「うちみたいな会社は狙われない」が、いちばん危ない思い込みである理由

「うちみたいな小さい会社を狙っても、盗るものがないでしょう」——セキュリティの話をすると、経営者の方からいちばん多く返ってくる言葉です。これは意地悪でも無責任でもなく、ごく自然な感覚だと思います。狙う側にも手間がかかるのだから、割に合う相手を選ぶだろう。そう考えるのが商売人の発想です。

ところが、この感覚は攻撃の実態と一つだけ決定的にズレています。攻撃者は「どの会社を狙うか」を先に決めていないのです。順番が逆で、まず穴を探し、見つかった穴の持ち主が誰だったかを後から調べます。つまり、狙われるかどうかを決めているのは会社の規模や知名度ではなく、自社が外に向けて何を開けたままにしているか、という一点です。

この記事では、なぜ規模の小さい会社ほど被害に遭いやすい構造になっているのかを、専門用語をできる限り使わずに説明します。読み終えたときに、社内の担当者に投げるべき質問が5つ手元に残る、という状態を目指しています。

攻撃者は会社を選んでいない。開いている穴を選んでいる

インターネットに接続された機器は、世界中のどこからでも「そこに何かがある」ことが分かります。これは欠陥ではなく、インターネットがそういう仕組みだからです。住所を知られたくない建物であっても、道路に面していれば通行人からは見えます。それと同じことが、自社のルーター、VPN機器、社内システムを外から使うための入口、監視カメラのレコーダー、複合機に対して起きています。

攻撃者はこの「通行人」を自動化しました。プログラムがインターネット上のアドレスを端から順番に叩き、応答があった機器の種類とバージョンを記録していきます。人間が「よし、この会社にしよう」と考える工程はどこにもありません。数時間で数千万件のアドレスを調べ終える道具が、すでに出回っています。

そして、機器の種類とバージョンが分かると、その機器に「すでに公表されている弱点」があるかどうかが分かります。ソフトウェアの弱点は、見つかると製造元が修正プログラムを配り、同時に「この製品のこのバージョンには、こういう弱点がある」という情報が公開されます。修正を当てるための情報ですが、当てていない機器を探す側にとっても同じくらい役に立つ情報です。

ここまでが全自動です。攻撃者が人間の判断を使うのは、この後——「修正を当てていない機器の一覧」ができあがった段階からです。一覧を眺めて、どの会社なら金になりそうかを考える。この時点で、あなたの会社はすでに候補に載っています。載るかどうかを決めたのは会社の魅力ではなく、修正プログラムを当てたかどうかです。

「知られていないから安全」は成立しない

「うちの会社の名前は誰も知らないから」という安心も、同じ理由で成立しません。攻撃者は社名から機器にたどり着くのではなく、機器から社名にたどり着きます。無名であることは、機器の弱点を隠してはくれません。

むしろ逆に働くことがあります。名前が知られている会社は、攻撃を受けたときに報道され、情報が共有され、業界全体が身構えます。知られていない会社が受けた攻撃は、多くの場合どこにも出ません。攻撃者にとっては、静かに繰り返せる相手のほうが都合がよいのです。

なぜ規模の小さい会社が「割のいい相手」になるのか

候補一覧に載った後、攻撃者は実際にどこから手を付けるかを選びます。ここで初めて会社の性質が効いてきますが、選ばれる基準は「持っている資産の大きさ」ではありません。手間に対する見返りです。

1. 守りが薄いので、侵入までの手間が小さい

専任のセキュリティ担当者がいる会社と、総務の方が兼務で見ている会社とでは、侵入までにかかる時間がまったく違います。攻撃者から見れば、同じ金額を得るのに1週間かかる相手と1日で済む相手があれば、後者を先に処理するのが合理的です。守りの薄さは、そのまま「効率のよさ」として評価されます。

