大企業へのランサムウェア被害が大きくニュースに取り上げられることもありますが、実は、実際にランサムウェア被害に遭っている企業の多くは、中小・中堅企業です(※)。

被害にあった企業の多くは、悪意を持って対策をサボっていたわけではありません。攻撃する側のすそ野が広がったため、「忙しくて後回しにしていた」、そのわずかな隙が狙われる時代になっているのです。
※警察庁の発表によると、報告されている国内のランサムウェアによる被害件数のうち、約63%が中小企業。(出典：「令和6年におけるサイバー空間をめぐる脅威の情勢等について」)

しかし、日々の業務に追われる中で、「セキュリティ対策まで手が回らない」と感じている中小・中堅企業は、決して少なくありません。

IT担当者は一人だけ。しかも本業と兼務。トラブル対応に追われ、「万が一の備え」まで考える余裕がない。
それは、特別なことではなく、多くの企業にとっての現実です。

とはいえ、現在、サイバーセキュリティを取り巻く環境は、さらに変わり始めています。
2025年5月には、重大なサイバー攻撃を未然に防ぐための「能動的サイバー防御」に関する法律が成立し、国全体としてサイバー攻撃への対処を強化する方向が明確になりました。これにより、今後は重要インフラ事業者に加え、その取引先企業に対しても、一定水準以上のセキュリティ対策が求められていくことが想定されています。

今回ご紹介するのは、そんな変化の波を受ける前に、ある中堅の製造業企業がランサムウェア攻撃を受け、会社が完全復旧するまでに3ヶ月を要した架空のストーリーです。
この企業は、特別にずさんな会社ではありません。ただ、「まだ自分たちには関係ない」と思っていただけでした。
架空の設定・ストーリーではありますが、中小・中堅企業が直面しうる現実を描いた物語です。

目次

【登場企業】トレノインダストリー株式会社（架空）

地方都市に本社を置く、従業員約300名の精密部品メーカー。創業45年の中堅企業。大手メーカーのサプライチェーンの一角を担う二次サプライヤーとして、さまざまな産業向けの精密部品を製造。
主な取引先は一次サプライヤー3社。「品質と納期のトレノインダストリー」として信頼を築いてきた。
どこにでもある、普通の優良企業だった。

【第1日目】金曜日の夕方 ― 最初の異変

日々の業務に追われる、どこにでもある中堅の製造業企業。ある金曜日の夕方、それは突然起こりました。

17:00　製造部・田中主任の気づき

「あれ、おかしいな……」

田中主任は、生産管理システムの画面を見つめて首をかしげた。さっきまで動いていた画面が、真っ黒になっている。
マウスを動かしても反応がない。キーボードを叩いても変わらない。

「パソコンがフリーズしたのかな」

電源ボタンを長押しして再起動をかける。起動画面が表示され、いつものデスクトップが……
表示されない。

代わりに現れたのは、見慣れない英語のメッセージだった。

画面には、中小企業にとっては到底支払えない金額が表示されていた。

「なんだこれ……暗号化？ビットコイン？」

意味が分からず、隣の席の同僚に声をかけようとした。

「田中さん、うちのパソコンも変な画面が……」

振り返ると、同僚も青ざめた顔でモニターを指さしていた。

17:45　製造現場からの悲鳴

製造部長の携帯が鳴った。

「部長！工場の設備制御用パソコンが全部止まりました！ラインが動きません！」

同時に、経理部からも連絡が入る。

「すみません、会計システムに入れないんですが……」

営業部からも。

「顧客管理システムが開けません。受注データが……」

あっという間に、会社中のパソコンが次々と「あの画面」に変わっていった。

【用語解説】ランサムウェアとは？

「ランサム（Ransom）」は英語で「身代金」の意味。パソコンやサーバー内のファイルを勝手に暗号化して使えなくし、「元に戻してほしければ金を払え」と脅迫するコンピューターウイルスの一種です。警察庁の統計によれば、2024年の被害報告件数は222件に達し、高水準で推移しています。
（出典：警察庁「令和6年におけるサイバー空間をめぐる脅威の情勢等について」）。

18:00　社長への緊急報告

総務部長が社長室に駆け込んだ。

「社長、大変です。どうやらランサムウェアというウイルスに感染したようです」
「ランサム……なんだって？」
「身代金要求型のサイバー攻撃です。会社のデータを全部暗号化して、元に戻したければお金を払えと……」
社長の顔から血の気が引いた。
「それは……いつ直るんだ？」
「分かりません。とにかく、システム担当の佐藤くんに連絡を取っています」

