他社の事故は対岸の火事ではない｜AI攻撃時代に経営トップが決めるセキュリティ投資

結論：サイバー攻撃は、自社が狙われたときだけでなく、自社のサービスや取引先が止まったときに経営の問題になります。 そのリスクを認知して備えるのか、受け入れるのか。決めるのは現場ではなく、経営トップです。 この記事は経営者・役員向けですが、経営に説明したい担当者が使える材料としても書いています。

ランサムウェア被害は過去最多｜他人事ではない根拠がそろった

警察庁が2026年9月10日に公表した令和8年上半期の情勢によると、ランサムウェアの被害報告は123件でした。 前年同期の116件を上回り、統計を取り始めた2020年下半期以降、半期として過去最多です。

内訳を見ると、「うちは大企業ではないから」という見方は成り立ちません。

被害の約6割は中小企業でした。 復旧費用が1,000万円以上になった組織は約6割にのぼります。 バックアップからの復元について回答した40件のうち、29件は復元できなかったと答えています。

出典は警察庁「令和8年上半期におけるサイバー空間をめぐる脅威の情勢等について」です。 件数や回答数が小さいため傾向として読むべき数字ですが、方向は明確です。

IPAの「情報セキュリティ10大脅威 2026」（組織編）も同じ方向を示しています。

ランサムウェアの基本は、ランサムウェアの仕組みと防御策で確認できます。

VPNがあるから安心、が危ない

上の表で目を引くのは、感染経路の約半数がVPN機器だという点です。 VPNを入れていること自体が安全の証明にはならず、VPN機器の弱点が入口として狙われているのが現実です。

家に鍵をかけていても、鍵が古ければ意味がありません。 インターネットにつながっている以上、入口になりうる機器は常に点検の対象です。

筆者の実感として、この「戸締まり」の感覚は、個人にも組織にもまだ十分に根づいていないと感じます。 自宅や自分の端末を守る意識から変えていく必要があり、その号令は現場ではなくトップから出すものです。

AIで攻撃の敷居が下がった｜経営層こそ理解が必要

快活CLUB事件が示したこと

2025年1月に発覚した快活CLUBの不正アクセスでは、最大で約729万件の会員情報が漏えいした可能性が公表されました。 その後、2025年12月に高校生が逮捕されています。報道によると、生成AIを使って会員情報を取り込むプログラムを作ったとされています。

さらに2026年5月には別の人物が書類送検され、7月にも別の人物が逮捕されています。 事件には複数の人物が関わっていたとみられます。

この事件の教訓は、「天才ハッカーが現れた」ことではありません。 生成AIによって、経験の浅い人でも攻撃に参加しやすくなったことです。

攻撃する側の敷居が下がれば、狙われる確率は、企業の規模や知名度とは関係なく上がります。

自社のAI利用もリスクになる

IPAの10大脅威で、「AIの利用をめぐるサイバーリスク」が3位に初めて入りました。 これは攻撃者がAIを使うことだけでなく、自社の従業員がAIをどう使うかも含めて問われていることを意味します。

たとえば、次のような場面が考えられます。

• 会社が認めていないAIサービスに、顧客情報や社内資料を貼り付けてしまう
• AIが出した答えを確認せず、そのまま取引先に送ってしまう
• 業務にAIエージェントを導入するとき、与える権限を決めていない

どれも技術部門だけで防げる話ではありません。 判断する人が仕組みを知らないと、予算も規程も決められないからです。

AIを悪用した偽情報の手口は、ディープフェイクの仕組みで整理しています。

自社が狙われなくても業務は止まる｜サプライチェーンと事業停止

アサヒとアスクルが示した「止まる」リスク

2025年秋、大手企業がランサムウェアで受発注や出荷を止められました。

アサヒグループホールディングスは、2025年9月29日に攻撃を受け、国内の受注・出荷・コールセンター業務が止まりました。 報道によると、全品の出荷が再開したのは2026年4月です。 2025年12月期の決算は、売上収益が2兆8,946億円（前年比1.5%減）、営業利益が1,858億円（同30.9%減）でした。

ここで注意したいのは、この営業利益の減少がすべてサイバー攻撃によるものではない点です。 原材料費の高騰など、ほかの要因も含まれています。 ただ、売上収益が当初の想定を約600億円下回る見込みとして、2026年6月に業績予想が下方修正されたことは、事業停止の重さを示しています。

アスクルも同じ時期に攻撃を受けました。 2025年6〜11月期の売上高は前年同期比12.3%減の2,087億円で、営業損益は約30億円の赤字でした。 営業利益は前年同期から約90億円悪化し、特別損失も計上しています。