2. 止まったときの困り方が大きく、判断が早い

これは直感に反するところですが、規模が小さいほど「業務が止まること」の切迫度は高くなります。受発注システムが3日止まったとき、代替手段を持っている会社と、そこが止まれば何もできなくなる会社では、後者のほうが早く「払ってでも復旧したい」と考えます。攻撃者はこの構造をよく理解しています。

3. 大きな取引先への通り道になる

これが最も見落とされる点です。攻撃者の本当の狙いが自社ではなく、自社の取引先である場合があります。大企業は正面から攻めると守りが固い。しかし、その大企業と日常的にデータをやり取りし、システムにつながり、担当者と面識のある取引先を経由すれば、話は変わります。

取引先からのメールは疑われにくい。共有されたファイルは開かれやすい。発注書の形式は見慣れている。自社が攻撃される理由が「自社に価値があるから」ではなく「信用されているから」であるケースが、現実に存在します。この場合、自社の被害額よりも、取引先に与えた損害の説明のほうがはるかに重い問題になります。

実際の入口は、たいてい3つに集約される

攻撃の手口は無数にあるように語られますが、実際に企業が侵入される入口は、驚くほど同じところに集中しています。ここを押さえるだけで、被害の相当部分は起こらなかったはずのものです。

この3つに共通しているのは、いずれも高度な技術ではなく、管理の抜けを突いているという点です。最新の攻撃手法に対抗するための投資よりも先に、いま開いたままになっている扉を閉めるほうが、費用対効果ははるかに高くなります。

侵入は一瞬の出来事ではなく、数週間かけた作業である

もう一つ、認識を入れ替えておきたいことがあります。多くの方は、サイバー攻撃を「ある日突然、画面が真っ暗になる出来事」として想像します。実際には違います。画面が真っ暗になるのは、攻撃の最終工程です。そこに至るまでに、攻撃者は数日から数か月にわたって社内をうろついています。

最初の侵入で得られるのは、たいてい権限の弱い一台のパソコンにすぎません。そこから攻撃者は、社内にどんなサーバーがあるかを調べ、より強い権限を持つアカウントを探し、バックアップの保管場所を特定し、業務が最も止まると困る時間帯を見極めます。準備が整ってから、初めて暗号化を実行します。丁寧に段取りを踏むほど、要求できる金額が上がるからです。

これは悪い話ばかりではありません。裏を返せば、気づくための時間が実は何週間もあったということです。深夜に管理者アカウントがログインしている、普段アクセスしない共有フォルダが一気に開かれている、社外へ大量のデータが送られている——こうした兆候は記録に残ります。残っているのに、見る人がいない。多くの被害はここで決まります。

ですから、経営として本当に問うべきなのは「入られたかどうか」ではなく、「入られていたとして、それに気づける仕組みがあるか」です。前者は誰にも保証できませんが、後者は今日から用意できます。

「大したデータを持っていない」も、残念ながら成り立たない

「顧客情報といっても大した量ではないし、機密といえるものもない」。これもよく聞く言葉です。しかし攻撃者が現金に換えているものは、必ずしもデータの中身ではありません。

売っているのは「業務が止まっている状態」

ランサムウェア——社内のファイルを暗号化して読めなくし、元に戻す鍵と引き換えに金銭を要求する攻撃——が広く使われるようになった理由は、データの価値を評価する必要がないからです。中身が何であれ、その会社にとって必要なファイルであれば、止まった時点で価値が生まれます。攻撃者は、あなたのデータの価値を知る必要がありません。あなたがそれを必要としている、という事実だけで足りるのです。

さらに「公開する」という二段目の圧力がかかる

近年の手口では、暗号化する前にデータを外部へ持ち出しておき、支払わなければ公開すると通告する形が一般的になりました。バックアップから復旧できたとしても、持ち出された事実は消えません。ここで問題になるのは、自社の秘密よりもむしろ取引先や顧客から預かっている情報です。自社にとって「大したことのない」データが、預けた側にとってそうであるとは限りません。

