施行済みかどうかによって、社内の事故報告手順の整備着手時期や、委託先へ要求する報告期限の見直しが必要になるかが変わります。確認結果により、社内手順の整備着手時期や報告体制の優先度が変わります。基幹インフラ事業者は対象業務、設備、事故報告の社内手順を法令と所管省庁の案内に照らして整理します。直接の対象外である中小企業でも、重要な委託先に該当すれば、契約上の報告期限、資産情報、ログ保存を取引先から要求される可能性があります。
生成AIを悪用した攻撃
IPAは「情報セキュリティ10大脅威」2026年版で、AIの利用をめぐるサイバーリスクを組織向け脅威の3位に初選出しています。IPA公式ページでは各脅威の詳細解説と対策の手引きが公開されており、自社の優先対策を絞り込む際の参照資料になります。生成AIは自然な日本語のフィッシングメール、標的企業に合わせた文面、脆弱性探索用コードの作成を速めます。文章の不自然さだけで詐欺メールを見分ける教育は、すでに限界があります。
経営者の声や顔を再現するディープフェイクも、ビジネスメール詐欺と組み合わされます。振込、口座変更、認証情報の開示は、メールやオンライン会議だけで完結させず、登録済み電話番号への折り返しや複数承認を条件にします。
社内での生成AI利用リスク
攻撃者によるAI悪用だけでなく、従業員が顧客情報、契約書、ソースコードを外部AIへ入力するリスクも管理対象です。入力データの保存期間、学習利用の有無、管理者ログ、削除機能を契約条件で判定します。監査ログと学習除外を管理者が制御できれば限定部門で検証し、制御できなければ機密情報を扱わない用途に限定します。
外部文書に埋め込まれた指示によってAIの処理を誘導するプロンプトインジェクションにも備えます。AIが出力した送金先やアクセス権変更を自動実行させず、人による承認と処理範囲の制限を挟みます。
サイバー攻撃で企業が受ける影響
企業が受ける損失は復旧作業費だけではなく、売上停止、顧客対応、調査、法令対応、取引停止まで連鎖します。
国内被害と復旧コスト
警察庁は「令和7年におけるサイバー空間をめぐる脅威の情勢等」で、2025年に国内で報告されたランサムウェア被害を226件、サイバー犯罪の検挙件数を15,108件と集計しています。ランサムウェア被害の約63％は中小企業であり、攻撃対象が大企業だけという認識はデータと一致しません。年次資料は警察庁のサイバーセキュリティ統計資料で公開されており、最新年次版に切り替わった時点で数値が更新されます。
警察庁が公表した被害企業向け調査（回答企業数は限定的であり、全企業の平均を示すものではない）では、調査・復旧費用が1,000万円以上に達した事例が複数含まれていました。復旧業者、端末再設定、外部調査、停止期間中の人件費を合算すると、中小企業でも復旧コストが大きくなることが複数の事例から読み取れます。最新の調査結果は警察庁のサイバーセキュリティ統計資料で確認できます。
事業停止と機会損失
受発注、製造、物流、決済が基幹システムへ依存している企業では、数日の停止でも売上と納期へ直結します。たとえば日商2,000万円の事業が5営業日停止すれば、単純計算の売上影響は1億円です。ここへ代替業務、顧客への補償、調査費、システム再構築費が加わります。
製造業やメディア企業では、サイバーインシデント後に機会損失を含む100億〜130億円規模の影響を公表した事例もあります。被害額を保険だけで吸収する設計ではなく、停止可能時間であるRTOと、どの時点のデータまで戻せるかを示すRPOを業務ごとに決めます。
信用低下と取引への影響
情報漏えいが起きると、顧客への連絡、問い合わせ窓口、原因調査、再発防止策の公表が同時進行します。委託元がセキュリティ基準を定めている場合は、新規取引の停止、契約解除、監査強化につながることもあります。
根拠を確認できない「漏えい企業は一律に顧客の25％を失う」といった数値は判断材料に使えません。自社では、停止時間当たりの売上、違約金、対象顧客数、コールセンター増員費を使い、想定損失を試算します。