2社に共通するのは、情報が漏れたこと以上に、受発注と出荷が止まったことが経営を直撃した点です。

なお、被害にあった企業の対策が不十分だったかどうかは、この記事では論じません。 公表されている事実から言えるのは、「止まれば事業にこれだけの影響が出る」という点です。

取引先や関連会社が止まる側の立場

事業停止は、攻撃を受けた会社だけの問題にとどまりません。 自社の受発注や物流が、取引先のシステムに依存しているなら、相手が止まれば自社も止まります。

IPAの10大脅威で、サプライチェーンや委託先を狙った攻撃が8年連続で2位に入っているのは、この構造があるからです。 自社の対策だけでは、自社の事業を守りきれません。

星制度｜セキュリティは取引を続ける条件になる

国もこの構造に対応し始めています。 経済産業省と国家サイバー統括室は、「サプライチェーン強化に向けたセキュリティ対策評価制度」の構築方針を2026年3月に公表しました。 通称「星」の制度で、★3・★4が評価の対象とされ、運用開始は2027年3月ごろの見込みと報じられています。

発注側は取引先の対策状況を確認しやすくなります。 受注側は、対策を説明できなければ取引で不利になりうる状況です。

セキュリティが、コストではなく取引を続けるための条件になっていく流れです。 開始時期の表現は媒体によって幅があるため、最新の情報は経産省の公表資料で確認してください。

制度の前段として、IPAの「SECURITY ACTION」や「中小企業の情報セキュリティ対策ガイドライン」が位置づけられています。 中小企業はまず、ここから始められます。

守れた領域と守れなかった領域｜ニコニコの教訓

2024年6月、KADOKAWAグループがランサムウェア攻撃を受け、ニコニコなど複数のサービスが停止しました。 ドワンゴは、自社の寄稿で「2022年のAWS移行の開始当初からセキュリティを優先的な投資対象にしていたため、AWS環境への侵害は防げた」と説明しています。

一方で、同じ攻撃でニコニコのサービスは2024年6月8日から停止し、再開は同年8月まで続きました。 外部への漏えいが確認された個人情報は、2024年8月5日の発表で25万4,241人です。 KADOKAWAは、原因を「フィッシングなどにより従業員のアカウント情報が窃取されたこと」としています。

この事例から読み取れるのは、次の2点です。

• 事前に投資した領域では、侵害を防げた
• 守る範囲が全体に及ばなければ、サービスは止まりうる

つまり、「守れた」のは投資した領域の話です。 事前投資の効果を示す好例であると同時に、守る対象を広げ切ることの難しさも示しています。

これは大企業だけの話ではありません。 管理者が決まっていない部門のWebサイトや、更新が止まったWordPressのような放置されたサイトが狙われる傾向も指摘されています。 守る対象は、社内のシステムだけではなく、インターネットを通じて提供しているサービスのすべてです。

経営トップが決める3つのこと

ここまでを踏まえ、トップが自分で決めるべきことを3つに絞ります。

① 責任者を決める  … CISOまたは相当の役職＋役員会への定期報告
② 範囲を決める    … 社内IT → クラウド → 公開サイト・EC → VPN → AI利用 → 取引先接続
③ 許容を決める    … 何日止まれるか／誰が判断するか／取引先への連絡

責任者を決める｜まず上が手本を示す

経済産業省の「サイバーセキュリティ経営ガイドライン Ver3.0」（2023年3月）は、経営者が認識すべき3原則と、CISOなどに指示すべき重要事項を示しています。 2026年10月時点で、後継版の公表は確認できておらず、Ver3.0が最新です。

3原則の要点は次のとおりです。

• 経営者がリーダーシップをとって対策を進める
• 自社だけでなく、サプライチェーン全体のリスクに目を向ける
• 平時から緊急時まで、関係者とコミュニケーションをとる

中小企業では、専任のCISOを置くのは現実的ではないかもしれません。 その場合は、責任者を一人決め、役員会に定期的に報告させるところから始められます。 兼任でも、外部の専門家の活用でも構いません。

大切なのは、トップ自身が手本を示すことです。 多要素認証を経営陣から率先して使う、訓練に役員も参加する、といった行動が、社内への最も強いメッセージになります。

範囲を決める｜守る対象をサービス提供のすべてに広げる

守る対象を、一度棚卸しすることをおすすめします。

前半で見たとおり、感染経路の約半数がVPN機器でした。 「入口になる機器の管理」は、費用対効果の高い優先項目です。

守る範囲の考え方は、ゼロトラストの考え方も参考になります。

許容を決める｜決めないことも「享受する」という選択

最後に決めるのは、リスクをどこまで受け入れるかです。 どの業務なら何日止まっても耐えられるのか、止まったときに誰が判断し、取引先にどう伝えるのか。

警察庁の統計では、復旧に費用がかかった組織が約6割、復旧が進んでいない組織もありました。 アサヒのように、全品の出荷が戻るまで半年ほどかかった例もあります。

これらを決めずにいることは、リスクを何もせずに受け入れるという選択です。 備えるか、受け入れるか。どちらを選ぶのかを、トップ自身が明示的に決める段階に来ています。

