なぜ中小企業が狙われるのか
「うちは規模も小さいし、狙われるほどの会社じゃない」——この考え方こそがリスクです。攻撃者にとって中小企業は、大企業に比べてセキュリティ投資が手薄になりがちで、かつ業務停止の影響が経営に直結しやすいため、身代金を支払う可能性が高い標的と見なされています。さらに近年は、取引先の大企業へ侵入するための足がかり（サプライチェーン攻撃）として狙われるケースも増えており、自社だけの問題では済まなくなっています。
フェーズ1：今日から始められること
コストが低く、すぐに着手できるものからです。
- バックアップの「3-2-1ルール」を確認する — データを3つ以上のコピーで保持し、2種類の異なる媒体に保存し、うち1つはオフライン・オフサイトに置く。ランサムウェアはネットワーク上のバックアップも暗号化しようとするため、「オフラインの控え」が最後の命綱になります。
- 多要素認証（MFA）を有効にする — メール、VPN、クラウドサービスなど外部からアクセスできる入口すべてにMFAを設定する。パスワードが漏れても、それだけでは突破されない状態を作ります。
- OS・ソフトウェアの更新を止めない — 攻撃の多くは「修正済みだが適用されていない脆弱性」を突いて侵入します。自動更新を有効化し、後回しにしない運用にする。
具体例：「MFAを設定した」と言っても、VPN機器やクラウドサービスのログイン画面にMFAをかけるだけが対策ではありません。そもそも社内サーバーのSSHやRDPポートをインターネットに公開しない、という方法があります。Tailscaleのようなメッシュ型VPNを利用すれば、会社のアカウントで認証されたユーザーや、Tailscaleネットワークに参加した端末だけから社内サーバーへ接続させ、さらにアクセス制御によって「誰が、どのサーバーの、どのポートへ接続できるか」を制限できます。これに端末承認やMFAを組み合わせることで、従来の「VPNに入れたら社内LANが広く見える」構成より、侵入後の被害範囲を抑えやすくなります。
フェーズ2：今月中に整えたい仕組み
運用ルールと体制づくりです。
- アクセス権限を最小限にする — 全員が管理者権限を持っている状態は、一台の端末が侵入されただけで全社に被害が広がる原因になります。業務に必要な範囲だけ権限を付与する。
- 従業員向けのフィッシング教育を行う — 侵入の入口として最も多いのはメール経由です。「怪しいメールを開かない」と伝えるだけでなく、実際の攻撃メールを模した訓練を定期的に行うと効果が高まります。
- エンドポイント対策（EDR）の導入を検討する — 従来型のウイルス対策ソフトでは検知しづらい「大量のファイルが急に暗号化される」といった不審な挙動を検知・遮断する仕組みを検討する。Microsoft 365を利用している場合はMicrosoft Defender for Businessが比較的導入しやすく、ほかにCrowdStrike Falcon Go、Trend Micro Apex Oneなどの選択肢もあります。
フェーズ3：万一に備える
起きてしまった後のダメージを最小化する準備です。
- バックアップからの復旧テストを実施する — 「バックアップを取っている」ことと「実際に復旧できる」ことは別物です。年に1回は復旧訓練を行い、想定通りに戻せるかを確認する。
- インシデント対応計画を用意する — 誰が第一報を受け、誰が経営判断をし、どこに連絡するか（警察・専門業者・取引先）を事前に決めておく。感染してから考えると初動が遅れます。
もし感染してしまったら — 初動の5ステップ
- ネットワークから切り離すLANケーブルを抜く、Wi-Fiを切る。感染拡大を止めることが最優先です。
- 電源はむやみに切らないシャットダウンすると証拠（揮発性メモリなど）が失われる可能性があります。判断に迷ったら、まず専門家に相談してください。
- 被害範囲を確認するどの端末・共有フォルダが影響を受けているかを洗い出す。
- 警察と専門業者に連絡する自己判断で復旧を進める前に、都道府県警察のサイバー犯罪相談窓口、IPA 情報セキュリティ安心相談窓口、JPCERT/CC インシデント対応依頼、LAC サイバー救急センター（サイバー119）などの専門窓口に相談する。
- 身代金は支払わないランサムウェアの身代金を支払っても、データが正常に復号・復旧される保証はありません。また、追加の金銭要求や再度の攻撃につながる可能性があり、犯罪組織への資金提供にもなることから、国内外の専門機関は原則として身代金の支払いを推奨していません。
無料診断ではここまで
セキュリティブースターの自動診断は、外部から観測できる典型的な設定不備を検出しますが、MFAの設定状況やバックアップ運用、社内の権限設計、従業員教育の有無など、社内に入らないと分からない項目までは確認できません。