「うちは狙われない」は過去の話？中小企業が標的になる実態
IPA・警察庁の公表データは、サイバー攻撃の被害が大企業より中小企業に集中し始めていることを示しています。「規模が小さいから狙われない」という認識は、すでにデータによって否定されています。
サイバー攻撃件数の推移（2022〜2024年）
ランサムウェアとは、感染したコンピュータのファイルを暗号化し、復旧と引き換えに金銭を要求するマルウェアです。
警察庁「サイバー空間をめぐる脅威の情勢等について」（2024年上半期）の解説によれば、2024年上半期のランサムウェア被害件数のうち、**中小企業が占める割合は64％**に達しています（出典: ニュートンコンサルティング、警察庁報告二次解説、2024年10月）。
さらに2025年7月に報告された最新データでは、中小企業のランサムウェア被害件数が前年比40％増となったことが確認されています（出典: ScanNetSecurity「中小企業のランサムウェア被害 昨対4割増」、2025年7月30日）。
| 指標 | 数値 | 出典・時点 |
|---|---|---|
| ランサムウェア被害に占める中小企業の割合 | 64％ | 警察庁報告、2024年上半期 |
| 中小企業のランサムウェア被害件数・前年比増加率 | 40％増 | 警察庁報告、2025年公表 |
| サイバー攻撃が取引先にも影響した割合 | 約70％ | 経済産業省、2025年2月公表 |
経済産業省が2025年2月に公表した調査では、中小企業がサイバー攻撃を受けた場合に**取引先へも影響が及ぶケースが約70％**に上ることが判明しています（出典: 経済産業省、2025年2月19日公表）。自社の被害にとどまらず、取引先を巻き込むリスクがあるという点は、特に注意が必要です。
中小企業が狙われやすい3つの構造的理由
攻撃が中小企業に集中する背景には、件数の多さだけでなく、構造的な脆弱性があります。
セキュリティ投資の絶対額が少ない 専任のIT担当者を置けない企業では、ソフトウェアのアップデートやアクセスログの監視が後回しになりやすい状態です。
大企業のサプライチェーンへの入口として狙われる 直接の標的は大企業であっても、セキュリティが手薄な中小の取引先を経由して侵入するケースが増えています。経済産業省の調査が示す「約70％が取引先へも影響」は、この構図を裏づけるものです。
ホームページが長期間メンテナンスされていない 制作後に保守契約を結ばないまま運用されているサイトは、CMSやプラグインの脆弱性が放置されやすく、自動化された攻撃ツールの格好の標的になります。
IPAが毎年公表する「情報セキュリティ10大脅威2025（組織編）」でも、ランサムウェアによる攻撃は引き続き上位にランクされており、業種・規模を問わず警戒が必要な脅威として位置づけられています（出典: IPA「情報セキュリティ10大脅威2025」）。
攻撃者は御社の売上規模や知名度を見て標的を選んでいるわけではありません。「対策が甘い」という技術的な隙が、攻撃を引き寄せる主因です。具体的にどのような経路でホームページが被害を受けるかは、次のセクションで解説します。
ホームページ経由の主な被害類型とは？
不正アクセス、改ざん、フィッシングへの踏み台の3類型が、中小企業のホームページに対するサイバー被害の大半を占めます。「攻撃者は大企業のシステムを狙う」というイメージは実態とかけ離れており、手入れの行き届いていないホームページこそが格好の標的になっています。
前セクションで示したとおり、ランサムウェア被害の64%が中小企業に集中しています。ここでは、そうした攻撃が実際にどのような経路でホームページに及ぶのかを類型別に整理します。
Webサイト改ざんとランサムウェアの違い
「改ざん」と「ランサムウェア」は混同されがちですが、攻撃の目的も手口も異なります。
| 被害類型 | 攻撃の目的 | 主な手口 | 御社への影響 |
|---|---|---|---|
| Webサイト改ざん | 踏み台化・フィッシング誘導・SEOスパム | CMSの脆弱性悪用、不正コード埋め込み | 訪問者がマルウェアに感染 / 検索順位の急落 |
| ランサムウェア感染 | 金銭的要求（復号と引き換えの身代金） | メール添付・VPN脆弱性・改ざんサイトからの感染 | サーバ上のファイルが暗号化され業務停止 |
| 不正アクセス | 情報窃取・なりすまし | 管理画面への辞書攻撃、盗んだ認証情報の流用 | 顧客データ・受注情報の外部流出 |
| フィッシング踏み台 | 他者への詐欺メール送信 | 改ざんしたサーバを踏み台に悪用 | 御社ドメインが詐欺の発信元と認定されるリスク |
