トピックス 2022.02.18 中小企業がサイバー攻撃の標的にされる？対策の実態と想定される被害とは

しかし、中小企業におけるセキュリティ対策の優先度は最下位。これまで「うちのような小さい企業には関係ない」と思っていた中小企業も、しっかり対策しなければならない時代になりました。

中小企業はどのようなセキュリティ対策から始めればよいのでしょうか？将来、大きな被害が出てからでは遅く、莫大な賠償金や企業の信頼低下につながりかねません。

そこで、この記事では、中小企業のサイバー攻撃の実態を解説していきます。事例と対策も解説するので、ぜひ参考にしてみてください。

日本損害保険協会は、2020年1月に中小企業の経営者のサイバーリスク意識調査2019を発表しました。中小企業の経営者・役員825人と、大企業の経営者・役員207人がサイバーリスクについて回答しています。

調査によると、OSやソフトウェアの脆弱性管理、ウイルス対策ソフトの導入を行なっている企業が52.4％でしたが、サイバー攻撃の対策をしていない企業が24％でした。4社に1社が何もサイバー攻撃の対策をしていません。

さらに、経営課題の優先度調査では、全12項目のうち「収益性の向上」が48％で「人材の育成」が40.4%と上位を占めています。「サイバーリスクへの対応」は、1.6％と最も低い結果でした。中小企業の経営課題では、サイバー攻撃の優先度が非常に低く、被害が拡大しやすい状況です。

また、サイバー攻撃による被害イメージの調査では、50.2%が明確にできていません。セキュリティ対策をする上で、被害イメージを明確にできなければ、具体的な対策を行えません。まずは、サイバー攻撃が企業に与える影響を把握しましょう。

中小企業がサイバー攻撃を受けた際の影響は、莫大なものです。場合によっては、危機的な経営状況に追い込まれることもあります。

主な被害は以下のとおりです。

● 損害賠償の支払い
● 顧客の信頼低下
● 業務の停滞

1つ目の被害は、損害賠償の支払いです。サイバー攻撃を受けると、社内のネットワーク環境に不正アクセスされます。社内はもちろんのこと、顧客の情報まで漏洩する可能性があります。そうなると自社の責任になり、取引先や顧客から損害賠償を受けることになるでしょう。

さらに、サイバー攻撃の原因調査と復旧にもお金がかかります。損害賠償と原因調査・復旧を支払うと、経営への影響が大きくなる可能性があります。

2つ目は、顧客の信頼が低下することです。社会的信用が低下するので、競合他社の商品やサービスに、顧客が流出してしまいます。売上が下がり、経営状況が厳しくなるでしょう。

情報漏洩で顧客のデータが流出すると、相手にも迷惑をかけることに。最悪の場合、大手企業からの取引が停止になる可能性も少なからずあります。しかし、サイバー攻撃は、対策をしていれば被害を最小限にできます。

3つ目は業務の停滞です。サイバー攻撃による被害の調査・普及には、かなりの時間がかかります。その間、社内システムやメールなどの業務が停止になり、営業機会の損失につながります。また、セキュリティ対策がしっかり行われていないことで、人材の流出も少なからず考えられるでしょう。

中小企業がサイバー攻撃を受けると、経営状況に深刻な影響を与えかねません。対策にはある程度の予算が必要になりますが、被害を受けた後を考えると、しっかり対策をとった方がよいでしょう。

中小企業が狙われるセキュリティリスクの種類は、なにがあるのでしょうか。適切な対策を行うには、考えられるセキュリティリスクを明確にすることが重要です。

主な種類は以下になります。

● 脆弱性への攻撃
● テレワークを狙った攻撃
● ランサムウェア
● サプライチェーン攻撃

1つ目は「脆弱性への攻撃」です。脆弱性はOSやアプリケーション、ネットワークなど、不具合や設計上のミスによるセキュリティの欠陥です。業務を継続する上で弱点になる部分であり、悪意のある第三者からの攻撃や不正アクセスを受けやすくなっています。通常では問題ないような攻撃が防げなくなるので、サイバー攻撃の被害は拡大します。

2つ目は「テレワークを狙った攻撃」です。2020年の新型コロナウイルスの影響により、会社の規模を問わず、テレワークが普及しました。会社に出社せず、どこでも働けるようになったので、社員の利便性が高くなっています。

一方で、テレワークを狙ったサイバー攻撃が増えつつあります。今までは社内からのネットワークアクセスのみでしたが、社外からのアクセスが増えました。家庭ごとにネットワークのセキュリティは異なるので、不正アクセスされる可能性が以前よりも増しました。

3つ目は「ランサムウェア」です。ランサムウェアとは、マルウェアの一種で、感染すると身代金を要求されるウイルスです。大企業だけでなく、中小企業でも被害を受けるケースが増えています。最悪の場合、社内のデータを暗号化されてしまい、閲覧ができなくなったり漏洩したりします。ランサムウェアを受けると、社内システムが完全に停止してしまうので、莫大な影響があるでしょう。

