- 中小企業がなぜ狙われるのか（警察庁・IPAの公表資料から）
- 最初にやる7つの対策（効果の大きい順）
- 全部は無理なときの優先順位
- 国の枠組み（SECURITY ACTIONなど）の使い方
「ハッカーに狙われない会社にするには、何をすればいいのか」。最近のニュースを見て、そう感じた経営者の方は多いと思います。先に正直にお伝えすると、攻撃を完全に防ぐ方法はありません。現実的なゴールは、狙われにくくすることと、やられても被害を小さくすることの2つです。この記事では、警察庁とIPAの公表資料をもとに、中小企業が最初にやる7つの対策を、効果の大きい順にまとめました。
なぜ中小企業が狙われるのか
警察庁の資料（令和8年上半期）では、ランサムウェア被害を受けた企業のうち、中小企業が約6割を占めています。被害報告は123件で、半期ごとでは統計開始以降で最多でした。
同じ資料で、侵入経路はVPN機器が約5割を占めるとされています。攻撃者は、未修正の脆弱性や、漏えいした認証情報を悪用して入ってきます。
IPAの「情報セキュリティ10大脅威 2026」では、組織向けの1位がランサム攻撃、2位がサプライチェーンや委託先を狙った攻撃でした。小さな会社でも、取引先の入口として狙われます。
つまり、攻撃者は特別な手を使っているというより、「更新されていない」「パスワードが弱い・使い回している」「外から見える」という、管理のすきを順番に探しています。だから、地味な基本対策が、いちばん効きます。
中小企業が最初にやる7つの対策
① ログインに「二段階認証」をかける
メール、クラウドサービス、ホームページの管理画面、VPNなど、外からログインできるものすべてに、パスワードに加えて確認コードなどを求める設定（多要素認証）を入れます。パスワードが漏れても、すぐには入られなくなります。まず、社長や管理者のアカウントと、メールから始めるのがおすすめです。
② パスワードの使い回しをやめる
ほかのサービスから漏れたパスワードを使って、片っ端から試す攻撃があります。サービスごとに違う、長いパスワードにして、覚えきれない分はパスワード管理ツールに任せると、楽に続けられます。退職した人のアカウントを残さないことも大切です。
③ ソフトと機器を、常に最新に保つ
パソコン、ホームページのCMS（WordPressなど）、プラグイン、サーバーのPHP、そしてVPN機器やルーターが対象です。警察庁の資料で入口の約5割を占めたのが、このVPN機器でした。「自動更新をオン」「サポートが終わった機器は入れ替える」を基本にします。最近の具体例は、PHPの脆弱性やWordPress本体の脆弱性の記事で整理しています。
④ 外から見えるものを、減らす
使っていない古いサイト、テスト用のページ、置きっぱなしのバックアップファイル、外から誰でも開ける管理画面は、攻撃者にとっての入口です。まず「外に公開しているもの」を一覧にして、不要なものは閉じます。自社サイトでの点検の進め方は、自社サイトで点検したい5つのことにまとめました。
⑤ バックアップを取り、別の場所に置く
これは「防ぐ」ではなく「被害を小さくする」対策です。警察庁の資料では、攻撃者は侵入後にバックアップも探して消そうとするとされています。同じネットワークにつなぎっぱなしの外付けHDDだけでは、一緒に暗号化されることがあります。ネットワークから切り離した場所に、定期的に取ること、そして実際に戻せるかを、一度試しておくことが大切です。
⑥ 怪しいメールは、まず共有する
最近の侵入は、添付ファイルの感染よりも、機器の弱点やパスワードの悪用が中心になっています。それでも、偽の請求書や偽のログイン画面に誘導するメールは、いまも多く届きます。「あれ？と思ったら、開く前に社内で共有する」というルールだけでも、被害を防げます。
⑦ 何かあったときの連絡先を、決めておく
被害にあったとき、いちばん困るのは「誰に何を連絡すればいいか分からない」ことです。社内の責任者、システムを見ている会社（制作会社・保守会社）、警察の相談窓口の連絡先を、紙1枚に書いて、すぐ見られる場所に置きます。それだけで、初動の速さが変わります。
警察庁の資料では、令和8年上半期の被害組織のうち、復旧に総額1,000万円以上かかった組織が約6割、1か月未満で復旧できた組織は5割弱でした。復旧には時間も費用もかかります。だからこそ、入られにくくする対策と、バックアップ・連絡先の準備を、両方やっておくことに意味があります。
全部は無理、という場合の優先順位
一度に全部やる必要はありません。時間がないときは、次の順番で進めてみてください。
- 今週：①メールと管理画面に二段階認証、⑦連絡先を紙に書く
- 今月：③更新状況の確認（PC・CMS・VPN機器）、⑤バックアップの場所と復元の確認
- 来月以降：②パスワード管理の整理、④外に公開しているものの棚卸し、⑥社内ルールづくり
自社だけで進めるのが難しい場合は、国の枠組みも使えます。IPAのSECURITY ACTIONは、取り組み宣言から始められる制度で、取引先への説明にも使えます（手順はこちら）。また、IPAが整理している「サイバーセキュリティお助け隊サービス」のように、中小企業向けに見守りや駆けつけ対応をまとめたサービスもあります。内容と費用は事業者ごとに違うので、比べて選んでください。
「うちのサイト、外からどう見える？」を、
無料で点検します。
公開情報の範囲で、管理画面の露出、CMSやPHPのバージョンの露出、SSLの状態を点検し、優先度の高い対策から整理してお渡しします。押し売りはしません。
オンライン対応・押し売りなしよくある質問（FAQ）
ハッカーの攻撃を、完全に防ぐことはできますか？
完全に防ぐ方法はありません。現実的には、二段階認証や更新などで「狙われにくくする」ことと、バックアップや連絡先の準備で「被害を小さくする」ことを、両方進めます。
小さな会社でも、本当に狙われるのですか？
警察庁の資料（令和8年上半期）では、ランサムウェア被害企業の約6割が中小企業でした。攻撃者は規模を選ぶというより、更新されていない機器や漏れたパスワードなど、入りやすいところを探します。
費用をかけられません。最初にやることは何ですか？
費用がほとんどかからないものから始められます。メールと管理画面の二段階認証、パスワードの使い回しをやめること、連絡先を紙に書くことの3つです。
セキュリティソフトを入れていれば大丈夫ですか？
ソフトは大切ですが、それだけでは足りません。警察庁の資料では、侵入経路の約5割がVPN機器とされています。パソコンのソフトに加えて、機器やホームページの更新、パスワードの管理も必要です。
自社のホームページが安全か、調べる方法はありますか？
管理画面が外から見えていないか、CMSやPHPのバージョンが古くないか、使っていない古いページが残っていないかを確認します。当社では、公開情報の範囲で外から点検する無料の点検も行っています。
まとめ｜「狙われにくく」と「被害を小さく」を、地味に積み上げる
ハッカー対策に、魔法のような方法はありません。二段階認証、パスワード、更新、公開しているものの整理、バックアップ、メールのルール、連絡先。この7つを、できるところから積み上げるのが、いちばん確実です。まずは今週、メールと管理画面の二段階認証と、連絡先の紙1枚から始めてみてください。
参考：警察庁「令和8年上半期におけるサイバー空間をめぐる脅威の情勢等について」（2026年9月）、IPA「情報セキュリティ10大脅威 2026」。数値や制度は更新されることがあります。最新の情報は各公式サイトをご確認ください。