情報システム担当は、たった1人。佐藤（28歳）は、総務部に所属しながらITも兼務している「一人情シス」だった。

【セキュリティ問題①】一人情シス体制

従業員300名の会社で、IT担当がたった1人。しかも総務との兼務。これでは日常業務に追われ、セキュリティ対策まで手が回りません。パソコンの設定やトラブル対応だけで精一杯になり、「会社を守る」という本来最も重要な仕事が後回しになってしまいます。
実際、ランサムウェア被害の約63%（2024年、222件中140件）は中小企業で発生しており、その多くがIT人材不足を抱えています（出典：警察庁「令和6年におけるサイバー空間をめぐる脅威の情勢等について」）。

【第2日目】土曜日 ― 現実を知る

8:00　緊急対策本部の設置

社長、各部長、そして佐藤が会議室に集まった。

「警察への被害申告もしておいた方がいいです。義務ではありませんが、後の捜査協力や保険対応で記録が役に立ちます」

と佐藤が言った。社長は黙ってうなずいた。
佐藤は徹夜で状況を調べていた。その報告は絶望的だった。

「社内のサーバー8台、PC約200台が感染しています。バックアップサーバーも……やられています」
「バックアップがあるんじゃないのか？」
「ありますが、バックアップサーバーもネットワークにつながっていたので、一緒に暗号化されてしまいました……」

バックアップの意味がなかった。

【セキュリティ問題②】バックアップがネットワークに接続されたまま

バックアップとは、大切なデータのコピーを別の場所に保存しておくこと。火事で金庫が燃えても、別の場所に控えがあれば安心、という考え方です。
しかしトレノインダストリーでは、バックアップ用のサーバーも社内ネットワークにつながっていました。これでは、泥棒が家に侵入したとき、金庫も控えの金庫も同じ部屋にあるようなもの。一緒に盗まれて当然です。
警察庁の調査によれば、バックアップから復元できなかった企業の約7割弱が「バックアップも暗号化された」ことを理由に挙げています（出典：警察庁「令和6年上半期におけるサイバー空間をめぐる脅威の情勢等について」）。バックアップは、ネットワークから切り離して保管する（オフライン保管）ことが鉄則です。

「どこから入られたんだ？」
「おそらく、VPN機器です。リモートワーク用に3年前に導入したものですが、ソフトウェアの更新が……できていませんでした」

【用語解説】VPN機器とは？

社員が自宅から会社のネットワークに安全に接続するための装置です。コロナ禍でリモートワークが広がり、多くの企業が導入しました。いわば「会社への裏口ドア」のようなもの。便利ですが、きちんと管理しないと、そこから泥棒（攻撃者）に入られてしまいます。

【セキュリティ問題③】VPN機器のソフトウェア更新を3年間放置

コロナ禍で急遽導入したVPN機器。その後のメンテナンスは後回しになっていました。
ソフトウェアには「脆弱性（ぜいじゃくせい）」と呼ばれる弱点が後から見つかることがあります。メーカーは弱点を修正するプログラム（パッチ）を配布しますが、それを適用しなければ弱点は残ったまま。
3年間更新していないということは、3年分の「鍵のかかっていないドア」を放置していたのと同じです。
警察庁の2024年統計では、ランサムウェア感染経路の約55%がVPN機器経由、約31%がリモートデスクトップ経由であり、合計約86%がこの2つの経路から侵入されています（出典：警察庁「令和6年におけるサイバー空間をめぐる脅威の情勢等について」）。

10:00　取引先への連絡

製造部長が頭を抱えた。

「月曜日、納品予定の部品が3万個あるんです。出荷システムが動かないと、どの部品をどこに送ればいいか分からない」

営業部長も続く。

「取引先には何て説明すれば……『サイバー攻撃で出荷できません』なんて言ったら、信用がた落ちだ」

社長は決断を迫られた。

「隠しても仕方ない。正直に伝えよう。一次サプライヤー3社には、私から直接電話する」

その電話は、予想以上に厳しいものだった。

「トレノさん、困りますよ。うちも元請けさんへの納期があるんです」
「セキュリティ対策、ちゃんとやってたんですか？」
「他のサプライヤーに切り替えることも検討しないと……」