4つ目は「サプライチェーン攻撃」です。サプライチェーン攻撃とは、原材料の調達から、加工、製造、保管、物流、販売までの一連の流れのどこかに侵入して、攻撃を行うことです。大企業はセキュリティ対策が充実しているので、中小企業が標的になるケースが増えつつあります。

サプライチェーン攻撃で中小企業を狙う目的は、大企業につながる情報の窃取です。悪意のある第三者から、不正サイトのアクセスリンクが記載されている、メールの送信があります。

サイバー攻撃は大企業に向けて行われると考えている方もいるかもしれません。ですが、標的を大企業から中小企業に変えてくることがあるので、しっかり種類を把握しましょう。

中小企業の経営者のサイバーリスク意識調査2019によると、中小企業の経営者の約2割が、何かしらのサイバー攻撃の被害を受けたと回答しています。一番多かったのが「不正送金を促すビジネスメールとフィッシングサイト」であり、約47.1％です。次に多かったのが「マルウェア」で約34.8％でした。被害総額は50万円未満が最も多いですが、1,000万～1億円未満と回答した経営者もいます。

東京都産業労働局の公式ホームページでは、中小企業のサイバー攻撃被害の事例が公開されています。神奈川県では、古いOSの使用による被害があります。OSが古いため、最新のセキュリティ対策ができるソフトウェアが導入されていませんでした。対策がとれていないパソコンで、社内プリンターを利用するため社内LANに接続したところ、マルウェアに感染しています。

また、群馬県ではサプライチェーン攻撃が発生しています。サイバー攻撃を受けたことで、顧客データが外部に漏洩し、複数のメールアドレスからマルウェアが仕込まれたメールが送信されました。内容はなりすましであり、賞与の支払いや請求書の支払いなどが記載されています。間違えてクリックしてしまうと、マルウェアに感染して情報漏洩する可能性があるので、非常に危険です。

大企業と違って、中小企業には大規模なシステムがありません。手軽に管理ができて、導入しやすい対策が効果的になります。

1つ目の対策は、業務で使用する端末のOSを最新バージョンにすることです。古いバージョンを使っていると、脆弱性が見つかりやすいです。最新バージョンにすることで、以前までのバージョンで見つかった脆弱性を解決でき、サイバー攻撃を防げる効果が期待できます。

2つ目は、ウイルス対策ソフトの導入です。端末がウイルス感染しても、すぐに把握することは困難です。気づいたときには、手遅れであることは少なくありません。ウイルス対策ソフトを導入することで、通常では気づかないウイルスの検知・除去が可能です。ウイルス対策ソフトは数多くの種類があるため、目的に合ったものを選びましょう。

3つ目は、私物の機器を使用しないことです。業務用の機器は、しっかりウイルス対策されていることが多いですが、私物のものは何もしていないケースが多いです。気づいていないだけでウイルスに感染している可能性があります。そのまま社内ネットワークに接続すると、被害が拡大してしまいます。できる限り、私物の機器を業務で使用しないようにしましょう。

サイバー攻撃の標的は、大企業から中小企業に変わりつつあります。中小企業では、収益向上や人材育成を優先していることが多く、セキュリティ対策が疎かになりがちです。年々、中小企業がサイバー攻撃を受ける被害が増えており、対策をとることが非常に重要です。

しかし、セキュリティ対策の予算は決して安くありません。ウイルス対策ソフトは、機能が多くなるほど高額になります。

サイバー攻撃が発生した場合、重要な情報が漏洩し、賠償金の支払いや顧客の流出などにつながりかねません。予算をかけてでも、しっかり対策を行うことが必要でしょう。ぜひこの記事を参考にして、中小企業のサイバー攻撃の対策に活用してみてください。

【参考サイト】

中小企業の経営者のサイバーリスク意識調査2019
https://www.sonpo.or.jp/cyber-hoken/data/2019-01/pdf/cyber_report2019.pdf

サイバー攻撃が企業に与える影響
https://www.sonpo.or.jp/cyber-hoken/impact/

中小企業を狙うサイバー攻撃！その種類や事例、対策を紹介
https://www.seraku.co.jp/pr-site/cloudsupportcenter/columns/01/05.html

中小企業を踏み台にするサプライチェーン攻撃の手口と対策とは
https://businessonline.trendmicro.co.jp/sb/smb/problem_039.asp

MISSION 1-13 中小企業におけるサイバー攻撃被害の例
https://cybersecurity-tokyo.jp/security/guidebook/176/index.html

情報セキュリティ対策における中小企業経営者の役割とは？～中小企業経営者のための情報セキュリティ最前線
https://100years-company.jp/articles/topics/060281

TEXT：セキュリティ通信 編集部
PHOTO：iStock