個人情報保護法上の責任
個人情報の漏えいだけで直ちに高額な罰金が科されるわけではありません。現行の個人情報保護法では、一定の漏えい等について個人情報保護委員会への報告と本人通知、安全管理措置、委託先の監督が論点になります。個人情報保護委員会の漏えい等が発生した場合の対応案内は、要配慮個人情報、財産的被害のおそれ、不正目的、1,000人超などの報告対象を示しています。
報告対象なら、速報は事態を知った後おおむね3〜5日以内、確報は原則30日以内、不正目的のおそれがある場合は60日以内が基準です（個人情報保護委員会の漏えい等対応案内参照）。各期限は改正や政省令によって変わる可能性があるため、リンク先の最新案内を確認し、社内の報告手順に期限を明記しておくと、実際の対応時に判断が迷わなくなります。命令違反に対する罰則、被害者からの損害賠償、契約責任は別々に評価します。
2026年7月に成立した改正個人情報保護法には、個人情報保護法として初めての課徴金制度の導入、16歳未満を対象とした子どもの個人情報に関する規律強化、委託先への義務の明文化が盛り込まれています。各規定の施行日・政省令は個人情報保護委員会の公式サイトで公表されており、施行日が確定しているかどうかによって、課徴金リスクの対象範囲が現時点で適用済みか否かが変わります。委託契約の改訂が必要になる時期も施行日に依存するため、委託先へのデータ提供前にリンク先の最新案内を照合します。課徴金制度の施行前であっても、現行法の報告、本人通知、委託先監督を満たしていなければ実務上の損失は発生します。
サイバー攻撃の主な種類
サイバー攻撃の種類は、侵入経路、狙われる資産、被害の出方で分類すると、自社が優先する対策を判断しやすくなります。
攻撃の種類 | 主な侵入経路・特徴 | 想定される影響 | 優先する予防策 |
|---|---|---|---|
ランサムウェア | VPNの脆弱性、盗まれた認証情報、メールから侵入し、暗号化や情報窃取を実行 | 業務停止、情報公開、身代金要求 | 脆弱性対応、EDR、権限分離、変更不能なバックアップ |
フィッシング・BEC | 偽メール、偽サイト、ディープフェイクで利用者や経理担当者を欺く | 認証情報流出、不正送金、アカウント乗っ取り | パスキー、多要素認証、送金の複数承認 |
アイデンティティ攻撃 | Cookie、セッショントークン、管理者アカウントを窃取 | MFA通過後のクラウド侵入、なりすまし | 条件付きアクセス、トークン失効、端末状態の検証 |
DDoS攻撃 | 多数の端末から大量通信を送り、公開サービスを過負荷にする | Webサイトや決済サービスの停止 | DDoS防御、CDN、通信制御、代替サイト |
ゼロデイ攻撃 | 修正プログラムの提供前、または対応猶予がほぼない脆弱性を悪用 | 公開サーバー侵入、権限奪取 | 攻撃面の縮小、仮想パッチ、挙動監視 |
サプライチェーン攻撃 | 委託先、更新プログラム、SaaS、保守アカウントを経由 | 複数組織への侵入、機密情報流出 | TPRM、委託先権限の限定、契約とログ監査 |
Webアプリ攻撃 | SQLインジェクション、認証不備、設定ミスを悪用 | データベース漏えい、改ざん | 安全な開発、WAF、脆弱性診断 |
ランサムウェアと二重脅迫
ランサムウェアは、データを暗号化して復号と引き換えに金銭を要求する攻撃です。現在は暗号化前に情報を盗み、支払わなければ公開すると脅す二重脅迫が一般化しています。バックアップから復旧できても、情報公開のリスクは残ります。
暗号化を行わず、クラウドストレージからデータを窃取または削除して脅迫するノーウェアランサムもあります。Amazon S3などのクラウドでは、アクセスキーの漏えい、過大な削除権限、監査ログの停止を監視対象にします。
フィッシングとビジネスメール詐欺
フィッシング攻撃は、実在する企業や公的機関を装い、偽サイトへ誘導して認証情報やカード情報を盗みます。標的型メールでは、取引先名、担当者名、過去の案件を使うため、見た目だけでは判別できません。
