「もし自社がサイバー攻撃されたら、実際どうなるんだろう」
大手企業のサイバー攻撃のニュースを見て、こう思ったことはないでしょうか。
サイバー攻撃の報道を目にしても、実感がわかず自社のセキュリティ対策を後回しにしている方も少なくないでしょう。
しかし、放置しておくと、事業停止、個人情報漏洩、復旧の長期化といった被害を受ける可能性があります。
そこで本記事では、サイバー攻撃されたらどうなるのか、事例も取り上げて解説します。
【この記事でわかること】
・サイバー攻撃をされると起きる被害
・復旧までの期間や費用
・されてしまった時の初動
・されないための対策
ぜひこの機会に、自社のセキュリティ対策を見直してみてください。
専門知識ゼロ・IT担当者不在でも大丈夫！
中小企業のサイバーセキュリティ対策を、1冊に
「何から始めれば」と調べてみても専門用語ばかり。
最低限おさえたいポイントをこの1冊にまとめました。
この資料でわかること
- 中小企業のサイバー攻撃リスク
- 情報漏えい、踏み台攻撃被害を防ぐ対策の基本
- 放置すると起こる実際の被害事例
- 自社の弱点がわかる15項目のチェックリスト
サイバー攻撃されたらどうなる？
サイバー攻撃をされると、次のような被害が連鎖して発生します。
【サイバー攻撃をされると起きる5つの被害】
・個人情報・機密情報の漏洩
・システム・サービスの停止（事業の停止）
・金銭的被害（復旧費用・身代金・賠償）
・社会的信用・ブランド価値の失墜
・法的責任と報告義務
個人情報・機密情報の漏洩
最初に起きるのが、情報の流出です。
サイバー攻撃では、企業が保管しているさまざまな情報が狙われます。
【漏れる情報の例】
・顧客の個人情報（氏名・住所・連絡先・購買履歴）
・取引先の情報や契約データ
・製品や技術に関わる企業秘密
・社内システムのIDやパスワードなどの認証情報
漏れた情報は、盗まれた認証情報でなりすまされたり、取引先へ攻撃が広がったりなど二次被害につながります。
自社だけの問題では済まないのが、情報漏えいの危険な点です。
システム・サービスの停止（事業の停止）
次に直面するのが、業務そのものが止まってしまう事態です。
たとえば、ランサムウェアに感染すると、データが暗号化されて使えなくなります。
【止まってしまう業務の例】
・受注や出荷を管理する基幹システム
・ECサイトやネット通販のサービス
・工場の生産ライン
・社内の会計・在庫管理
「パソコンが使えない」どころではなく、会社の売上を生む仕組みそのものが動かなくなります。
その結果、顧客への商品やサービスの提供が止まってしまうのです。
金銭的被害（復旧費用・身代金・賠償）
事業が止まれば、当然金銭的な問題が発生します。
サイバー攻撃による金銭的被害は、身代金だけではありません。
【発生する費用の例】
・原因調査やシステム復旧にかかる費用
・攻撃者から要求される身代金
・取引先や顧客への損害賠償
・事業が止まっている間に失う売上
とくに調査・復旧の費用は、身代金を払わなくても高額になる可能性があります。
社会的信用・ブランド価値の失墜
サイバー攻撃による社会的な信用の低下も深刻な問題です。
「あの会社は情報を守れなかった」という印象は、簡単には消えません。
【信用の低下で起きること】
・取引先からの取引停止や失注
・顧客離れによる売上の減少
・上場企業であれば株価や業績への影響
・採用活動への悪影響
システムは数週間で戻せても、失った信用を取り戻すには長い時間がかかります。
被害の中でも、尾を引くのが信用の失墜だといえます。
法的責任と報告義務
最後に見落としがちなのが、法律上の責任です。
サイバー攻撃をされた企業は「被害者」ですが、それだけでは済まないことがあります。
【被害を受けた企業に生じる義務・責任】
・個人情報保護委員会への報告
・漏洩の対象となった本人への通知
・安全管理を怠っていた場合に問われる責任
・取引先との契約上の責任
たとえば個人データが漏洩した場合、企業には報告と通知の義務があります。
速報は3〜5日以内、確報は30日以内という期限も定められています。
攻撃をされても、対応を誤れば責任を問われる立場になりうるのです。
サイバー攻撃を受けたときに落ち着いて対応できるように、対策を行いましょう。
UTMが初期費用0円で導入できる
中小企業のセキュリティ対策に、ウイルス対策とUTMを。
