IPAが公表した「情報セキュリティ10大脅威 2026」では、組織向けの第1位がランサム攻撃による被害、第2位がサプライチェーンや委託先を狙った攻撃です。ランサム攻撃は、データを暗号化して使えなくするなどして金銭を要求するものです。一方、不正アクセスでは、サービスやアカウントへの侵入から情報が持ち出されることがあります。業務停止と情報漏えいは、別々に起こる場合も、重なって起こる場合もあります。

例えば京王電鉄は2026年9月、グループのサーバーへのランサムウェア攻撃により、一部グループ会社の営業システムに支障が生じたと公表しました。エネコムは同年10月、社内ネットワークへの不正アクセスと複数の電子ファイルが外部へ流出した形跡を公表しています。同社は公表時点でシステム障害やサービスへの影響はないと説明しており、両事案の内容は異なります。被害の詳細は調査で変わり得るため、公表時点の事実として受け止める必要があります。

攻撃対象は大企業のシステムだけではありません。小さな会社でも、予約サイト、通販、メール、会計、顧客管理など、外部につながる仕組みを使っています。自社の端末やアカウントが侵入の入口になれば、取引先の情報や日々の業務にも影響します。反対に、取引先や委託先のサービスが止まることで、自社の納品や顧客対応が滞ることもあります。

IPAは10月9日、国内で情報漏えい事案の公表が相次ぐ状況を受け、外部公開するアプリケーション、利用中の外部サービス、保有データの点検を呼びかけました。現段階で特定の製品・サービスの弱点が一連の事案の原因と断定されたわけではありません。だからこそ、ニュースに出た企業と同じ製品を使っているかだけで判断せず、自社が何を公開し、どの情報をどこに預けているかを確認することが大切です。

最初は「使っているもの」を把握します。自社のウェブサイト、遠隔接続機器、クラウドサービス、業務用アカウントを部署をまたいで洗い出し、管理担当を決めます。使っていないアカウントは停止し、重要なサービスでは多要素認証を設定します。これはパスワードに加え、別の方法でも本人を確かめる仕組みです。機器やソフトウェアの更新が止まっていないか、アクセス記録に不審な動きがないかも、管理会社と一緒に確認します。

次に、守る情報を絞ります。顧客名簿や取引先情報を必要以上に保存していないか、閲覧権限が広すぎないかを点検します。被害を完全に防ぐことは難しいため、重要データのバックアップを取り、実際に戻せるかを試しておくことも必要です。こうした基本対策は、専任のIT担当者がいない会社でも、経営者が優先順位と担当を決めることから始められます。

不審なログイン、身に覚えのない設定変更、データが開けないといった異常に気づいたら、社内の責任者と保守会社へ速やかに連絡し、影響範囲の調査と被害拡大の防止を進めます。顧客や取引先への説明に必要な事実を記録し、確認できたことと調査中のことを分けましょう。個人データの漏えいが疑われる場合は、個人情報保護委員会への報告や本人通知の要否も確認します。IPAは10月16日、被害を受けた可能性のある企業・組織向けに初動対応の特別相談窓口を開設しました。

事故調査や顧客対応、業務継続には費用が生じることがあります。サイバー保険への加入も、そうした費用への備えを検討する選択肢の一つです。ただし、事故の防止や復旧手順の代わりにはなりません。加入済みなら事故対応費用、業務停止、委託先での事故などが契約の対象かを確認しましょう。補償内容は保険会社やプランによって異なるため、必要に応じて保険会社・代理店や専門家に相談しましょう。