IPAは「情報セキュリティ10大脅威 2024」において、Webサイト改ざんを中小企業が直面する脅威として継続的に取り上げています（出典: IPA「情報セキュリティ10大脅威 2024」）。改ざんの厄介な点は、御社自身が被害者でありながら、訪問者への加害者にもなる点です。感染サイトと認定されると、GoogleのSafe Browsing機能による警告表示が出て、サイトへのアクセスそのものが遮断されます。
実装者の視点: WordPressなどのCMSを使ったホームページは、プラグインの更新が滞ると既知の脆弱性を公開したまま運用し続けることになります。攻撃者は脆弱性データベースを自動でスキャンしており、更新の止まったサイトは数日以内に試行される場合もあります。「制作後は触っていない」という状態が、最もリスクの高い状態です。
フォームから個人情報が漏えいするケース
問い合わせフォームや資料請求フォームは、多くの中小企業のホームページに設置されています。しかしフォームの実装が不適切な場合、入力された個人情報がそのまま窃取される経路になります。
フォーム経由の主な攻撃手口:
- SQLインジェクション: フォームの入力値を通じてデータベースを直接操作し、保存されている顧客情報を丸ごと取り出す
- クロスサイトスクリプティング（XSS）: 悪意のあるスクリプトをフォームに入力し、訪問者のブラウザ上で実行させて認証情報を盗む
- フォームの平文送信: SSL（暗号化通信）が未設定の場合、送信データが通信経路上で盗聴される
SQLインジェクションとは、データベースへの問い合わせ文（SQL）を悪意ある命令に書き換える攻撃で、フォームへの入力値を適切に検証・無害化（サニタイズ）しておくことで防げます。
中小企業庁「2022年版中小企業白書」では、デジタルツールを導入しながらもその活用・管理が追いついていない中小企業が相当数存在すると指摘しています（出典: 中小企業庁「2022年版中小企業白書」第2節）。ホームページについても「開設はしているが更新・保守が止まっている」状態が課題として明記されており、フォームのセキュリティ実装が制作当初のまま放置されているケースはその典型例です。
また、総務省「令和6年通信利用動向調査報告書（企業編）」は、国内企業のホームページ開設率の高止まりを示す一方で、規模が小さい企業ほどWebの活用の質にばらつきがあることを示しています（出典: 総務省「令和6年通信利用動向調査報告書（企業編）」https://www.soumu.go.jp/johotsusintokei/statistics/pdf/HR202400_002.pdf）。「開設している」と「安全に運用できている」は、まったく別の状態です。
さらに、IPAの2025年公表調査の報道によれば、セキュリティ対策を整備した中小企業の一定割合が取引上の信頼獲得につながったと回答しています（出典: IPA「中小企業サイバーセキュリティ調査」報道・Web担当者Forum https://webtan.impress.co.jp/n/2025/06/12/49475）。具体的な割合については、IPA原典またはWeb担当者Forum記事の最新版を記事公開時に直接参照のうえ補完することを推奨します。セキュリティ対策は「コスト」ではなく「取引先への信頼性の証明」として機能し始めていることが、この調査結果から読み取れます。
個人情報が漏えいした場合の法的リスクと事業への影響については、セクション4で詳しく取り上げます。ここで押さえておくべきポイントは、被害は御社単独にとどまらず、フォームを入力した顧客や取引先にも直接及ぶという点です。
セキュリティ対策をしていない中小企業の割合は？
IPA・中小企業庁の調査では、基本的なセキュリティ対策が未実施の中小企業が依然として高い割合を占めることが確認されています。前のセクションで示した被害の深刻さにもかかわらず、対策の遅れは構造的な問題として残っています。
なお、2024年上半期のランサムウェア被害において中小企業が占める割合は64％に達し（出典: 警察庁「サイバー空間をめぐる脅威の情勢等について」（2024年上半期）の解説、ニュートンコンサルティング）、最新報告では前年比40％増となっています（出典: ScanNetSecurity「中小企業のランサムウェア被害 昨対4割増」（2025年7月））。被害が急増する一方で、対策の整備が追いついていないのが現状です。
