「うちは狙われない」が一番危険な理由——中小企業こそ標的です
「サイバー攻撃なんて、大企業や有名な会社の話。うちみたいな小さな会社が狙われるわけがない」——福島県の経営者から、本当によくいただく言葉です。
その気持ちはよく分かります。ニュースになるのは決まって大企業の大規模漏えいで、身近な中小企業の被害はあまり表に出ません。だからこそ「自分たちには関係ない」と感じてしまう。
しかし、この”油断”こそが、いま最大のリスクになっています。この記事では、なぜ中小企業が狙われるのか、データと具体例をもとに、そして「では何から手をつければいいのか」まで、製品を売らない中立の立場でお伝えします。少し長くなりますが、経営を守る話として、ぜひ最後までお読みください。
データが示す現実：被害の約6割が中小企業
まず、事実から見てみましょう。警察庁が2026年3月に公表したデータによると、2025年に報告されたランサムウェア（データを人質に身代金を要求する攻撃)の被害は226件で、過去2番目に多い水準でした。
そして注目すべきは、その内訳です。被害企業を規模別に見ると、中小企業が約6割を占め、これは2年連続で6割を超えています。「大企業ばかりが狙われる」というイメージとは、まったく逆なのです。前の年（2024年)のデータでも、大企業の被害が減る一方で、中小企業の被害は大きく増えていました。
業種別では製造業が約4割で最多となっており、次いで卸売・小売業、サービス業と続きます。自動車・電子部品などの製造業が集積する福島県にとって、これは決して人ごとではありません。
被害額も深刻です。調査・復旧にかかった費用が1,000万円以上に達した企業が半数を超え、復旧までに1か月以上を要したケースも少なくありません。事業が止まっている間の売上の損失は、これとは別に発生します。中小企業にとっては、一撃で経営が傾きかねない規模です。
なぜ、中小企業が狙われるのか
「大企業のほうがお金を持っているのに、なぜ中小企業が狙われるのか」——当然の疑問です。理由は、意外なほどシンプルです。
多くの攻撃は「狙い撃ち」ではなく「手当たり次第」だからです。
近年、攻撃の道具はサービスとして売買されるようになりました（攻撃のサービス化)。高度な専門知識がなくても、道具さえ買えば攻撃できてしまう。その結果、攻撃者はインターネット全体を機械的にスキャンし、”入りやすい穴”が空いているところを片っ端から攻撃します。会社の知名度や規模は関係ありません。ねらい目は「セキュリティが手薄なところ」——ただそれだけです。
具体的な”入口”としてよく悪用されるのが、古いまま放置されたVPN機器やソフトウェアの脆弱性、そして推測されやすいパスワードです。大企業はこうした基本対策に人とお金をかけていますが、中小企業は手が回らないことが多い。だからこそ、相対的に「入りやすい」標的になってしまうのです。
さらに、以前の記事でも触れたとおり、取引先を踏み台にする攻撃（サプライチェーン攻撃)も増えています。あなたの会社が直接のねらいでなくても、取引先へ侵入するための”通り道”にされることがあります。その場合、被害は自社だけでなく取引先にも及び、信用と取引そのものを失いかねません。（→福島の製造業下請けのサプライチェーン対策）
ありがちな3つの誤解
「うちは狙われない」と感じる背景には、いくつかの共通した誤解があります。ひとつずつ見ていきましょう。
誤解①「うちには盗まれて困るような重要な情報はない」 攻撃者の多くは、情報を盗んで売ることより、データを暗号化して使えなくし、その復旧と引き換えに身代金を要求します。つまり、情報の価値ではなく「あなたが業務を止められたら困るか」が狙いです。顧客名簿、受発注データ、会計情報——止まったら困るデータは、どんな会社にもあります。
誤解②「セキュリティソフトを入れているから大丈夫」 ウイルス対策ソフトは大切ですが、それだけでは防ぎきれません。入口はメールの添付ファイル、古い機器の穴、盗まれたパスワードなど多岐にわたります。守りは「一枚の壁」ではなく「複数の備えの組み合わせ」で考える必要があります。
誤解③「うちは有名じゃないから見つからない」 前述のとおり、攻撃は機械的な無差別スキャンで行われます。有名かどうかは関係なく、インターネットにつながっている時点で”見つかっていると考えるのが安全です。
「その日」に何が起きるのか
イメージしにくいかもしれないので、実際に起きうる流れを描いてみます。
ある朝、出社してパソコンを開くと、ファイルが一つも開けない。画面には「データを暗号化した。元に戻したければ○○を支払え」という英語のメッセージ。受発注も、見積も、会計データも、すべて人質に取られている。取引先からの問い合わせには応えられず、納期は守れない。復旧を試みても、専門業者への依頼で数百万円、業務の再開までに数週間——。
これは大げさな話ではなく、前述のデータが示す「現実に起きていること」です。そして、こうなってから対策を考えるのでは、あまりに代償が大きいのです。
バックアップは「取っているか」より「戻せるか」
「うちはバックアップを取っているから、最悪でも戻せる」——そう考える方も多いでしょう。ところが、ここにも落とし穴があります。
警察庁のデータでは、被害に遭った企業の多くがバックアップを取得していたにもかかわらず、被害の直前の状態まで復元できた企業はごく一部でした。理由はさまざまですが、バックアップ先まで暗号化されていた、復元を試したことがなく実際には使えなかった、といったケースが典型です。
だからこそ、バックアップは「取り方」が肝心です。押さえたいのは次の3点です。①ネットワークから切り離して保管する(オフラインバックアップ)、②複数の世代・複数の場所に保存する、③定期的に「本当に復元できるか」テストする。この3つがあるかないかで、いざというときの結果がまるで変わります。
では、何から始めればいいのか
ここまで「怖い話」を続けてきましたが、伝えたいのは恐怖ではなく「今日からできることがある」ということです。中小企業がまず固めるべき土台は、高価な製品ではなく、基本の徹底から始まります。
まずはSECURITY ACTIONの「6か条」から。OS・ソフトの更新、ウイルス対策ソフトの導入、パスワードの強化、共有設定の見直し、攻撃の手口を知ること、そしてバックアップ。これだけで、”手当たり次第”の攻撃のかなりを防げます。費用もほとんどかかりません。（→SECURITY ACTIONとは？）
次に、自社の現在地を知る。何ができていて、何が抜けているのか。まずは点数で把握するのがおすすめです。当サイトの無料セルフチェックなら、30秒でわかります。（→自己診断ツール）
そして、より広い経営目線での備えについては、母艦記事「サイバーセキュリティ経営ガイドラインとは？」もあわせてご覧ください。（→サイバーセキュリティ経営ガイドラインとは？）
まとめ
「うちは狙われない」は、もっとも危険な思い込みです。データが示すとおり、いま狙われているのは、むしろ対策の手薄な中小企業であり、攻撃は規模も知名度も問わず、機械的にやってきます。
しかし、必要なのは高価な製品ではありません。6か条の徹底、戻せるバックアップ、現在地の把握——この基本から始めるだけで、被害の多くは防げます。「何から手をつければいいか分からない」という段階で構いません。福島県の中小企業向けに、手数料を取らない中立の立場でご相談に応じます。まずはお気軽にどうぞ。
本記事は2026年8月時点の情報をもとに作成しています。統計は警察庁の公表資料に基づきます。最新の情勢は各公的機関の公表資料でご確認ください。
※この記事はサイバー攻撃の被害に関する内容を含みます。実際に被害に遭った、または不安が強い場合は、早めに警察（サイバー犯罪相談窓口）や専門機関にご相談ください。