セキュリティ入門 03｜盗まれるものなどない？小さな会社が狙われる理由は別にある

セキュリティの話になると、こう思うかもしれません。うちは小さな会社で、サイトに載せているのは公開済みの商品紹介、国家機密もなく、膨大な顧客のクレジットカード情報もない。わざわざ時間をかけてうちを狙う人がいるだろうか。

攻撃者が机の前に座り、会社名簿を見ながら対象を選んでいるのなら、その考えは成り立つかもしれません。しかしAI が書いたコードが最も踏みやすいセキュリティの地雷：権限、鍵、入力検証で書いたのは、そうではない現実です。攻撃はプログラムがインターネット全体を走査して行われ、扉が閉まっていなければ入ってくる。あなたが誰かとは関係がない。英国サイバーセキュリティセンター（NCSC）もガイダンス『10 Steps to Cyber Security: Vulnerability management』で明言しています——新しい脆弱性が公開されると、攻撃者はしばしば無差別に（indiscriminately）、まだ修正されていないシステムをインターネット上で探します。

セキュリティ入門の第 3 回です。セキュリティ入門 01｜公告が出た日：自分のシステムが該当するかどう見分けるかでバージョンを確認したうえで、本稿は経営者がよく抱く疑問に答えます。かりに本当に扉が閉まっていなかったとして、小さな会社に入ってきて何を取るのか。答えはこうです。彼らが目をつけているのは、あなたが思い浮かべる商業機密だけではありません。

まず見る角度を変える：小さな会社は標的になるのか

英国サイバーセキュリティセンター（NCSC）は 2026 年に更新した『Small organisations guide to cyber security』の冒頭で、この思い込みを直接崩しています——報道で目にするのは大企業の被害ですが、小さな会社がサイバー犯罪に遭う確率は大企業と変わりません。同ガイドは英国の統計を引いて、小規模企業の二社に一社が一年のうちに少なくとも一度セキュリティ事故に遭うと述べています。

なぜ無名の小さなシステムまで欲しがるのか。自動化されたプログラムが扉を一枚押し開けたあと、中に驚くような機密がなくても、あなたのシステム自体が四つの既製の資源を持っているからです。あなたのホスト、あなたのドメインとメールボックス、あなたの顧客と取引先の名簿、そして明日も店を開けて商売をしなければならないという事情です。

一つめの価値：あなたのホストと外部サービスの利用枠

毎月お金を払ってクラウドホストを借り、SMS や AI サービスをつないでいる。買っているのは計算能力と送信枠です。攻撃者にとっては、どれも自分で金を出さずに済む無料の設備です。

• あなたのホストを採掘や踏み台に使う：入ってきてもデータを消さず、トップページも書き換えず、ただ裏で自分のプログラムを静かに走らせます——あなたのプロセッサを消費する、あるいはあなたのホストを隠れ蓑にして他人を攻撃する。サイトは生きているように見え、ただ妙に遅いだけで、ホスト事業者から通信量の異常を知らされてマシンを止められるまで気づきません。
• つないだ外部サービスの鍵を使い込む：AI が書いたコードが最も踏みやすいセキュリティの地雷：権限、鍵、入力検証で触れたとおり、コードと SMS 事業者、メール送信サービス、AI モデルのあいだにあるのは鍵という通行証です。その鍵を手にした者はあなたの名義で、あなたのお金を使えます。月末の請求がいつもの数倍になっても、その金は会社が払うことになります。

担当者への訊き方：計算量や外部サービスの使用量が深夜に急増したら、先に知らせてくれる監視と費用上限はありますか。それとも月末の請求を見るまで分かりませんか。

二つめの価値：会社のドメインとメールボックスの信用

攻撃者が詐欺メールやフィッシングのリンクを送るとき、たったいま取得した見慣れない無料のメールボックスからでは、すぐに各社のメールシステムで迷惑メール扱いになります。そこで、何年もまともに商売してきた小さな会社のドメインが、既製の変装になります。

• あなたのドメインを借りてフィッシングメールを送る：あなたの会社のドメインには通常の商取引の記録があり、メールシステムから見れば信用のある送信者です。送信権限や管理用メールボックスを取られれば、あなたの会社の名前であちこちにメールを出せます。
• 古いページを詐欺ページに書き換える：ドメイン配下に誰も見ていない古いキャンペーンページやテストサイトが残っていれば、その中身を銀行やネット通販を装ったログインページに差し替えられます。検索エンジンやフィルタリングから見れば、それは実在する会社のドメイン配下にある正常なアドレスで、新規取得の詐欺サイトよりずっと長く生き延びます。

担当者への訊き方：会社のドメインとメール送信サービスには、他人が当社のメールボックス名義で送信できないようにする偽装対策が設定されていますか。ドメイン配下に、誰も管理していないのに開いたままの古いページはありませんか。

