偽の情報にだまされた先に待つのが、インフォスティーラーなどのマルウェアだ。PCやスマートフォンからIDやパスワード、クレジットカード情報、認証用の一時情報などを盗み出す。鈴木氏はその厄介な特性を3つ挙げた。

　1つ目は、アンチウイルスを回避することだ。「Windows」などのOSを壊す従来型のウイルスとは異なり、マルウェアはもともとOSに備わる機能を悪用して善良なプログラムのふりをして動く。鍵をこじ開ける空き巣ではなく、セールスマンのように玄関から入ってくる存在だという。

　「今流行しているマルウェアがあるとしたら、それはアンチウイルスの回避能力を獲得したものと考えた方がよいでしょう」（鈴木氏）

　2つ目は侵入手口の巧妙さだ。広告費を払って検索結果の上位に偽のページを表示させたり、業務に関係しそうな件名のメールを送り付けたりする。3つ目はスピードで、感染から情報の窃取（せっしゅ）、自己消去まで最短1分程度で終えるものもあり、形跡も残らない。企業のシステムや端末が感染すれば、ランサムウェアなどの深刻な被害に直結する。

社員200人の企業を襲った「何も分からない」数日間

　講演で被害の実態を伝えるために紹介されたのが、コニカミノルタに中途入社した社員が前職で経験した事例だ。クラウド型業務アプリを提供する企業で、ITには比較的明るい会社だったという。

　ある朝、サテライトオフィスのPCが一斉にネットワークにつながらなくなった。本社の様子を見に行った社員も、同じ状況だと言って戻ってきた。やがて顧客から「アプリが使えない」と電話が相次いだが、自社のシステムが止まっているため、相手がどのサービスの顧客かさえ分からない。謝ってメモを取り、電話を切るだけの1日になった。

　サイバー攻撃だと分かったのは翌日、経営陣が説明に来てからだった。情シス担当は3～4人しかおらず、全社の復旧は到底無理だった。顧客のインフラ構築を担う社員が駆り出され、24時間体制で復旧に当たった。回線が戻っても、攻撃者が潜んでいる恐れがあるため、すぐにはつなげなかったという。バックアップから戻せても、社内の汚染状況が見えなければ安全かどうかは分からない。

　実例を紹介した鈴木氏は、「やられたらその時に考える」という構えではこのような危機は乗り切れないと強調した。

なぜ中小企業が狙われるのか。サプライチェーン全体で守る発想へ

　国内のランサムウェア被害の報告件数は年200～250件規模で、その約7割を中小企業が占める。ただし、これは警察に報告された件数にすぎず、実際は10倍以上あっても不思議ではないと鈴木氏は見る。狙われる理由は効率だ。攻撃者は企業の知名度ではなく、攻撃しやすさを見ている。

国内のランサムウェア被害の報告件数（出典：講演時の投影資料）

　「有名か無名かは関係ありません。セキュリティ対策の甘い方から狙われていきます」（鈴木氏）

　サポートが終了した古いOSを使い続けている、アンチウイルス以外の対策をしていない、といった企業ほど標的になりやすい。さらに、脆弱（ぜいじゃく）な企業を調べ上げて攻撃者に情報を売る「調査屋」まで現れ、調査と攻撃の分業が成り立っているという。

　情報資産の価値の捉え方も見直す必要がある。仮に売り払われたとしたらいくらになるかではなく、失われたり改ざんされたり漏れたりしたときに、どれだけの損害が出るかで見積もるべきだという。社員情報やネットワーク設定、認証情報なども、盗まれれば次の攻撃の足掛かりになる。

　被害は1社にとどまらない。見積書や図面などの情報資産は、メールや共有サーバを通じて取引先との間を行き来しているため、どこかで始まった汚染が企業を越えて広がる。こうしたサプライチェーン全体の守りを統一した基準で評価しようと生まれたのが、経済産業省のサプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）だ。審査を伴う★3以上の評価は、2027年3月までに開始される。

「防災」だけでは足りない。侵入を前提にした「減災」「縮災」

　では企業は何をすべきか。鈴木氏は、サイバー攻撃への備えを3つに整理した。被害を未然に防ぐ「防災」、被害を最小限に抑える「減災」、そして復旧を早める「縮災」だ。

　防災が最も重要であることに変わりはないが、防ぎ切れなかった場合の備えも欠かせない。教育や社内ルールの策定は企業自身が担い、システムで対応できる部分は外部サービスに任せるという役割分担も示した。

攻撃を防ぎ切れなかった場合の「減災」「縮災」も重視（出典：講演時の投影資料）

　減災の手段として紹介されたのが、脅威の検知やインシデント対応をアウトソーシングするMDRサービスだ。詳細な内容は企業によって異なるが、ホームセキュリティに例えれば、侵入を防ぐ「防犯ロック」に当たるEPP、侵入を見つける「監視カメラ」に当たるEDR、駆け付けて対処する「警備員」に当たるSOCといった役割を持つ。

　コニカミノルタジャパンの場合は、「IT-Guardians MDRサービス」を提供している。ソフォスのセキュリティ製品とSOCに、日本語で対応するヘルプデスクを組み合わせたものだ。

　「封じ込めた後も、業務はいつ再開できるのか、どこから入られたのか、取引先にどう報告すればいいのか、というところで手詰まりになってしまいます」（鈴木氏）

　AIの進化は企業の生産性を向上させる一方、攻撃の水準も引き上げている。規模を問わず隙は狙われるという前提に立ち、守りを固めるだけでなく、攻撃を受けたときを想定して備えておく。専任のIT担当者がいない企業ほど、その準備を後回しにはできない。