また、経済産業省が2025年2月に公表した調査では、中小企業がサイバー攻撃を受けた場合に取引先へも影響が及んだ割合が約70％に達することが明らかになっています（出典: 経済産業省「中小企業の実態判明 サイバー攻撃の7割は取引先へも影響」（2025年2月19日公表））。御社の対策不備が、取引先へのリスク波及源になりうるという点は、経営判断として看過できない事実です。
業種・規模別の対策実施率の差
IPAが2025年5月に公表した「2024年度 中小企業における情報セキュリティ対策に関する実態調査」（出典: IPA、https://www.ipa.go.jp/security/reports/sme/sme-survey2024.html）によると、組織的な対策体制が整っていない企業が多数存在することが示されています。
対策の実施率は、業種・従業員規模によって大きな差があります。以下は調査から読み取れる傾向を整理したものです。
| 規模・業種の傾向 | 対策の特徴 |
|---|---|
| 従業員100名以上の中小企業 | セキュリティ担当者を置いているケースが多く、基本対策の実施率が比較的高い |
| 従業員50名未満の小規模事業者 | 専任担当者が不在のケースが多く、対策が経営者個人の判断に依存しやすい |
| 製造業・医療・金融 | 業法や取引先要件によって一定の対策が強制されるため、実施率が高い傾向にある |
| 小売・サービス業・建設業 | 業界横断的なセキュリティ基準が設けられにくく、対策が後手に回りやすい |
規模が小さいほど対策が手薄になる傾向は、攻撃者が中小企業を標的に選ぶ構造的理由とも一致しています（攻撃者の選定ロジックについてはセクション1で詳述しています）。
「対策していない理由」の上位回答
同調査で注目すべき点は、対策を実施していない理由の内訳です。「予算がない」「人材がいない」と並んで、「必要性を感じていない」という回答が一定数を占めています。
対策が進まない理由として報告された主な項目を以下に示します。
- 必要性・緊急性の認識不足: 「自社は攻撃対象にならない」という誤認が根強く残っている
- 専門人材の不在: ITに詳しい担当者がおらず、何から手をつければよいか分からない
- 予算確保の困難: セキュリティ対策を費用対効果で測りにくく、経営層の優先度が上がりにくい
- 外部委託先への過信: ホームページの制作会社や社内のITベンダに「任せれば大丈夫」と思い込んでいる
特に4点目は見落とされやすいリスクです。制作会社への発注時に「セキュリティ対策は含まれますか」と確認していない場合、保守・監視が契約範囲外となっているケースは少なくありません。発注時の確認事項については後述のセクションで具体的なチェックリストを示します。
「必要性を感じていない」という認識のギャップは、前述の被害統計と照らし合わせると特に危険です。攻撃者はセキュリティ対策の薄い組織を自動的に探索するため、「目立たない小さな会社」であることは防御上の理由にはなりません。
IPA「2024年度 中小企業における情報セキュリティ対策に関する実態調査」（2025年5月公表） は、中小企業のセキュリティ対策の現状を把握するうえで参照すべき一次情報です。調査の詳細はIPAの公式ページ（https://www.ipa.go.jp/security/reports/sme/sme-survey2024.html）でご確認いただけます。
被害が発生した場合のコスト・影響はどれくらい？
信用失墜・顧客流出・復旧費用が複合的に発生し、中小企業では事業継続を脅かすケースも報告されています。「被害に遭ってから対策する」という発想では、取り返しのつかない損失が先行してしまいます。
ダウンタイムと機会損失の試算
サイバー被害後にホームページやシステムが停止している時間を「ダウンタイム」と呼びます。この期間中は、問い合わせ受付・予約・EC決済など、ホームページを通じたあらゆるビジネス機能が止まります。
復旧までにかかる時間は被害の種類と社内体制によって大きく異なります。目安として、主な被害類型ごとの影響範囲を整理します。
| 被害類型 | 平均的な復旧期間の目安 | 主な追加コスト |
|---|---|---|
| Webサイト改ざん（軽度） | 数日〜1週間程度 | 調査費用、コンテンツ再構築費用 |
| 不正アクセス・情報漏えい | 1〜4週間程度 | 原因調査、通知対応、弁護士費用 |
| ランサムウェア感染 | 1〜数か月程度 | 身代金（支払わない場合でも）、システム再構築費用 |