初期費用0円・月額料金で、コストを抑えて導入できます。
サイバー攻撃されたらかかる費用と復旧までの時間
サイバー攻撃されたらどの程度の被害になるのか、復旧までにかかる費用と時間を確認しましょう。
【サイバー攻撃されたらかかる費用】
・復旧までにかかる期間
・調査・復旧にかかる費用
・中小企業の被害件数
復旧までにかかる期間
一度サイバー攻撃されたら、復旧までに時間がかかる可能性があります。
警察庁の令和7年の調査を見てみましょう。
| 【復旧期間の実態】 ・1か月未満で復旧できた組織は、全体の5割強にとどまる ・裏を返せば、半数近くは復旧に1か月以上かかっている |
被害のおよそ半分は、1か月以上も業務への影響が残ります。
その間、売上も信用も削られ続けるわけです。
「サイバー攻撃されたら、長期化する」ことを前提に対策を行いましょう。
調査・復旧にかかる費用
同じく警察庁の調査から、復旧にかかった費用の実態を見てみましょう。
| 【調査・復旧費用の実態】 ・調査・復旧に総額1,000万円以上を要した組織が、全体の5割を超える ・ランサムウェアによる身代金を支払わなくても、調査・復旧だけで高額になる |
半数を超える組織が、調査と復旧だけで1,000万円以上を費やしています。
これは身代金を払わなかった場合でも発生する金額です。
中小企業の被害件数
サイバー攻撃は、企業の規模に関係なく発生します。
中小企業だとしても、サイバー攻撃への対策は必要不可欠です。
| 【被害の規模と傾向】 ・令和7年のランサムウェア被害報告は226件と高水準 ・被害の多くが中小企業で、対策の手薄な組織が踏み台にされやすい |
警察庁の調査では、ランサムウェアによる被害件数は、大企業よりも中小企業の方が多くなっています。
▶ RaaSとは？サービスとしてのランサムウェアの仕組みと被害事例を解説
また、ランサムウェア以外のサイバー攻撃についても大まかに把握しておきたいという方は、以下の資料も参考にしてください。
サイバー攻撃36種類を、6つの型で理解！
世の中に数多くあるサイバー攻撃を、ピックアップ
「サイバー攻撃ってどんなものがあるの？」種類が多すぎて把握できない。
そんな方に向けて、大まかな特徴をまとめました。
この資料でわかること
- 攻撃者の目的（なぜ狙われるのか）
- サイバー攻撃36種類を6つに分類した全体像
- 型ごとの「手口・被害・具体的な対策」
- 押さえたい4つの対策の全体像
実際にサイバー攻撃された企業の事例
数字だけではなく、実際に発生したサイバー攻撃の事例を見ておきましょう。
ここでは、近年に起こった代表的なサイバー攻撃を紹介します。
【サイバー攻撃を受けた企業の事例】
・アサヒグループHD
・アスクル
・ニチレイ
アサヒグループHD（2025年）｜出荷停止と長期復旧、個人情報漏洩
大手飲料メーカーでも、長期間にわたって業務が止まりました。
| 【アサヒグループHDで起きたこと】 ・2025年9月29日、サイバー攻撃によるシステム障害が発生 ・ビールや飲料などの受注・出荷ができず、国内30工場の多くが生産を停止 ・顧客対応のコールセンター業務も停止 ・のちに顧客や従業員の個人情報が最大191万件流出の恐れも公表 |
受注から生産、出荷までが一度に止まりました。
復旧は数か月に及び、サイバー攻撃が事業を止めることを示した事例です。
アスクル（2025年）｜物流・EC停止と多額の損失
オフィス用品通販の大手も、サービス停止に追い込まれました。
| 【アスクルで起きたこと】 ・2025年10月19日、ランサムウェアに感染し、商品の受注・出荷を停止 ・通販サービスが長期間にわたり使えない状態に ・配送を委託する無印良品やネスレ日本などのネットストアにも影響が波及 |
被害は自社だけにとどまりませんでした。
1社の停止が取引先の販売まで止めてしまう、サプライチェーン被害の典型例です。
ニチレイ（2026年）｜冷凍食品の出荷停止、取引先約5000社に影響
食を支える物流網も、サイバー攻撃で止まりました。
| 【ニチレイで起きたこと】 ・2026年7月13日、不正アクセスによるシステム障害が発生 ・一部の食品工場や冷蔵倉庫が停止し、冷凍食品の出荷業務に影響 ・影響は取引先約5000社に及び、7月24日にようやく通常稼働へ |
その後、ロシア系とみられるハッカー集団がランサムウェアによる犯行声明を出しました。
