中小企業のサイバー攻撃被害、
実は被害報告の約6割。
入口は「放置された設定」でした。

「サイバー攻撃は大企業や病院の話」と思っていませんか。ニュースになるのは大きな被害ですが、実際の被害報告の中心は、従業員数十人〜数百人規模の中小企業です。ここでは、公的な集計と私たちの実測データから、「中小企業が何で被害に遭い、何を先にやればいいか」を整理します。

被害の約6割は中小企業。「大企業だけの話」ではない

警察庁が公表している「サイバー空間をめぐる脅威の情勢等について」では、2025年（令和7年）に警察へ報告されたランサムウェア被害は年間200件超で、そのうち中小企業が約6割を占めたとされています（※報道・解説記事で確認した数値です。正確な件数は警察庁の公表資料をご確認ください）。

報告に上がらない被害や、「感染したが公表していない」ケースも多いため、実態はこの数字より大きいと考えるのが自然です。

入口は「高度なハッキング」ではなく「放置された設定」

同じ警察庁の資料では、ランサムウェアの主な侵入経路はVPN機器の脆弱性とリモートデスクトップでした。つまり「更新されていない機器」「外から入れる状態のまま放置された入口」です。

これは裏返せば、「鍵を閉める」だけで、被害の大半は避けられるということでもあります。

ホームページも「入口」のひとつ。北関東2万3千社の実測

私たちは北関東の中小事業者サイト約2万3千件を、公開情報の範囲で自動診断しました（攻撃行為は一切していません）。

今週中にできる、優先順位つき対策（予算ほぼゼロ）

優先1：外から入れる「入口」を最新にする

• VPN機器・ルーター・Wi-Fi機器のファームウェアを更新（メーカーのサポート終了品は買い替え）
• 使っていないリモートデスクトップは無効化。使うなら二段階認証を必須に

優先2：ログインを守る

• メール・クラウド・ホームページ管理画面に二段階認証を設定
• 同じパスワードの使い回しをやめる（パスワード管理ツールの利用）

優先3：やられても事業が止まらないようにする

• 重要データのバックアップを、ネットワークから切り離した場所にも取る（つながったままだとまとめて暗号化されます）
• 「感染したら誰に連絡し、何を止めるか」を1枚にまとめる

優先4：ホームページの外周を点検する

• SSL（https）、管理画面の露出、CMSの更新状況をまとめて確認

よくある質問（FAQ）

うちは小さな会社です。本当に狙われますか？

はい、規模は関係ありません。攻撃の多くは自動化されており、「VPN機器が古い」「管理画面が開いている」といった弱点を機械的に探して侵入を試みます。警察庁の集計でも、ランサムウェア被害の約6割は中小企業とされています。

まず何から手をつければいいですか？

(1) VPN・ルーター・ネットワーク機器のファームウェア更新、(2) ログイン画面の保護と二段階認証、(3) ネットワークから切り離したバックアップ、の3つが優先です。ホームページについては、無料の外周点検で『外から見える弱点』を先に確認できます。

取引先からセキュリティ対策を求められたらどうすればいい？

まず自社の状態を把握することが出発点です。外から見える状態の点検、IPAの『SECURITY ACTION』の宣言、補助金の活用の順に進めると無理がありません。詳しくは関連記事をご覧ください。

まとめ｜「うちは大丈夫」を確認に変える

被害の中心は中小企業で、入口の多くは放置された設定です。裏を返せば、今日確認して塞げば防げる確率が高いということ。まずはホームページの外周と、VPN・ルーターの更新状況から確認してみてください。