そして、報告の義務が発生する

個人情報が漏えいした、あるいは漏えいのおそれがある場合、企業には個人情報保護委員会への報告と、本人への通知が法律上求められます。要配慮個人情報が含まれる場合、財産的被害のおそれがある場合、不正の目的による行為である場合、対象が1,000人を超える場合などが対象で、ランサムウェアによる被害は「不正の目的による行為」に該当しうるため、実務上ほとんどのケースで報告対象になると考えておくべきです。速報は事態を知ってから概ね3〜5日以内、確報は30日以内（不正アクセス等の場合は60日以内）という時間軸で動くことになります。

ここで効いてくるのが、「何が持ち出されたか分からない」という状態の重さです。記録が残っていなければ、範囲を絞り込めません。範囲を絞り込めなければ、最も広く見積もって通知するほかありません。技術的な被害の大きさよりも、記録の有無が、その後の説明コストを決めてしまいます。

では、経営者は明日から何をすればいいのか

ここまでの話を、担当者に投げる質問の形に変えます。技術の知識は要りません。答えが返ってこない項目こそが、いま自社で最も危ない場所です。

1. 外からインターネット越しに触れる機器を、全部書き出せますか。VPN機器、社外からのリモート接続、Webサイト、カメラの録画装置、複合機まで含めて。一覧が存在しないなら、そこから始めます。
2. その機器の更新を、最後にいつ当てましたか。「業務が止まるので当てていない」という答えが返ってきたら、止めてよい時間帯を経営として決めてあげる必要があります。これは担当者の判断で決められることではありません。
3. バックアップから実際に復旧できることを、いつ確かめましたか。取っていることと、戻せることは別です。加えて、バックアップ自体が社内ネットワークにつながったままなら、同時に暗号化されます。
4. 管理者権限のアカウントに、パスワード以外の確認手段がかかっていますか。いわゆる多要素認証です。すべてのアカウントは無理でも、管理者権限だけは例外なくかけるべき対象です。
5. おかしいと気づいた社員は、誰にどう連絡すればいいか知っていますか。「怒られそうだから黙っておこう」という空気が一日あるだけで、被害の範囲は桁で変わります。これは技術ではなく、経営がつくるものです。

順番を間違えないための考え方

対策を検討し始めると、必ず「何から予算をつけるべきか」という話になります。ここで基準を一つだけ持っておくと迷いません。「入られる確率を下げるもの」と「入られた後の被害を小さくするもの」は、別々に一つずつ用意するという基準です。

前者だけを積み上げていくと、いつまでも「万全ですか」という問いに答えられません。侵入の確率は下げられても、ゼロにはならないからです。一方で後者だけを用意しても、入られる頻度が高ければ対応に追われ続けます。上の5つの質問でいえば、1・2・4が前者、3・5が後者にあたります。片方に偏っていないかを確認する、それだけで投資判断の精度は大きく変わります。

この5つは、費用のかかる対策ではありません。1〜5のどれも、まず「現状を言葉にする」ところから始まります。そして経験上、この5問をきちんと投げると、そのうち2つか3つは答えが返ってきません。それが分かっただけで、この記事を読んだ価値はあります。

よくある5つの反論に、先に答えておく

社内でこの話をすると、たいてい同じ反論が返ってきます。どれも一理あるものばかりなので、どこまでが正しく、どこから先が成り立たないのかを整理しておきます。

「サイバー保険に入っているから大丈夫」

保険は損害の一部を金銭で埋めるものであって、止まった業務を動かしてはくれません。復旧に2週間かかれば、その2週間は保険に入っていても止まったままです。また、契約によっては「基本的な対策を実施していること」が支払いの条件になっていたり、修正プログラムを長期間当てていなかったことを理由に減額されたりする例があります。保険は最後の受け皿としては有効ですが、対策の代わりにはなりません。加入している場合は、支払いの前提条件として何を求められているかを、契約書で一度確認しておくことをおすすめします。