警察庁は毎年、インターネットバンキング不正送金の件数と被害額を年次資料で公表しており、フィッシング起因の被害は継続して多数報告されています。最新の件数と被害額は警察庁のサイバーセキュリティ統計資料の直近年次版で確認できます。直近の数値によって、自社の被害想定金額や保険の付保水準の見直し判断が変わります。
アイデンティティ攻撃とセッション窃取
情報窃取型マルウェアは、ブラウザに保存されたパスワード、Cookie、セッショントークンを盗みます。攻撃者が認証済みセッションを再利用すると、パスワードを変更しただけでは接続が残る場合があります。
被害時はパスワード変更に加え、全セッションの失効、APIキーの再発行、管理者権限の確認、メール転送ルールの削除まで実施します。パスキーは偽サイトへの耐性がありますが、ログイン後の端末からトークンを盗む攻撃までは単独で防げません。
DDoS攻撃とゼロデイ攻撃
DDoS攻撃は、大量の通信を複数の送信元から送り、WebサイトやAPIを利用できなくする攻撃です。攻撃元を一件ずつ遮断する運用では追い付かないため、通信事業者、CDN、クラウドの防御サービスで上流から制御します。
ゼロデイ攻撃は、ベンダーが修正プログラムを提供する前、または防御側に対応時間がほぼない脆弱性を狙う攻撃です。「開発者が脆弱性を知らない場合だけ」という意味ではありません。パッチがない間は、対象機能の停止、外部公開の制限、WAFの仮想パッチ、EDRによる不審挙動の監視で影響範囲を縮めます。
企業が取るべきサイバー攻撃対策
企業のサイバー攻撃対策は、資産把握、認証強化、脆弱性管理、検知・対応、復旧の順で穴を埋める多層防御にします。
IT資産と脆弱性の管理
守る対象が分からなければ、更新漏れや退職者アカウントを発見できません。PC、サーバー、ネットワーク機器、SaaS、ドメイン、管理者、保守期限を台帳へ登録し、責任者と最終確認日を持たせます。企業のセキュリティ対策では、ツール導入だけでなく、資産とアカウントを継続管理する運用が土台になります。
インターネットへ公開するVPN、ファイアウォール、ファイル転送製品は、OSより先に悪用される場合があります。深刻度だけでなく、外部公開の有無、悪用確認、管理者権限への到達可能性で更新順を決めます。緊急パッチを48時間以内に適用できないなら、対象機能の停止または接続元制限へ切り替えます。
パスキーと認証強化
パスワードの一律な定期変更は、末尾の数字だけを変える運用や使い回しを招きます。漏えいの兆候がない限り定期変更を強制せず、長く一意なパスワードをパスワードマネージャーで管理し、多要素認証を組み合わせます。
対応サービスでは、FIDO2に基づくパスキーへ移行します。パスキーは接続先のドメインと認証情報を結び付けるため、偽サイトへ認証情報を入力する従来型フィッシングへ強い方式です。管理者、経理、人事、クラウド管理画面から先行導入し、紛失時の復旧手段と予備認証器も登録します。
ゼロトラストと最小権限
ゼロトラストは、社内ネットワークに接続しているという理由だけで信頼せず、利用者、端末、接続先、状況を接続のたびに検証する考え方です。NISTのZero Trust Architecture SP 800-207は、暗黙の信頼を与えず、リソース単位でアクセス判断する原則を整理しています。
ファイアウォールやアンチウイルスは不要になるのではなく、単独では足りません。一般社員からローカル管理者権限を外し、委託先には対象システムと作業時間だけの権限を付与します。管理者アカウントは通常業務用と分け、操作ログを保存します。
EDRとSOCによる検知・対応
EDRは端末のプロセス、通信、ファイル操作、認証などを記録し、不審な挙動を検知して調査する仕組みです。未知のマルウェアや正規ツールの悪用を行動から追跡でき、侵害端末を遠隔隔離できます。
