中小企業では、クラウドサービスや業務用端末の利用が広がり、日々の業務が便利になる一方で、サイバー攻撃への備えも重要になっています。これまで「大企業が狙われるもの」と考えていた会社でも、不審なメールやパスワードの使い回し、端末管理の不十分さなどが原因で、被害につながる可能性があります。
サイバー攻撃を完全に防ぐことは簡単ではありませんが、基本的な対策を整えることでリスクを減らすことはできます。特に、専門人材や予算が限られる中小企業では、まずどのような攻撃に注意すべきかを知り、最低限の対策から始めることが大切です。
そこで本記事では、中小企業がサイバー攻撃で狙われる理由や注意したい攻撃の種類、最低限やるべきセキュリティ対策を解説します。自社の守りを見直すために、まずは中小企業が狙われる理由から確認していきましょう。
中小企業がサイバー攻撃で狙われる理由
中小企業は、大企業に比べてサイバー攻撃と無関係だと思われがちです。しかし、実際にはセキュリティ対策の遅れや取引先とのつながり、クラウドサービスや業務端末の利用拡大によって、攻撃の対象になる可能性があります。
ここでは、中小企業がサイバー攻撃で狙われる主な理由を整理します。
セキュリティ対策が後回しになりやすい
中小企業では、日々の業務や売上につながる取り組みが優先され、セキュリティ対策が後回しになりやすい傾向があります。専任の情報システム担当者がいない会社や、担当者が他の業務と兼任している会社では、対策の必要性を感じていても、十分に手が回らないことがあります。
たとえば、パソコンやソフトウェアの更新が遅れていたり、パスワード管理が個人任せになっていたりすると、不正アクセスやマルウェア感染のリスクが高まります。また、不審なメールへの対応ルールが決まっていない場合、社員が誤って添付ファイルを開いたり、偽サイトに情報を入力したりする可能性もあります。
攻撃者は、必ずしも規模の大きい会社だけを狙うわけではありません。対策が不十分な会社は攻撃の入口になりやすいため、自社の規模に関係なく基本的なセキュリティ対策を整えることが大切です。
取引先への侵入口として狙われることがある
中小企業は、取引先への侵入口として狙われることもあります。大企業や重要な取引先のセキュリティが強化されている場合、攻撃者は直接攻撃するのではなく、関係のある企業や委託先を経由して侵入しようとすることがあります。
たとえば、取引先と共有しているファイル、メールのやり取り、受発注システム、クラウドサービスのアカウントなどが悪用されると、自社だけでなく取引先にも被害が広がる可能性があります。自社のメールアカウントが乗っ取られ、取引先に不審なメールが送られるケースも考えられます。
このような被害が起こると、業務停止や情報漏洩だけでなく、取引先からの信頼低下にもつながります。中小企業にとってセキュリティ対策は、自社を守るためだけでなく、取引先との関係を守るためにも重要です。
クラウドや業務端末の利用が増えている
近年は、中小企業でもクラウドサービスや業務用スマホ、タブレットを使う機会が増えています。情報共有や現場業務の効率化には便利ですが、利用範囲が広がるほど、管理すべきアカウントや端末も増えていきます。
たとえば、クラウド上に顧客情報や見積書、在庫データを保存している場合、アカウント管理が不十分だと第三者に情報を見られるリスクがあります。業務用端末を社外に持ち出す場合も、紛失や盗難、私物端末との混在によって情報漏洩につながる可能性があります。
便利なツールを安全に使うには、アカウントの権限管理やパスワード設定、端末の利用ルールを整えることが欠かせません。クラウドや端末の活用が進むほど、セキュリティ対策もセットで見直す必要があります。
中小企業が注意したいサイバー攻撃
サイバー攻撃にはさまざまな種類がありますが、中小企業では、業務停止や情報漏洩につながる攻撃に特に注意が必要です。
ここでは、中小企業が注意したい代表的なサイバー攻撃を紹介します。
業務を止めるランサムウェア
ランサムウェアは、パソコンやサーバー内のデータを使えない状態にし、復旧と引き換えに金銭を要求する攻撃です。感染すると、業務で使うファイルやシステムにアクセスできなくなり、受発注、請求、在庫管理、顧客対応などが止まる可能性があります。
たとえば、共有フォルダに保存している見積書や注文書、顧客情報、在庫データが暗号化されると、通常業務を進められなくなります。復旧に時間がかかれば、納期遅れや取引先への連絡、顧客対応にも影響が出ます。
ランサムウェアは、不審なメールの添付ファイルや偽サイト、脆弱性のある機器などをきっかけに感染することがあります。被害を完全に避けることは難しいため、感染しない対策だけでなく、バックアップを取り、万が一のときに復旧できる状態を整えておくことが大切です。
不審なメールや偽サイトによる情報窃取
不審なメールや偽サイトを使って、IDやパスワード、クレジットカード情報、社内情報などを盗み取る攻撃にも注意が必要です。実在する取引先や金融機関、配送会社、クラウドサービスを装ったメールが届くこともあり、一見すると本物の連絡に見える場合があります。