食のインフラである冷凍・物流網が止まると、影響が一気に取引先へ広がることを示す事例です。
その他にもサイバー攻撃の事例については以下のページで紹介しています。
▶ 「【2025年最新】サイバー攻撃を受けた企業一覧｜被害内容・原因・復旧対応まで徹底解説」
サイバー攻撃されたら取るべき対応
万が一、攻撃をされてしまったら、どう動けばよいのでしょうか。
被害を最小限に抑えられるかどうかは、最初の動き（初動）でほぼ決まります。
慌てて誤った操作をすると、証拠や復旧のための手がかりを失うことがあります。
落ち着いて、次のステップで動きましょう。
【サイバー攻撃をされたら取るべき対応】
・感染・侵害のサインに気づく
・ネットワークから隔離して被害の拡大を止める
・社内・関係先・公的機関へ連絡する
・やってはいけないNG行動を避ける
感染・侵害のサインに気づく
被害を最小限に抑えるためには、早期発見が重要です。
攻撃を受けたときのよくある異変を把握しておきましょう。
【よくある異変のサイン】
・ファイルが開けない、拡張子が勝手に変わっている
・身代金を要求する画面が表示される
・パソコンが急に極端に重くなる
・身に覚えのない通信やログインの記録がある
こうした異変に気づいたら、すぐに次の行動へ移ってください。
ネットワークから隔離して被害の拡大を止める
サイバー攻撃に気づいたら、被害が拡大しないように動きます。
【まずやること】
・感染した端末をLANやWi-Fiから切り離す
・共有サーバーやバックアップへの接続を遮断する
・電源はむやみに切らず、画面や状況を記録しておく
万一感染した場合でも、一台に食い止めるように動きましょう。
つながったまま放置すると、社内全体に一気に広がってしまいます。
社内・関係先・公的機関へ連絡する
被害を止めたら、必要な相手に速やかに連絡します。
【主な連絡・報告先】
・経営層と情報システム部門
・影響が及ぶ取引先や顧客
・警察（サイバー犯罪の相談窓口）やIPA
・個人情報が漏れた場合は個人情報保護委員会
サイバー攻撃に遭った場合、自社だけでは解決できないケースもあります。
公的な機関への相談も視野に入れておきましょう。
やってはいけないNG行動を避ける
よかれと思った操作が、復旧を難しくすることもあります。
やってはいけないNG行動を把握し、冷静に対処しましょう。
【やってはいけないNG行動】
・安易な再起動や初期化で証拠を消してしまう
・身代金を自己判断で支払う
・被害を隠して公表を遅らせる
・攻撃者と直接やり取りしようとする
とはいえ、いざサイバー攻撃に遭ってしまったら、正しい判断をするのは容易ではありません。
サイバーセキュリティについての相談窓口を用意しておくのがおすすめです。
サイバー攻撃をされないための対策
サイバー攻撃は一度されたら、被害が大きく、対応する際にも会社全体に大きなストレスがかかります。
そのため、そもそもサイバー攻撃を受けない対策が必要です。
【サイバー攻撃をされないための対策】
・OS・ソフトウェアを最新に保つ
・VPN機器・リモート接続を見直す
・UTMでネットワークの出入口を守る
・セキュリティソフトでPC・サーバーを守る
・多要素認証とパスワード管理を徹底する
・3-2-1ルールでバックアップと復旧体制をつくる
・従業員教育とインシデント対応体制を整える
OS・ソフトウェアを最新に保つ
もっとも基本で、もっとも効果的なのがアップデートです。
古いまま放置されたソフトの弱点（脆弱性）は、攻撃者にとって格好の入口になります。
OS・アプリ・ネットワーク機器は、更新が出たら早めに適用しましょう。
自動更新を有効にしておくと、対応漏れを防げます。
VPN機器・リモート接続を見直す
テレワークで使う機器は、いま最大の侵入口になっています。
警察庁の調査では、感染経路のうちVPN機器が55.0％、リモートデスクトップが31.0％を占めます。
あわせて8割以上が、テレワーク関連の機器から侵入されている計算です。
出典：警察庁「令和6年におけるサイバー空間をめぐる脅威の情勢等について」
ファームウェアの更新、接続元の制限、多要素認証を優先して行ってください。
UTMでネットワークの出入口を守る
社内ネットワークの入口と出口を、UTMでまとめて守る方法もあります。
不審な通信をブロックしたり、社内の通信を可視化したりする役割を担います。
