「うちは狙われない」は過去の話？中小企業が標的になる実態
IPA・警察庁の公表データは、サイバー攻撃の被害が大企業より中小企業に集中し始めていることを示しています。「規模が小さいから狙われない」という認識は、すでにデータによって否定されています。
サイバー攻撃件数の推移（2022〜2024年）
ランサムウェアとは、感染したコンピュータのファイルを暗号化し、復旧と引き換えに金銭を要求するマルウェアです。
警察庁「サイバー空間をめぐる脅威の情勢等について」（2024年上半期）の解説によれば、2024年上半期のランサムウェア被害件数のうち、**中小企業が占める割合は64％**に達しています（出典: ニュートンコンサルティング、警察庁報告二次解説、2024年10月）。
さらに2025年7月に報告された最新データでは、中小企業のランサムウェア被害件数が前年比40％増となったことが確認されています（出典: ScanNetSecurity「中小企業のランサムウェア被害 昨対4割増」、2025年7月30日）。
| 指標 | 数値 | 出典・時点 |
|---|---|---|
| ランサムウェア被害に占める中小企業の割合 | 64％ | 警察庁報告、2024年上半期 |
| 中小企業のランサムウェア被害件数・前年比増加率 | 40％増 | 警察庁報告、2025年公表 |
| サイバー攻撃が取引先にも影響した割合 | 約70％ | 経済産業省、2025年2月公表 |
経済産業省が2025年2月に公表した調査では、中小企業がサイバー攻撃を受けた場合に**取引先へも影響が及ぶケースが約70％**に上ることが判明しています（出典: 経済産業省、2025年2月19日公表）。自社の被害にとどまらず、取引先を巻き込むリスクがあるという点は、特に注意が必要です。
中小企業が狙われやすい3つの構造的理由
攻撃が中小企業に集中する背景には、件数の多さだけでなく、構造的な脆弱性があります。
セキュリティ投資の絶対額が少ない 専任のIT担当者を置けない企業では、ソフトウェアのアップデートやアクセスログの監視が後回しになりやすい状態です。
大企業のサプライチェーンへの入口として狙われる 直接の標的は大企業であっても、セキュリティが手薄な中小の取引先を経由して侵入するケースが増えています。経済産業省の調査が示す「約70％が取引先へも影響」は、この構図を裏づけるものです。
ホームページが長期間メンテナンスされていない 制作後に保守契約を結ばないまま運用されているサイトは、CMSやプラグインの脆弱性が放置されやすく、自動化された攻撃ツールの格好の標的になります。
IPAが毎年公表する「情報セキュリティ10大脅威2025（組織編）」でも、ランサムウェアによる攻撃は引き続き上位にランクされており、業種・規模を問わず警戒が必要な脅威として位置づけられています（出典: IPA「情報セキュリティ10大脅威2025」）。
攻撃者は御社の売上規模や知名度を見て標的を選んでいるわけではありません。「対策が甘い」という技術的な隙が、攻撃を引き寄せる主因です。具体的にどのような経路でホームページが被害を受けるかは、次のセクションで解説します。
ホームページ経由の主な被害類型とは？
不正アクセス、改ざん、フィッシングへの踏み台の3類型が、中小企業のホームページに対するサイバー被害の大半を占めます。「攻撃者は大企業のシステムを狙う」というイメージは実態とかけ離れており、手入れの行き届いていないホームページこそが格好の標的になっています。
前セクションで示したとおり、ランサムウェア被害の64%が中小企業に集中しています。ここでは、そうした攻撃が実際にどのような経路でホームページに及ぶのかを類型別に整理します。
Webサイト改ざんとランサムウェアの違い
「改ざん」と「ランサムウェア」は混同されがちですが、攻撃の目的も手口も異なります。
| 被害類型 | 攻撃の目的 | 主な手口 | 御社への影響 |
|---|---|---|---|
| Webサイト改ざん | 踏み台化・フィッシング誘導・SEOスパム | CMSの脆弱性悪用、不正コード埋め込み | 訪問者がマルウェアに感染 / 検索順位の急落 |