SOCは複数のセキュリティ製品から上がる通知を監視し、優先度判定と初動を担います。社内に夜間要員がいない企業では、EDRと24時間365日の外部SOCまたはMDRを組み合わせます。ただし、契約前に隔離を代行できるか、通知だけか、対応言語、ログ保存期間を比較します。隔離代行まで含むなら夜間の一次対応を委託し、通知のみなら社内の当番体制を残します。
ランサムウェアに耐えるバックアップ
バックアップは、本番環境と同じ認証情報で常時書き換えられる状態では不十分です。3つのコピーを2種類の媒体へ保存し、そのうち1つをオフラインまたは変更不能にする3-2-1の考え方を採用します。バックアップ管理者の認証も本番環境から分離します。
CISAのStopRansomware Guideは、オフラインバックアップ、定期的な復元テスト、重要アカウントへの多要素認証などを挙げています。月1回はサンプルファイルを戻し、四半期に1回は業務システム単位で復元時間を測ります。目標時間を超えた場合は、回線、保存方式、復旧手順のどこが遅いかを修正します。
サプライチェーンと委託先管理
サードパーティ・リスクマネジメントでは、委託先の認証方式、再委託、データ保存国、脆弱性対応期限、事故時の連絡期限、契約終了後のデータ削除を評価します。質問票を送るだけで終わらせず、重要な委託先には監査報告書、認証、侵入テスト結果の要約などの証拠を求めます。
委託先が顧客情報や管理者権限を持つなら年1回以上再評価し、閲覧だけなら簡易評価にします。監査資料を提示できない委託先を直ちに排除するのではなく、接続元制限、権限縮小、操作記録によって残余リスクを下げられるかを判断します。
教育と生成AI利用ルール
教育は年1回の動画視聴だけでなく、模擬フィッシング、送金依頼の確認、紛失時の連絡を業務別に訓練します。クリック率だけで個人を評価すると報告を隠すため、受信から報告までの時間と、報告後の封じ込め時間を指標にします。
生成AIには、入力禁止情報、利用可能な契約、出力内容の承認者を定めます。顧客データを扱うなら、学習除外、保持期間、管理者ログ、削除手段を確認し、条件を満たす環境だけで利用します。
国内組織のセキュリティ導入事例
国内事例では、EDRを購入するだけでなく、外部SOCやMDRと組み合わせて監視負担と対応時間を減らした組織が成果を上げています。
組織・業種 | 導入時期・規模 | 課題 | 施策 | 公表された成果 |
|---|---|---|---|---|
今治市・自治体 | 導入時期は事例で非公表、約1,700台 | クラウド利用に伴う端末防御と運用費の両立 | 日立システムズとセキュアブレインのクラウド型EDR・SOC | 24時間365日の監視と専門家レポートを確保し、比較対象より5年間の運用コストを削減 |
株式会社インターネットイニシアティブ・IT | 導入時期は事例で非公表 | 従来型検知の限界と大量アラートによる担当者負担 | Microsoft Defender for Endpointと自社SOCサービス（自社内へのドッグフーディング適用） | ふるまい検知とアラート処理の効率化により年間約1,000万円を削減 |
ホリアキ株式会社・梱包資材 | 導入時期と台数は事例で非公表 | 社内に専門家がおらず、ランサムウェア対応が困難 | Sophos MDR Completeへ切り替え | 24時間365日の監視体制を構築し、事例公開時点でサイバー攻撃・ランサムウェア被害ゼロを継続 |
セガサミーホールディングス・エンターテインメント | 導入時期と端末数は事例で非公表 | 夜間・休日を含む大量アラートへの対応 | EDRアラートの一次判定を専門事業者へ委託 | 社内チームが企画、改善、再発防止などの戦略業務へ集中できる体制を構築 |
日立システムズ、Microsoft関連事例、Sophos、S&Jなどの公式導入事例が公表した内容を整理しています。「被害ゼロ」は将来の安全を保証する数値ではなく、事例公開時点の実績です。
50名未満の組織に適した体制