次の質問に、すぐ答えられるでしょうか。

• 主要な取引先のシステムが2週間止まったら、自社の業務はどうなるか
• 自社の公開サイトが改ざんされたら、誰が何を判断するか
• 社員が未承認のAIに顧客情報を入力していないと、どう確かめるか

答えに詰まるなら、それが最初に決めるべき項目です。

人への投資｜社員の意識と資格支援

技術的な対策に加えて、人への投資も欠かせません。

ランサムウェアに限らず、メールの添付ファイルを開く、リンクを押すといった行動は、最後は個人の判断になります。 部署のルールだけでは止めきれず、一人ひとりの意識を変えることが効いてきます。

そのときの入口として、IPAの「情報セキュリティマネジメント試験（SG）」があります。 部門で情報セキュリティを担う人の入口にあたる国家試験で、IT・ネットの基本に慣れている人なら、無理のない入口だと筆者は考えます。

会社が受験をサポートする制度をつくることは、社員の意識を底上げする近道です。 リスクの判断と社員への投資にためらわない経営が、これからの時代は生き残りやすいのではないか。筆者はそう考えています。

もちろん、資格を取れば対策が終わるわけではありません。 「人を育てる仕組みを持つ」ことの一例として、検討してみてください。

• SGの全体像：情報セキュリティマネジメント試験の完全攻略ガイド
• 会社でSGを進めるなら：社内セキュリティ人材をSGで育てる道筋
• さらに専門性を深めるなら：情報処理安全確保支援士の攻略ガイド
• 用語の土台を固めるなら：セキュリティ対策・暗号・インシデント対応の基礎

AIで学び方を変える｜役員会向けの机上演習をAIと一緒に作る

経営層が「自分の会社で起きたらどうなるか」を考えるには、具体的な場面を想像するのがいちばんです。 生成AIを相談相手にすると、準備の時間を大きく減らせます。

ポイントは、AIに答えを出させるのではなく、AIに問いを投げてもらい、自分で判断することです。

あなたは、中小企業の経営者を支援するセキュリティ顧問です。
私は【業種・従業員数】の会社の【役職】です。
主なシステムは【例：基幹システム、自社EC、クラウド会計、VPN】です。

次の想定で、私が経営者として判断すべき論点を、質問の形で**1つずつ**投げかけてください。
想定：**主要な取引先のシステムが2週間停止し、受発注が止まった**

- 私が答えるまで、次の質問に進まないでください
- 私の答えに、**判断が抜けている点**や**前提が曖昧な点**があれば指摘してください
- 最後に、私の答えから「決めていなかったこと」を一覧にしてください

想定の部分を差し替えれば、別のシナリオも作れます。

• 自社の公開サイトが改ざんされた
• 社員が未承認のAIに顧客情報を入力していたことが分かった
• VPN機器の脆弱性が公表され、自社も対象だった

また、攻撃者が自社をどう見ているかを知りたいときは、次のように聞いてみてください。

私は【業種】の会社の経営者です。
攻撃者が、公開情報だけから、うちのような会社の弱点をどのように探すのか、
**防御する側が知っておくべき範囲**で、平易に説明してください。
私が理解できたか確認したいので、最後に私の言葉で要約するので、論理の穴を指摘してください。

役員会の前に、こうした対話を15分ほど行うだけでも、議論の質は変わります。 専門家に頼る前に「何を相談すべきか」が整理できるのが、いちばんの効果です。

まとめ

• ランサムウェア被害は半期で過去最多となり、AIで攻撃の敷居も下がっている
• 自社が狙われなくても、取引先や関連会社の停止で業務は止まりうる
• トップが決めるのは、責任者・守る範囲・許容するリスクの3つ
• 社員への投資は、意識を底上げする近道。SGのような入口から始められる

他社の事故は、対岸の火事ではありません。 備えるのか、受け入れるのか。その選択を、トップが自分で行う段階に来ています。

参考資料

• 警察庁「令和8年上半期におけるサイバー空間をめぐる脅威の情勢等について」（2026年9月10日公表）
• IPA「情報セキュリティ10大脅威 2026」（2026年1月29日公表）
• 経済産業省・IPA「サイバーセキュリティ経営ガイドライン Ver3.0」（2023年3月）
• 経済産業省・国家サイバー統括室「サプライチェーン強化に向けたセキュリティ対策評価制度」（構築方針 2026年3月27日）
• 各社の発表・決算資料および報道（アサヒグループホールディングス、アスクル、KADOKAWA／ドワンゴ、快活フロンティア）