復旧期間中の売上機会の損失は、ECサイトや予約サイトを運営する場合は特に深刻です。月商100万円の通販事業者がサイトを2週間停止すれば、単純計算で50万円前後の機会損失が生じます。これに加え、外部の専門業者への調査委託費用が数十万円単位で上乗せされるケースも少なくありません。
さらに、前のセクションで触れたとおり、ランサムウェア被害の影響は取引先にまで波及する可能性があります。復旧コスト単体でなく、取引関係の毀損まで含めた総損失で考える必要があります。
個人情報漏えい時の法的リスク（個人情報保護法）
個人情報保護法とは、個人情報の収集・利用・管理について事業者が守るべき義務を定めた法律で、2022年の改正により中小企業を含むすべての事業者に適用される義務が強化されました。
ホームページのフォームから顧客の氏名・メールアドレス・電話番号などが漏えいした場合、御社には以下の対応義務が発生します。
- 個人情報保護委員会への報告: 漏えいが一定規模以上の場合、72時間以内を目安とした速報が義務付けられています。
- 本人への通知: 漏えいの事実と概要を、影響を受けた方々に個別に知らせる必要があります。
- 再発防止策の整備と報告: 原因究明と対策の内容を書面で整備しておく必要があります。
これらの対応を怠ると、個人情報保護委員会から勧告・命令が下り、命令違反の場合には1年以下の懲役または100万円以下の罰金が科される可能性があります（個人情報保護法第178条）。法人に対しては1億円以下の罰金が適用される場合もあります。
法的対応と並行して、顧客・取引先への謝罪対応、プレスリリースの発出、問い合わせ窓口の設置といった実務が同時進行します。専任のIT担当者がいない中小企業では、これだけの対応を通常業務と並行して行うことは現実的に困難です。
金銭的・法的コストに加えて、見落とされがちなのが「信頼の毀損」という無形の損失です。帝国データバンクの調査によれば、情報漏えいを起こした中小企業の一定割合が、発覚後1〜3年以内に主要取引先との契約を失うケースが確認されています。セキュリティ事故は、一度発生すると復旧費用だけでは回収できないコストを生みます。
具体的な対策の内容については、次のセクションで制作・リニューアルフェーズで実施すべき項目を整理します。
制作会社に依頼するとき、セキュリティの観点で何を確認すべきか？
脆弱性診断の実施有無、保守契約の範囲、インシデント発生時の対応体制の3点を事前に明文化することが重要です。これらが契約書に含まれていない場合、被害発生後の責任の所在が曖昧になるリスクがあります。
見積書・契約書に含まれるべき項目
ホームページ制作の見積書は、デザインや実装工数の内訳が中心になりがちです。しかしセキュリティの観点では、制作後の運用フェーズまでカバーされているかを同時に確認する必要があります。
発注前に下記の項目が見積書または契約書に含まれているかを確認してください。
| 確認項目 | 含まれている場合の記載例 | 含まれていない場合のリスク |
|---|---|---|
| SSL証明書の取得・設定 | 「Let's Encrypt による常時SSL化を実施」 | 通信が暗号化されず、フォーム入力情報が盗まれるリスク |
| CMSのアップデート対応 | 「WordPress本体・プラグインの月次更新を含む」 | 既知の脆弱性が放置され、自動化攻撃の標的になる |
| WAFの導入有無 | 「Cloudflare WAFを初期設定の上、稼働確認まで実施」 | 不正なリクエストが直接サーバに届く |
| フォームのサニタイズ処理 | 「入力値のバリデーションおよびエスケープ処理を実装」 | SQLインジェクション・XSSによる情報漏えいのリスク |
| 脆弱性診断の実施 | 「納品前にOWASP Top 10に基づく診断を実施」 | 制作段階の実装ミスが気づかれないまま公開される |
| インシデント発生時の対応範囲 | 「不正アクセス検知時は24時間以内に初動対応を実施」 | 被害拡大中に連絡が取れず、対応が遅れる |
| 保守契約の終了条件 | 「月額○○円、最低契約期間○ヶ月」 | 契約終了後に脆弱性が放置される |
これらの項目が見積書に記載されていない場合は、追加で書面に明記するよう依頼してください。口頭合意は後のトラブルの原因になります。
保守・監視が含まれない格安制作のリスク
費用を抑えることは合理的な判断ですが、保守・監視が含まれない格安制作には固有のリスクがあります。制作会社の選定は初期費用だけで判断しないことが重要です。
格安制作で起きやすい問題を以下に整理します。
- CMSプラグインが更新されないまま放置される。 WordPressのプラグインには定期的に脆弱性が発見されます。保守契約がなければ、御社が自力でアップデートを管理する必要があります。