| ランサムウェア感染 | 金銭的要求（復号と引き換えの身代金） | メール添付・VPN脆弱性・改ざんサイトからの感染 | サーバ上のファイルが暗号化され業務停止 |
| 不正アクセス | 情報窃取・なりすまし | 管理画面への辞書攻撃、盗んだ認証情報の流用 | 顧客データ・受注情報の外部流出 |
| フィッシング踏み台 | 他者への詐欺メール送信 | 改ざんしたサーバを踏み台に悪用 | 御社ドメインが詐欺の発信元と認定されるリスク |
IPAは「情報セキュリティ10大脅威 2024」において、Webサイト改ざんを中小企業が直面する脅威として継続的に取り上げています（出典: IPA「情報セキュリティ10大脅威 2024」）。改ざんの厄介な点は、御社自身が被害者でありながら、訪問者への加害者にもなる点です。感染サイトと認定されると、GoogleのSafe Browsing機能による警告表示が出て、サイトへのアクセスそのものが遮断されます。
実装者の視点: WordPressなどのCMSを使ったホームページは、プラグインの更新が滞ると既知の脆弱性を公開したまま運用し続けることになります。攻撃者は脆弱性データベースを自動でスキャンしており、更新の止まったサイトは数日以内に試行される場合もあります。「制作後は触っていない」という状態が、最もリスクの高い状態です。
フォームから個人情報が漏えいするケース
問い合わせフォームや資料請求フォームは、多くの中小企業のホームページに設置されています。しかしフォームの実装が不適切な場合、入力された個人情報がそのまま窃取される経路になります。
フォーム経由の主な攻撃手口:
- SQLインジェクション: フォームの入力値を通じてデータベースを直接操作し、保存されている顧客情報を丸ごと取り出す
- クロスサイトスクリプティング（XSS）: 悪意のあるスクリプトをフォームに入力し、訪問者のブラウザ上で実行させて認証情報を盗む
- フォームの平文送信: SSL（暗号化通信）が未設定の場合、送信データが通信経路上で盗聴される
SQLインジェクションとは、データベースへの問い合わせ文（SQL）を悪意ある命令に書き換える攻撃で、フォームへの入力値を適切に検証・無害化（サニタイズ）しておくことで防げます。
中小企業庁「2022年版中小企業白書」では、デジタルツールを導入しながらもその活用・管理が追いついていない中小企業が相当数存在すると指摘しています（出典: 中小企業庁「2022年版中小企業白書」第2節）。ホームページについても「開設はしているが更新・保守が止まっている」状態が課題として明記されており、フォームのセキュリティ実装が制作当初のまま放置されているケースはその典型例です。
また、総務省「令和6年通信利用動向調査報告書（企業編）」は、国内企業のホームページ開設率の高止まりを示す一方で、規模が小さい企業ほどWebの活用の質にばらつきがあることを示しています（出典: 総務省「令和6年通信利用動向調査報告書（企業編）」https://www.soumu.go.jp/johotsusintokei/statistics/pdf/HR202400_002.pdf）。「開設している」と「安全に運用できている」は、まったく別の状態です。
さらに、IPAの2025年公表調査の報道によれば、セキュリティ対策を整備した中小企業の一定割合が取引上の信頼獲得につながったと回答しています（出典: IPA「中小企業サイバーセキュリティ調査」報道・Web担当者Forum https://webtan.impress.co.jp/n/2025/06/12/49475）。具体的な割合については、IPA原典またはWeb担当者Forum記事の最新版を記事公開時に直接参照のうえ補完することを推奨します。セキュリティ対策は「コスト」ではなく「取引先への信頼性の証明」として機能し始めていることが、この調査結果から読み取れます。
個人情報が漏えいした場合の法的リスクと事業への影響については、セクション4で詳しく取り上げます。ここで押さえておくべきポイントは、被害は御社単独にとどまらず、フォームを入力した顧客や取引先にも直接及ぶという点です。
セキュリティ対策をしていない中小企業の割合は？