専任担当者を置けない場合は、OS更新を自動化し、クラウドメールと管理者へ多要素認証を設定したうえで、EDRとMDRが一体になったサービスを選びます。通知後の調査を自社だけで行えないなら、封じ込め代行を契約範囲へ含めます。
50〜300名の組織に適した体制
端末台数が増えると、手作業の棚卸しと個別設定では漏れが生じます。端末管理、EDR、シングルサインオンを統合し、退職・異動時の権限変更を人事情報と連動させます。SOCには重大アラートだけを連携し、社内担当者が全通知を読む運用を避けます。
300名超の組織に適した体制
複数拠点や子会社を持つ組織では、CSIRTが判断基準と指揮系統を統一します。SIEMへ認証、端末、クラウド、ネットワークのログを集約し、重要システムから検知ルールを整備します。すべてのログを無期限に保存するのではなく、調査に必要な期間、法令、費用を基準に保存期間を分けます。
サイバー攻撃に関する誤解と失敗パターン
サイバー攻撃対策が失敗する主因は、製品不足よりも、対象範囲、責任者、検知後の行動を決めないまま導入することです。
中小企業は狙われないという誤解
攻撃者は企業名を一社ずつ選ぶだけでなく、自動ツールで公開サーバーやVPNの弱点を探索します。警察庁が集計したランサムウェア被害の約63％が中小企業であることからも、規模が小さいことは防御になりません。
中小企業は保有データそのものに加え、大企業へ接続する保守アカウントや取引経路を狙われます。取引先ネットワークへ接続できる端末には、一般端末より厳しい認証、ログ、接続元制限を適用します。
従来型アンチウイルスだけで十分という誤解
パターンファイル型の検知は既知マルウェアへの基本対策として残しますが、未知のファイル、ファイルレス攻撃、正規ツールの悪用、認証情報の不正利用をすべて止めるものではありません。
EDRを追加しても、アラートを誰も見ていなければ検知後の被害が広がります。導入前に、重大度ごとの担当者、夜間連絡先、端末隔離の権限、誤検知時の復旧方法を決めます。
バックアップがあれば安心という誤解
二重脅迫では、復元できても盗まれた機密情報の公開を止められません。さらに、本番環境と同じ管理者アカウントでバックアップへ接続していると、攻撃者にバックアップまで削除されます。
バックアップは情報漏えい対策の代わりではありません。データ持ち出しの検知、最小権限、通信監視と組み合わせ、復元テストで実際の復旧時間を測ります。
情シスへの丸投げという失敗
情シスだけでは、停止を許容できる時間、顧客への説明、身代金対応、広報、法務判断を決められません。経営層が事業継続の責任者となり、情シス、法務、広報、人事、事業部の役割をインシデント対応計画へ記載します。
やってはいけないのは、製品導入を完了条件にすることです。月次で未更新端末、管理者数、重大アラートの対応時間、バックアップ復元結果を経営会議へ報告し、運用実績で対策を評価します。
全システムへの一括導入という失敗
ゼロトラストやSIEMを全社一括で導入すると、業務影響とアラートが同時に増え、調整が止まる場合があります。まず管理者、経理、外部公開システムなど被害額が大きい範囲で検証します。
監査ログ、利用者への影響、例外処理を確認できれば対象を段階的に広げます。ログを取得できない、または業務停止時の戻し方がない場合は、本番展開せず設計を修正します。
▲ 従来型アンチウイルスとEDR・多層防御の防御範囲の違い
サイバーセキュリティ対策チェックリストと初動
今日から使うチェックリストでは、組織、人的、技術的、物理的対策を分け、実施頻度と担当者まで記録します。
10項目の実務チェックリスト
経営責任者と連絡網：インシデント責任者、情シス、法務、広報、経営層、外部業者の連絡先を四半期ごとに更新します。
IT資産台帳：端末、サーバー、SaaS、ネットワーク機器、ドメイン、管理者、保守期限を月1回照合します。
アカウント管理：退職者と休眠アカウントを月1回削除し、管理者権限を四半期ごとに再承認します。
認証強化：メール、VPN、クラウド管理画面へ多要素認証を設定し、対応箇所からパスキーへ移行します。
