サイバー攻撃されたらどうなる？
被害事例5選と中小企業が今すぐ取るべき対策

①仕事が止まる｜数日〜数ヶ月のシステムダウン

最近とくに増えているのが、ランサムウェアと呼ばれる「身代金要求型ウイルス」による被害です。
このウイルスに感染すると、社内のパソコンやサーバーに保存されたデータがすべて開けない状態にされてしまい、業務が一気にストップしてしまいます。

警察庁の2025年上半期の調査によると、ランサムウェア被害から復旧に1ヶ月以上かかった企業は約47%※と報告されています。
製造業では工場の生産ラインが止まり、病院では電子カルテが使えず診療がストップ、物流会社では配送が滞るなど、業種を問わず深刻な影響が出ています。

※調査時点でまだ復旧中の企業を含む（有効回答47件中22件、 警察庁サイバー警察局「令和７年上半期における サイバー空間をめぐる脅威の情勢等について」より）

仕事が止まっている間も、家賃や人件費などの固定費は出ていきます。
「1ヶ月の停止で、その年の利益が吹き飛んでしまう」中小企業にとっては、決して大げさな話ではありません。

②お金が失われる｜身代金・詐欺・復旧費用・売上減少

サイバー攻撃によるお金の被害は、大きく4つに分けられます。

さらに、株価の下落やブランドイメージの毀損といった間接的な損失も発生します。
お金の被害は「直接出ていくもの」だけでは終わらないという点が、サイバー攻撃の特に怖いところです。

③大切な情報が外に漏れる

最近のサイバー攻撃は、データを使えなくするだけでなく、「奪った情報をネット上で公開するぞ」と脅す手口が主流になっています。

漏れてしまう情報は、お客様の名前・住所・電話番号・クレジットカード情報、取引先との契約内容、従業員のマイナンバーや給与情報など、多岐にわたります。

そして恐ろしいのは、一度ネットに流れた情報は完全に消すことができないということ。被害が半永久的に残ってしまうのです。

④損害賠償を請求される

情報が漏れてしまうと、被害にあったお客様や取引先から損害賠償を求められることがあります。

個人情報1件あたりの賠償の相場は数千円〜数万円といわれていますが、漏えい件数が大規模になればなるほど、総額は企業にとって致命的なレベルにまで膨れ上がります。

取引先の機密情報が漏れた場合は、契約違反による違約金が発生することも考えられます。

⑤取引先から契約を切られる

経済産業省の調査では、サイバー攻撃を受けた中小企業の多くが、取引先にも影響を及ぼしてしまったことが明らかになっています。これは「サイバードミノ」と呼ばれる現象です。

近年は大企業ほど、取引先のセキュリティ対策を厳しくチェックするようになっています。そのため、一度サイバー攻撃を受けてしまうと「リスクの高い取引先」と見られてしまい、契約を切られてしまうケースが増えているのです。

主要な取引先を失ってしまえば、それだけで会社の経営は一気に苦しくなります。「サイバー攻撃は他人事」ではなく、「取引を失うリスク」として捉える必要があるのです。

⑥信用を失い、最悪の場合は倒産につながるケースも

ここまでの被害が積み重なって、最後に直面しうるのが信用の失墜、そして最悪のケースでは倒産です。

ニュースやSNSでの拡散による評判の悪化、お客様離れ、取引停止、賠償金、復旧費用、業務停止中の固定費など。
こうしたものが一度に押し寄せたことで、廃業に至ってしまった中小企業の事例も報告されています。

中小企業の場合は、大企業のように分厚い内部留保があるわけではありません。一度の大きなサイバー被害が、そのまま資金繰りの行き詰まりにつながってしまうこともあります。

ただし、これらの被害は事前の備えで大きく軽減できるのも事実です。
「サイバー攻撃は経営に関わる大切なテーマ」と捉えて、できるところから少しずつ対策を始めていきましょう。

事例① 【精密機器メーカー】ランサムウェア攻撃で社内システム停止、個人情報流出

大手精密機器メーカー（カシオ計算機）が、自社サーバーへのランサムウェア攻撃を受けた事例です。

海外からの不正アクセスにより社内システムが使用不能となり、サービスの一部停止に加え、従業員・取引先・顧客の個人情報や、取引先との請求書・契約書・売上等のデータが流出しました。

大企業でも防ぎきれないのが現実です。中小企業はなおさら「攻撃されることを前提」としての備えが必要な時代になっています。

事例② 【医療機関】取引先のVPN機器から侵入、完全復旧まで73日間

大阪急性期・総合医療センターを襲った、サプライチェーン攻撃の象徴的な事例です。
攻撃者は病院本体ではなく、給食を委託していた取引先のVPN機器の脆弱性を突いてシステムへ侵入、そこから病院のシステムに広がっていきました。

自社のセキュリティ対策がどれだけ万全でも、取引先が侵入口になることがあります。

事例③ 【飲料メーカー】受発注・物流停止、個人情報漏えいのおそれ

大手飲料メーカー（アサヒグループHD）が、ランサムウェア攻撃により受発注・物流業務の停止に追い込まれた事例です。

被害は「業務停止」だけでは終わりません。膨大な顧客データを抱える企業ほど、情報漏えいによる信用ダメージが長引きます。

事例④【ECサイト運営】サイトの脆弱性を突かれ、クレジットカード情報が漏えい

近年、ECサイトの脆弱性を突いたクレジットカード情報漏えいが相次いでいます。
全国漁業協同組合連合会(JF全漁連)が運営する通販サイトでは、カード番号・有効期限・セキュリティコードを含む11,844件のクレジットカード情報と、会員 21,728件分の個人情報が漏えいした可能性が公表されました。