- 納品後の問い合わせ窓口がない。 不正アクセスを検知したときに連絡できる担当者がおらず、対応が数日単位で遅れるケースがあります。
- セキュリティ要件が仕様に含まれていない。 最低限の実装に留まるため、フォームのサニタイズやエラーハンドリングが不十分なまま公開されることがあります。
制作費用と保守費用を切り分けて検討することをお勧めします。初期費用を抑えても、インシデント発生後の調査・復旧に数十万円単位のコストが発生するケースは珍しくありません。被害コストの詳細は前のセクションで説明しています。
制作依頼の前に、セキュリティ要件を整理したい方へ
当社ではホームページ制作の初回相談時に、セキュリティ要件の確認を標準プロセスに組み込んでいます。見積段階でSSL設定・WAF・保守対応の範囲を明文化し、納品後も月次でアップデート対応を継続します。
セキュリティ対策にかかるコストと補助金活用の考え方
セキュリティ関連費用はIT導入補助金の対象になる場合があり、初期投資の実質負担を抑えられる可能性があります。「コストがかかるから後回し」という判断が、結果として復旧費用や法的対応費用という大きな出費につながるリスクを、前セクションまでで確認してきました。ここでは投資対効果の考え方と、活用できる支援制度の概要を整理します。
セキュリティ対策費用の目安
セキュリティ対策の費用は、対策の範囲と運用体制によって大きく異なります。以下は一般的な費用の目安です。
| 対策項目 | 初期費用の目安 | 月額費用の目安 |
|---|---|---|
| SSL証明書（有料の場合） | 0〜30,000円 | 0〜10,000円 |
| WAF（Web Application Firewall）導入 | 0〜100,000円 | 3,000〜50,000円 |
| CMSアップデート・保守 | 0円（契約内） | 10,000〜30,000円 |
| 脆弱性診断（簡易） | 50,000〜300,000円 | 案件により変動 |
| インシデント対応込みの保守契約 | 0円（契約内） | 20,000〜80,000円 |
WAFとは、Webサイトへの不正なアクセスをリアルタイムで検知・遮断するセキュリティ機能です。クラウド型のWAFサービスを利用すると、初期費用を抑えつつ導入できるケースが増えています。
これらを合計すると、基本的なセキュリティ体制を整えるための初期費用は100,000〜500,000円程度、月額の保守費用は20,000〜80,000円程度が目安になります。ただし、サイトの規模や使用するCMS、対策の深度によって変動します。
IT導入補助金との関係
IT導入補助金は、中小企業・小規模事業者がITツールを導入する際の費用を国が補助する制度です。セキュリティ対策ソフトウェアやサービスは、補助対象となる場合があります。
ただし、補助金の対象要件・補助率・申請期限は年度ごとに変更されます。以下の点を必ず確認してください。
- 利用するITツールがIT導入補助金の登録ツールリストに掲載されているか
- 申請枠（通常枠・セキュリティ対策推進枠など）ごとの要件を満たしているか
- 申請期限と採択スケジュールが御社の導入計画と合致するか
最新の要件は中小企業庁またはIT導入補助金公式サイトで確認することを推奨します。補助金に関する詳細は当社の補助金活用ページ（/subsidy）でも情報を整理しています。
「対策しないコスト」との比較
セキュリティ投資を判断するとき、初期費用だけを見ると高く感じることがあります。しかし、セクション4・5で確認したとおり、インシデントが発生した場合の復旧費用・調査費用・法的対応費用・信用失墜による顧客流出は、対策費用を大きく上回るケースがあります。
投資対効果を整理すると、次のように考えられます。
- 予防コスト: 月額20,000〜80,000円の保守費用
- 復旧コスト（被害発生時）: 数十万〜数百万円の外部依頼費用＋機会損失＋法的対応費用
- 個人情報漏えい時の追加リスク: 最大1億円の罰金リスク（個人情報保護法）
予防コストと復旧コストを比較すると、セキュリティ対策は「費用」ではなく「リスク管理への投資」として捉えることが、経営判断として合理的です。
御社のホームページが現時点でどのようなリスクにさらされているか、まず現状を把握することが第一歩です。当社では、ホームページのセキュリティ状況を含むDX全体の無料診断を提供しています。「何から始めればいいかわからない」という段階からご相談いただけます。