複数のセキュリティ機能をひとつにまとめられるため、専任担当がいない中小企業でも運用しやすいのが特長です。
セキュリティソフトでPC・サーバーを守る
出入口を守ったら、端末そのものの守りも固めます。
パソコンやサーバーに入り込んだウイルスを検知・駆除するのが、セキュリティソフトの役割です。
中小企業でも運用しやすい製品として、ESETのような国内でも実績のあるソフトがあります。
UTMと組み合わせることで、入口と端末の両方をカバーできます。
多要素認証とパスワード管理を徹底する
盗まれた認証情報は、攻撃者にとって正規の鍵になります。
【認証まわりでやること】
・ログインに多要素認証（MFA）を設定する
・パスワードの使い回しをやめる
・退職者のアカウントを放置せず、こまめに棚卸しする
とくに退職者アカウントの放置は、見落とされがちな侵入口です。 権限は「必要な人に、必要な分だけ」を基本にしましょう。
3-2-1ルールでバックアップと復旧体制をつくる
万が一データを暗号化されても、取り戻せる備えが要ります。
そこで役立つのが「3-2-1ルール」です。
【3-2-1ルールの考え方】
・データの複製を3つ持つ
・2種類の異なる媒体に保存する
・そのうち1つはオフラインや遠隔地に隔離する
バックアップ自体が暗号化されては意味がありません。 ネットワークから切り離して保管し、定期的に復旧テストもしておきましょう。
従業員教育とインシデント対応体制を整える
最後は、仕組みと人の両面での備えです。
不審なメールを開かない、認証情報を入力しないといった基本は、全社での教育が欠かせません。
あわせて、感染を前提にした連絡体制や初動手順、相談先を平時に決めておきます。
自社だけでなく、取引先や委託先の備えまで意識できるのが理想的です。
UTMやセキュリティ対策ソフト導入を検討する際は、ぜひお気軽にお問い合わせください。
UTMが初期費用0円で導入できる
中小企業のセキュリティ対策に、ウイルス対策とUTMを。
初期費用0円・月額料金で、コストを抑えて導入できます。
サイバー攻撃されたらどうなるか｜よくある質問
最後に「サイバー攻撃されたらどうなる」について、よくある質問をまとめます。
Q1．サイバー攻撃されたら、結局どうなりますか？
情報漏洩、システムや事業の停止、金銭的被害、信用の失墜、法的責任が連鎖して起きます 国の調査でも、復旧に1ヶ月以上かかった組織や、費用が1,000万円以上だった組織が、それぞれ約半数にのぼります。被害はひとつでは終わらないと考えておくのが大切です。
Q2．サイバー攻撃を受けてから復旧までどれくらいかかりますか？
被害の内容によりますが、短期間で戻るとは限りません。警察庁の令和6年の調査では、復旧に1ヶ月以上を要した組織が49％を占めました。数日で元通りになる前提ではなく、長期化を想定した備えが必要です。
Q3．サイバー攻撃をした犯人は捕まりますか？何罪になりますか？
不正アクセス禁止法違反や、電子計算機損壊等業務妨害罪などに問われる可能性があります。ただし攻撃者が海外を拠点にしたり、身元を隠したりするため、特定が難しい場合も少なくありません。被害に気づいたら、まずは警察へ相談することが第一歩です。
Q4．中小企業でもサイバー攻撃をされることはありますか？
はい、むしろ狙われやすいといえます。ランサムウェア被害の多くが中小企業で、対策の手薄な組織ほどサプライチェーンの踏み台にされがちです。規模の大小に関わらず、備えは欠かせません。
まとめ｜サイバー攻撃されたらどうなるか、を振り返る
サイバー攻撃をされると何が起きるのか、そして何をすべきかを見てきました。
最後に、この記事のポイントを振り返ります。
【この記事のポイント】
・サイバー攻撃をされると、情報漏洩・事業停止・金銭被害・信用失墜・法的責任が連鎖する
・復旧は1ヶ月以上、費用は1,000万円以上が、それぞれ約半数という現実
・アサヒやアスクルなど、実在の企業でも事業停止や多額の損失、情報漏洩が起きている
・された時は「隔離 → 連絡 → NG行動を避ける」の順で落ち着いて動く
・されないためには、VPN対策・UTM・セキュリティソフト・バックアップ・教育で多層的に守る
実際にサイバー攻撃を受ける前に、できるところから対策を始めましょう。
情報システムの専任スタッフがおらず、どのようなセキュリティ機器を仕入れればよいのか、悩んでいる場合は、ぜひお気軽にご相談ください。