たとえば、「請求書を確認してください」「アカウントの確認が必要です」「荷物の配送状況をご確認ください」といった文面で、添付ファイルを開かせたり、偽のログインページへ誘導したりする手口があります。そこでIDやパスワードを入力してしまうと、メールアカウントやクラウドサービスに不正アクセスされる可能性があります。
業務でメールを使う以上、不審なメールを完全に避けることはできません。送信元のアドレス、リンク先のURL、添付ファイルの内容に違和感がないかを確認し、少しでも不安がある場合は開かずに社内で確認する習慣を持つことが重要です。
パスワードの使い回しによる不正アクセス
パスワードの使い回しも、不正アクセスの原因になります。複数のサービスで同じIDとパスワードを使っていると、どこか1つのサービスから情報が漏れた場合に、別の業務システムやクラウドサービスにもログインされる可能性があります。
たとえば、社内メール、クラウドストレージ、チャットツール、受発注システムで同じパスワードを使っていると、1つのアカウント情報が悪用されたときに被害が広がりやすくなります。メールアカウントが乗っ取られれば、取引先に不審なメールが送られ、信頼低下につながることもあります。
パスワードは、サービスごとに分けて管理することが基本です。さらに、多要素認証を設定しておけば、パスワードが漏れた場合でも第三者が簡単にログインしにくくなります。中小企業でも、まずは重要なアカウントからパスワード管理を見直すことが大切です。
最低限やるべきセキュリティ対策
サイバー攻撃への対策というと、専門的なシステムや高額なサービスを想像するかもしれませんが、まず基本的な対策を確実に行うことが重要です。
ここでは、中小企業が最低限確認しておきたいセキュリティ対策を紹介します。
OSやソフトウェアを最新の状態に保つ
セキュリティ対策の基本は、パソコンやスマートフォン、業務で使うソフトウェアを最新の状態に保つことです。古い状態のまま使い続けていると、見つかっている弱点を攻撃され、不正アクセスやマルウェア感染につながる可能性があります。
たとえば、業務用パソコンのOS、ブラウザ、メールソフト、会計ソフト、クラウドサービスのアプリなどは、定期的に更新が必要です。更新通知が出ていても後回しにしていると、攻撃を受けるリスクが高まります。
まずは、社内で使っている端末やソフトウェアを確認し、更新が止まっていないかを見直しましょう。担当者任せにせず、更新のタイミングや確認方法を決めておくと、古い状態のまま放置されにくくなります。
パスワード管理と多要素認証を徹底する
パスワード管理も、中小企業が優先して取り組むべき対策です。同じパスワードを複数のサービスで使い回していると、1つのサービスから情報が漏れた際に、メールやクラウドストレージ、業務システムまで不正アクセスされるおそれがあります。
まずは、重要なアカウントからパスワードの使い回しをやめることが大切です。社内メール、クラウドサービス、会計システム、受発注システムなど、業務に関わるアカウントは特に注意が必要です。推測されやすい文字列や、社員名・会社名・誕生日などを含むパスワードも避けたほうがよいでしょう。
加えて、多要素認証を設定できるサービスでは、できるだけ有効にしておくと安心です。多要素認証を使えば、パスワードが漏れた場合でも、第三者が簡単にログインしにくくなります。すべてのサービスで一度に対応するのが難しい場合は、メールやクラウドストレージなど重要度の高いものから始めるとよいでしょう。
バックアップと社内ルールを整える
ランサムウェアや端末故障、誤削除に備えるには、バックアップを整えておくことも重要です。業務に必要なデータを1か所だけに保存していると、トラブルが起きたときに復旧できなくなる可能性があります。
たとえば、見積書、請求書、顧客情報、在庫データ、業務マニュアルなどは、定期的にバックアップを取る対象になります。ただ保存しておくだけでなく、必要なときに復元できるかも確認しておくことが大切です。バックアップ先に常に接続したままだと、攻撃時に一緒に被害を受ける可能性があるため、保存方法にも注意しましょう。
また、セキュリティ対策は担当者だけで完結するものではありません。不審なメールを受け取ったときの対応、端末を紛失したときの連絡先、クラウドサービスに入力してよい情報、パスワードの管理方法など、最低限の社内ルールを決めて共有する必要があります。ルールを明確にしておくことで、社員が迷わず対応しやすくなり、被害の拡大も防ぎやすくなります。
まとめ
中小企業でも、サイバー攻撃と無関係ではありません。セキュリティ対策が後回しになっていたり、取引先とのつながりがあったり、クラウドや業務端末の利用が増えていたりすると、攻撃の対象になる可能性があります。
まずは、自社で注意すべき攻撃を知ることが大切です。ランサムウェア、不審なメールや偽サイト、パスワードの使い回しによる不正アクセスなどは、日常業務の中で被害につながることがあります。社員一人ひとりが基本的な手口を理解しておくだけでも、異変に気づきやすくなります。
対策を始めるときは、OSやソフトウェアの更新、パスワード管理、多要素認証、バックアップ、社内ルールの整備など、基本的な対策から確認してみましょう。自社の業務や取引先を守るためにも、できるところからセキュリティ対策を見直すことが大切です。