ECサイトを運営している中小企業にとって、クレジットカード情報漏えいは事業継続の最大リスクとなります。

事例⑤【航空】大手航空会社の大規模システム障害

大手航空会社(日本航空)が、年末の繁忙期にサイバー攻撃を受けた事例です。JAL公式発表によれば、社内外をつなぐネットワーク機器に対して外部から大量のデータが送信され、これによってシステムが過負荷状態に陥りました。

今回、顧客データの流出やウイルス感染は確認されていないとのことですが、空港という重要インフラ事業者が狙われることで、社会全体に波及するリスクの大きさが伺えます。

① 個人情報保護法｜漏えい時には報告義務がある

最も身近で重要なのが、個人情報保護法です。
企業や行政機関などが個人情報を適切に取り扱うための基本ルールを定めた法律です。

2022年4月の改正以降、個人データの漏えいや不正利用のおそれがある場合、個人情報保護委員会への報告と、必要に応じて本人への通知が義務化されました。

さらに2024年4月1日に個人情報保護法施行規則とガイドラインの一部が改正され、Webスキミング(ECサイトでクレジットカード情報などを盗む手口)対策として、報告対象が一部拡大されています。

報告を怠ったり命令に違反したりすれば、罰則(個人:最大100万円の罰金、法人:最大1億円の罰金など)が科される可能性もあります。
万が一の事態に備えて、最低限の流れだけでも知っておくと安心です。

② サイバー対処能力強化法｜2026年施行の新制度

2025年5月23日に公布され、2026年10月から本格施行される予定なのが、「サイバー対処能力強化法」です。
これは、サイバー攻撃を受けてから対処するのではなく、被害が出る前に未然に防ぐ仕組み(能動的サイバー防御)を整えるための法律です。

主に対象となるのは、電力・通信・鉄道・金融などの基幹インフラ事業者ですが、その取引先や委託先となっている中小企業にも、間接的に影響が及ぶ可能性があります。

詳しくはこちらの記事をご覧ください。
「サイバー対処能力強化法とは？ 対象企業・施行日・義務とUTM対策までわかりやすく解説」

③ 不正競争防止法｜営業秘密の漏えいに関わる法律

意外と見落とされがちなのが、不正競争防止法です。
営業秘密（顧客リスト、技術データなど）を不正に取得・使用する行為が禁止されており、違反すれば刑事罰や損害賠償の対象になります。

ただし、自社がサイバー攻撃を受けて取引先の営業秘密を流出させた場合は、別の法的責任を問われる可能性があります。

「攻撃の被害者なのに、なぜ自社が責任を?」と感じるかもしれませんが、「適切なセキュリティ対策を怠っていた」と判断されれば、加害者として責任を問われるのが現実です。

対策① 従業員教育「人の操作ミス」を減らす

サイバー攻撃の主要な侵入経路の一つが、「人を騙すメール」(フィッシング・標的型攻撃メール)です。

特に効果が高いのが、企業や組織の従業員を対象に、サイバー攻撃を想定した疑似的な攻撃メールを送信し、その対応状況をテストする標的型メール訓練です。1回実施するだけでも、従業員の意識が大きく変わります。

対策② パスワード管理と多要素認証（MFA）の徹底

攻撃者は、よく使われるパスワードを自動で試して侵入する手口を日常的に行っています。

特に重要なのが多要素認証です。たとえパスワードが漏れても、スマホアプリでの追加認証があれば不正ログインを防げる可能性が大幅に高まります。

対策③ データバックアップの「3-2-1ルール」

ランサムウェアの被害を最小限にするカギは、「攻撃を受けても元に戻せる」備え、つまりバックアップです。
「3-2-1ルール」は、あらゆるデータの消失に対処できるバックアップの手法です。

クラウドや遠隔地に保管されたバックアップは、ネットワーク的に切り離されているため攻撃を受けにくく、「最後の砦」として機能してくれます。

対策④ エンドポイントセキュリティ（EDR・ウイルス対策ソフト）

パソコンやサーバーといった「エンドポイント(端末)」を守る対策も欠かせません。

近年のサイバー攻撃は、既知のパターンに当てはまらない「未知の脅威」が増えています。
そのため、従来のウイルス対策ソフトだけでなく、デバイス内での不審な挙動を監視する「EDR」のような仕組みを併用するのが効果的です。

対策⑤ UTM（統合脅威管理）による多層防御

ここまで紹介した対策はどれも重要ですが、それぞれが独立しているという弱点があります。
そこで、中小企業のセキュリティ対策の「中心」としておすすめしたいのが、UTM（統合脅威管理）です。

UTMとは、1台の機器で複数のセキュリティ機能を統合的に提供する仕組みのことです。

これらの機能が1台のUTMにまるごと入っているのです。
専任のIT担当者がいない中小企業でも、機器の設定や運用をベンダー側にお任せできるサービスが多く、安心して導入できます。

弊社のUTMレンタルが選ばれる3つの理由

企業の情報を守るセキュリティサービス

UTMレンタル

初期費用0円・月額料金で始められるUTMレンタルサービス。
ファイアウォールやウイルス対策などをまとめて導入でき、企業のネットワークを入口から守ります。

詳細を見る

防犯カメラレンタル

初期費用0円・月額料金で導入できる防犯カメラレンタル。
高画質・屋外対応カメラをプロが設置し、修理やメンテナンスも含めて安心して運用できます。

詳細を見る

導入までの流れ

「興味はあるけど、まずは話だけでも聞いてみたい」そんな段階で大歓迎です。

お電話・メール・LINEにて無料相談を受け付けておりますので、まずはお気軽にご連絡ください。