IPA・中小企業庁の調査では、基本的なセキュリティ対策が未実施の中小企業が依然として高い割合を占めることが確認されています。前のセクションで示した被害の深刻さにもかかわらず、対策の遅れは構造的な問題として残っています。
なお、2024年上半期のランサムウェア被害において中小企業が占める割合は64％に達し（出典: 警察庁「サイバー空間をめぐる脅威の情勢等について」（2024年上半期）の解説、ニュートンコンサルティング）、最新報告では前年比40％増となっています（出典: ScanNetSecurity「中小企業のランサムウェア被害 昨対4割増」（2025年7月））。被害が急増する一方で、対策の整備が追いついていないのが現状です。
また、経済産業省が2025年2月に公表した調査では、中小企業がサイバー攻撃を受けた場合に取引先へも影響が及んだ割合が約70％に達することが明らかになっています（出典: 経済産業省「中小企業の実態判明 サイバー攻撃の7割は取引先へも影響」（2025年2月19日公表））。御社の対策不備が、取引先へのリスク波及源になりうるという点は、経営判断として看過できない事実です。
業種・規模別の対策実施率の差
IPAが2025年5月に公表した「2024年度 中小企業における情報セキュリティ対策に関する実態調査」（出典: IPA、https://www.ipa.go.jp/security/reports/sme/sme-survey2024.html）によると、組織的な対策体制が整っていない企業が多数存在することが示されています。
対策の実施率は、業種・従業員規模によって大きな差があります。以下は調査から読み取れる傾向を整理したものです。
| 規模・業種の傾向 | 対策の特徴 |
|---|---|
| 従業員100名以上の中小企業 | セキュリティ担当者を置いているケースが多く、基本対策の実施率が比較的高い |
| 従業員50名未満の小規模事業者 | 専任担当者が不在のケースが多く、対策が経営者個人の判断に依存しやすい |
| 製造業・医療・金融 | 業法や取引先要件によって一定の対策が強制されるため、実施率が高い傾向にある |
| 小売・サービス業・建設業 | 業界横断的なセキュリティ基準が設けられにくく、対策が後手に回りやすい |
規模が小さいほど対策が手薄になる傾向は、攻撃者が中小企業を標的に選ぶ構造的理由とも一致しています（攻撃者の選定ロジックについてはセクション1で詳述しています）。
「対策していない理由」の上位回答
同調査で注目すべき点は、対策を実施していない理由の内訳です。「予算がない」「人材がいない」と並んで、「必要性を感じていない」という回答が一定数を占めています。
対策が進まない理由として報告された主な項目を以下に示します。
- 必要性・緊急性の認識不足: 「自社は攻撃対象にならない」という誤認が根強く残っている
- 専門人材の不在: ITに詳しい担当者がおらず、何から手をつければよいか分からない
- 予算確保の困難: セキュリティ対策を費用対効果で測りにくく、経営層の優先度が上がりにくい
- 外部委託先への過信: ホームページの制作会社や社内のITベンダに「任せれば大丈夫」と思い込んでいる
特に4点目は見落とされやすいリスクです。制作会社への発注時に「セキュリティ対策は含まれますか」と確認していない場合、保守・監視が契約範囲外となっているケースは少なくありません。発注時の確認事項については後述のセクションで具体的なチェックリストを示します。
「必要性を感じていない」という認識のギャップは、前述の被害統計と照らし合わせると特に危険です。攻撃者はセキュリティ対策の薄い組織を自動的に探索するため、「目立たない小さな会社」であることは防御上の理由にはなりません。
IPA「2024年度 中小企業における情報セキュリティ対策に関する実態調査」（2025年5月公表） は、中小企業のセキュリティ対策の現状を把握するうえで参照すべき一次情報です。調査の詳細はIPAの公式ページ（https://www.ipa.go.jp/security/reports/sme/sme-survey2024.html）でご確認いただけます。