「クラウドに移したから、うちの責任ではない」

クラウド事業者が守るのは、あくまで基盤の部分です。誰にどの権限を与えるか、どのデータを外部に公開する設定にするか、退職者のアカウントを消すかどうかは、利用する側の責任範囲に残ります。実際、クラウド上の情報漏えいで最も多い原因は事業者の障害ではなく、利用者側の設定ミスとアカウント管理の不備です。責任の分担がどこで切れているのかは、契約時に一度確認しておく価値があります。

「ウイルス対策ソフトを全台に入れている」

入れていない状態よりは、はるかに良いことです。ただし前述のとおり、侵入後の攻撃者は正規のアカウントで正規の操作をします。ウイルスという「持ち込まれた異物」を見つける仕組みは、異物を持ち込まない攻撃には反応しません。また、盗まれた ID とパスワードで正面から入られた場合、ウイルス対策ソフトが検知すべき対象そのものが存在しません。

「社内ネットワークは外から見えないようにしてある」

外から直接見えないこと自体は正しい設計です。問題は、一度でも内側に入られた後の話です。多くの中小企業のネットワークは、外周だけが硬く、内側は平坦につくられています。一台に入られた時点で、社内のほぼ全域に手が届いてしまう。外周の硬さと、内側の広さは別々に評価する必要があります。

「うちは社員が少ないので、全員に目が届く」

人数が少ないことは、教育と周知の面では確かに有利です。一方で、一人あたりが持つ権限は大きくなりがちで、「その人のアカウントが取られると全部が取られる」状態になりやすいという弱点があります。特に、経営者ご自身のアカウントが最も強い権限を持っているケースは非常に多く、かつ最も狙われます。人数の少なさは、権限の集中という別のリスクと表裏一体です。

「安全か」ではなく「どこまで分かっているか」を問う

経営者がセキュリティ担当者に「うちは安全か」と聞くと、担当者は答えに詰まります。安全だと言い切れば責任を負うことになり、危険だと言えば予算の話になるからです。結果として「一通りの対策はしています」という、何も伝えていない答えが返ってきます。

問いを変えると、会話が変わります。「どこまで分かっていて、どこから先が分からないのか」。これなら担当者は正直に答えられますし、答えの中に、次に何をすべきかがそのまま含まれています。分からない範囲が明確になっていることは、それ自体が管理ができている証拠です。逆に「全部分かっています」と即答が返ってくる会社のほうが、実際には危ういことが多い。

セキュリティは、ゼロにできない種類のリスクです。交通事故をゼロにできないのと同じで、目標は「絶対に起きない状態」ではなく、起きたときに、どこまで小さく収められるかにあります。そしてその「小ささ」を決めるのは、攻撃を受けた後の対応ではなく、受ける前にどこまで自社の状態を把握していたか、です。

参考になる公的資料

社内で話を始めるときの共通の土台として、以下の公開資料が使いやすいと思います。いずれも無償で、専門家向けではなく企業の担当者向けに書かれています。

• 独立行政法人情報処理推進機構（IPA）「情報セキュリティ10大脅威」——毎年公表されており、組織向けの脅威が順位付きで整理されています。近年は組織編の1位にランサムウェアによる被害が継続して挙げられています。
• IPA「中小企業の情報セキュリティ対策ガイドライン」——経営者向けの章と実践編に分かれており、この記事で挙げた5つの質問はここに書かれている内容とほぼ重なります。
• 経済産業省・IPA「サイバーセキュリティ経営ガイドライン」——経営者が指示すべき事項が10項目に整理されています。取締役会での説明資料の骨子としても使えます。
• 個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン」および漏えい等報告に関する解説——報告義務の対象と期限は、事故が起きてから調べるのでは間に合いません。

次回は、実際にランサムウェアの被害が発生したとき、最初の72時間に社内で何が起き、経営者がどの順番で判断を下すことになるのかを整理します。