更新管理：悪用が確認された外部公開機器の脆弱性は、緊急対応として適用または機能停止を判断します。
端末監視：EDRを全業務端末へ展開し、未導入端末と停止中センサーを毎日検出します。
ログ監視：管理者ログイン、国外アクセス、短時間の大量ダウンロード、転送設定変更を監視します。
バックアップ：オフラインまたは変更不能なコピーを確保し、月次でファイル、四半期でシステムを復元します。
委託先管理：事故連絡期限、再委託、権限、ログ提出、契約終了時のデータ削除を契約へ記載します。
訓練：フィッシング報告とランサムウェア初動を半期ごとに実施し、検知から隔離までの時間を測ります。
感染を疑った直後の対応タイムライン
初動では、被害拡大の防止と証拠保全を同時に進めます。慌てて全端末の電源を切ると、メモリ上の証拠や通信情報が失われるため、組織の対応責任者が隔離方法を指示します。
経過時間の目安 | 実施内容 | 判断基準 |
|---|---|---|
0〜15分 | 疑わしい端末を有線・無線ネットワークから隔離し、画面、時刻、警告文を記録 | EDRから隔離できるなら遠隔実行し、できなければLANケーブルとWi-Fiを切断 |
15〜60分 | 責任者、SOC、経営層へ連絡し、関連アカウントと端末を特定 | 認証情報流出のおそれがあれば、全セッション失効と認証情報変更を実行 |
1〜4時間 | ログ、ディスク、メール、通信記録を保全し、侵入経路と影響範囲を調査 | 社内で保全できなければ、契約済みの調査会社やJPCERT/CCへ相談 |
当日中 | 代替業務、顧客対応、警察への相談、公表方針を決定 | 事業影響が継続するならBCPを発動し、復旧系を侵害環境から分離 |
3〜5日以内 | 個人情報保護委員会への速報要否を判定 | 法定報告対象なら期限内に速報し、対象外でも判断根拠を記録 |
外部相談先として、JPCERT/CCのインシデント対応依頼と都道府県警察のサイバー犯罪相談窓口があります。攻撃者との交渉や身代金支払いを現場担当者だけで決めず、警察、法務、保険会社、調査会社を含む経営判断に切り替えます。
対策状況の判定基準
10項目のうち、資産台帳、多要素認証、更新管理、バックアップ復元、連絡網のいずれかが未実施なら、まず5項目を30日以内の改善対象にします。すべて実施済みなら、EDRの隔離訓練、委託先監査、クラウドログの監視へ進みます。
製品の導入数ではなく、未管理端末ゼロ、重大アラートの確認15分以内、退職者アカウントの当日停止、四半期復元テスト成功といった測定可能な基準を置きます。
よくある質問
サイバー攻撃に関して企業担当者が迷いやすい初動と対策順を、判断条件とともに回答します。
Q：サイバー攻撃を受けたら最初に何をすべきですか？
A：最初に疑わしい端末をネットワークから隔離し、画面、発生時刻、ログを保存します。次に責任者とSOCへ連絡し、認証情報流出のおそれがあれば全セッションを失効させます。
Q：中小企業が優先する最低限の対策は何ですか？
A：IT資産の一覧化、多要素認証、更新の自動化、EDR、変更不能なバックアップの5項目を先に実施します。社内で夜間対応ができなければ、封じ込めまで代行するMDRを選びます。
Q：セキュリティソフトを入れていればサイバー攻撃を防げますか？
A：既知のマルウェア対策には有効ですが、盗まれた認証情報、ファイルレス攻撃、委託先経由の侵入を単独では防げません。多要素認証、EDR、最小権限、ログ監視、バックアップを重ねます。
Q：ランサムウェアの身代金は支払うべきですか？
A：支払っても復号や情報削除が保証されず、犯罪組織への資金提供や再攻撃につながります。現場で支払いを決めず、端末隔離と証拠保全を行ったうえで、警察、法務、保険会社、専門調査会社を含めて判断します。
▲ サイバー攻撃（インシデント）疑い発生時の初動対応フロー
まとめ
サイバー攻撃とは、情報窃取や金銭要求、業務停止を目的として、端末、クラウド、認証情報、委託先を侵害する行為です。2026年は、ランサムウェアの二重脅迫、生成AIを使った詐欺、セッション窃取、サプライチェーン攻撃まで想定範囲を広げます。