三つめの価値：注文名簿とサプライチェーンの信用

サイトにあるのは氏名、電話、メールアドレスと何を買ったかだけで、大した機密ではないと感じるかもしれません。しかし詐欺グループの分業のなかでは、購買履歴のついた実在の名簿は、当てずっぽうの電話番号よりはるかに使えます。

• あなたの買い手を狙って精度の高い詐欺をする：注文番号、金額、購入品目まで言える相手なら、電話を受けた人が疑うのは難しくなります。保守しないことの隠れたコスト：ダウンタイム、情報漏洩、直せないシステムでその勘定を計算しました——顧客データが漏れたとき払うのは、顧客一人ずつに連絡する時間、何が起きたかを調べてもらう費用、そしていちばん計算しにくいもの——次に顧客があなたを選ぶかどうかという信用のコストです。
• あなたを経由して取引先の企業に入る：あなたの会社が大企業の供給元や取引先なら、攻撃者が狙っているのはあなたではなく、あなたとその大企業のあいだのメールのやり取りとシステム接続かもしれません。英国サイバーセキュリティセンター（NCSC）はガイダンス『10 Steps to Cyber Security: Supply chain security』でとくに注意を促しています——供給元を狙った攻撃が企業に与える損害は、企業自身を直接攻撃した場合と同じほど深刻になりうる。そして政府や大企業の契約を争うとき、基本的なセキュリティができていることを示せるかどうかが、受注できるかどうかの条件になっています。

担当者への訊き方：データベースは定期的にバックアップされていますか。サイト自身だけが接続できるよう制限されていますか。連絡先名簿を持つ管理画面で、データを書き出すときの権限管理と記録はありますか。

四つめの価値：あなたが止まれないという事情

上の三つをどれも取らないとしても、最後の一手があります。データベースとファイルをすべてロックして、鍵を買うかと訊くことです。

この種のランサムウェアは、あなたのデータにどんな商業的価値があるかを知る必要がありません。賭けているのは一つだけです——このデータは他人には役に立たないが、これがなければあなたは明日出荷できず、照合もできず、店を開けられない。

大企業ならロックされても、専任のセキュリティチームと遠隔地の予備系に切り替えられるかもしれません。小さな会社は、いちばん新しいバックアップまで同じホストに置いてあって一緒にロックされたと気づいた時点で、身代金を払うか全部やり直すかの二択を迫られることがあります。御社の AI 製品にバックアップはありますか：データベースとファイルの最低基準で定めた四つの線——データベースを毎日自動でバックアップする、ファイルも一緒に取る、バックアップは別のホストか別の事業者に置く、四半期ごとに実際に復元を試す——が防いでいるのは、まさにその日です。

担当者への訊き方：今日、本番ホストが丸ごとロックされたり壊れたりしたら、バックアップはそのホストが触れない別の場所にありますか。実際にバックアップを復元してみたのは、いつですか。

一枚の表で対照：価値がないと思っていたものを、相手はどう換金するか

この四つを並べてみると、「盗まれるものなどない」は左の列しか見ておらず、右の列を見ていないことが分かります。

納得したら、まずどの三つをやるか

小さな会社が狙われる理由を知ることは、大企業でなければ買えない高価な設備を買うためではなく、基本的な扉を閉めるためです。いますぐ確認できる三つにまとめます。

• 誰も知らないことを防御だと思わない：自動走査のプログラムは会社の看板を見ず、脆弱性が修正されたかだけを見ます。セキュリティ入門 01｜公告が出た日：自分のシステムが該当するかどう見分けるかのやり方に合わせて、定期的にセキュリティ更新を当て、既知の扉を先に閉めてください。
• バックアップをホストの外に移す：御社の AI 製品にバックアップはありますか：データベースとファイルの最低基準と照らし、バックアップが別のホストか別の事業者にあり、実際に復元を試したことを確認してください。きれいで独立したバックアップが手元にあって初めて、ロックされたときに身代金を払わないと言えます。
• 異常が請求書と客からの苦情より早く届くようにする：サイトが落ちたとき、誰が最初に知るか：小さなプロダクトにも必要な監視の最小構成と照らし、サイトの生存、プログラムのエラー、ホストのリソースという三つの基本的な監視を入れ、通知を受け取る人と対応する人がいることを確認してください。

恩梯科技（NT IT）は受託開発を出発点とするシステムソフトウェア企業で、現在は AI システムの長期的な保守を手がけています。会社のシステムに定期的なセキュリティ更新をしている人がいるか、バックアップが本当にホストの外にあるか、鍵が漏れる恐れがないかが不確かなら、一度のシステム健康診断から始められます。見るのはコード、データベース、デプロイ、セキュリティの四面で、その全容はシステム健診では何を見ているのか：コード、データベース、デプロイ、セキュリティの 4 領域に書いています。システム健康診断のご予約