明日からの最初の一歩は、端末・SaaS・管理者アカウントの一覧を作り、多要素認証とバックアップの復元可否を確認することです。その後、EDRとSOC、最小権限、委託先管理、初動訓練を組み合わせ、検知から隔離までの時間を測定します。
主な略語の解説
EDR（Endpoint Detection and Response）：端末上のプロセス・通信・ファイル操作を記録し、不審な挙動を検知・調査する仕組み。侵害端末を遠隔隔離できる製品が多い。
SOC（Security Operations Center）：複数のセキュリティ製品から上がる通知を24時間監視し、優先度判定と初動対応を担う組織またはサービス。
MDR（Managed Detection and Response）：EDRの監視・調査・封じ込めを外部専門事業者が代行するサービス。社内に夜間要員がいない組織で利用される。
SIEM（Security Information and Event Management）：認証・端末・クラウド・ネットワークのログを一元集約し、相関分析で脅威を検出するシステム。
TPRM（Third-Party Risk Management）：委託先・取引先のセキュリティリスクを評価・管理するプロセス。サプライチェーン攻撃への対応に直結する。
FIDO2 / パスキー：パスワードを使わず、端末内の生体認証や暗号鍵で本人確認するFIDO2規格に基づく認証方式。偽サイトへの認証情報入力を構造的に防ぐ。
RTO（Recovery Time Objective）：障害発生から業務を再開するまでに許容できる最大時間。
RPO（Recovery Point Objective）：障害発生時にどの時点のデータまで戻すことを許容するかを示す指標。
CSIRT（Computer Security Incident Response Team）：サイバーインシデントへの対応を統括する社内チームまたは組織横断の機能。
WAF（Web Application Firewall）：WebアプリへのSQLインジェクション等の攻撃を検知・遮断するセキュリティ製品。
出典一覧
警察庁「令和7年におけるサイバー空間をめぐる脅威の情勢等」および過年度統計：https://www.npa.go.jp/publications/statistics/cybersecurity/
IPA「情報セキュリティ10大脅威」：https://www.ipa.go.jp/security/10threats/
個人情報保護委員会「漏えい等が発生した場合の対応」：https://www.ppc.go.jp/personalinfo/legal/leakAction/
NIST「Zero Trust Architecture SP 800-207」：https://csrc.nist.gov/pubs/sp/800/207/final
CISA「StopRansomware Guide」：https://www.cisa.gov/stopransomware/ransomware-guide
JPCERT/CC「インシデント対応依頼」：https://www.jpcert.or.jp/ir/
CrowdStrike「Global Threat Report」：https://www.crowdstrike.com/global-threat-report/
本記事の内容に誤り等がございましたら、こちらからご連絡ください。
監修
Admina Team
情シス業務に関するお役立ち情報をマネーフォワード Adminaが提供します。
SaaS・アカウント・デバイスの管理を自動化し、IT資産の可視化とセキュリティ統制を実現。
従業員の入退社対応や棚卸し作業の工数を削減し、情報システム部門の運用負荷を大幅に軽減します。
中小企業から大企業まで、情シス・管理部門・経営層のすべてに頼れるIT管理プラットフォームです。