【セキュリティ問題④】サプライチェーンへの影響を想定していなかった

製造業は、何百社もの部品メーカーが連携して成り立っています。1社が止まれば、その影響は取引先全体に波及します。トレノインダストリーは「自社のシステムが止まる」ことは想像しても、「それが取引先や業界全体にどう影響するか」までは考えていませんでした。
実際、2024年には製造業がランサムウェア被害の業種別で最多を占めています（出典：警察庁「令和6年におけるサイバー空間をめぐる脅威の情勢等について」）。攻撃者は、サプライチェーンへの影響が大きい企業ほど身代金を支払う可能性が高いと考えて標的にしています。サイバー攻撃は、自社だけの問題では済まないのです。

【第3日目】日曜日 ― 手探りの復旧

外部専門家への依頼

「うちの力だけでは無理です」

佐藤の言葉に、社長もうなずくしかなかった。
しかし、日曜日にサイバーセキュリティの専門会社を探すのは困難を極めた。ようやく連絡が取れた会社からは、こう言われた。

「現在、複数の案件を抱えておりまして……最短でも火曜日の午後になります」
「火曜日？それまで何もできないのか……」

結局、月曜日の夜になってようやく専門家が到着した。2日間のロスだった。
専門家の診断は厳しかった。

「感染範囲が広すぎます。すべてのシステムを一からクリーンインストールする必要があります」
「どのくらいかかりますか？」
「最低でも1〜2ヶ月。完全復旧は3ヶ月以上かかるかもしれません。正直に申し上げると、一人情シス体制でこの規模の復旧作業を行うのは、かなり厳しい状況です」

【セキュリティ問題⑤】外部専門家との事前連携がなかった

事故が起きてから慌てて専門家を探すのでは、初動が遅れます。火事が起きてから消防署の電話番号を調べるようなものです。平時から「何かあったときに相談できる専門家」を確保しておくことが重要です。契約を結んでおけば、緊急時にすぐ対応してもらえます。
一人情シス体制の企業こそ、外部リソースの確保が不可欠です。

【セキュリティ問題⑥】ネットワークが分離されていなかった

サーバー8台、PC約200台が一斉に感染したのは、社内ネットワークが一つにつながっていたから。
家に例えると、すべての部屋のドアが開けっ放しの状態。一カ所から侵入されたら、家中どこでも自由に歩き回られてしまいます。
重要なシステムは「ネットワークを分ける（セグメント分離）」ことで、被害の拡大を防げます。

アナログへの回帰

「何ヶ月も待てない。明日から何とかするしかない」

製造部長が立ち上がった。

「紙とペンで管理しよう。昔はそうやっていたんだ」

ホワイトボードが引っ張り出された。在庫表が手書きで作られた。出荷指示書がエクセルではなく、複写式の伝票に戻った。
40年前の創業時と同じ光景だった。

【ここまでの整理】なぜ、ここまで深刻な事態になったのか

この3日間で、トレノインダストリーに起きたことを整理してみましょう。

• 社内のサーバー8台、パソコン約200台が一斉に暗号化された

• バックアップもネットワークにつながっており、暗号化されてしまい復元できなかった

• 侵入経路は、3年間更新されていなかったVPN機器だった

• 社内ネットワークは分離されておらず、被害は一気に全社に広がった

• 外部の専門家との事前の連携はなく、初動対応は大きく遅れた 

どれも、特別な失敗ではありません。「忙しくて後回しになっていた」ことが、積み重なった結果でした。
そして何より深刻だったのは、これらの問題が“同時に”表面化したことです。

この時点で、問題は「システム障害」ではなくなっていました。事業そのものが、止まるかどうかの局面に入っていたのです。

【第4日目～第14日目】最初の2週間 ― 地獄の日々

製造現場の混乱

製造ラインは、手動に切り替えて何とか動かした。しかし、効率は通常の3分の1以下。
生産管理システムなしでは、「どの部品を何個作ればいいか」が分からない。ベテラン社員の記憶と勘だけが頼りだった。

「この製品、今日何個作ればいいんだっけ？」
「たしか、月末に5000個納品だったはずだけど……」
「受注データが見れないから、確認できないんだよな……」

不良品の発生率も跳ね上がった。品質管理システムが使えず、検査記録も手書き。トレーサビリティが確保できない状態が続いた。

経理部の悲鳴

経理部は、給与計算の締め日を迎えていた。

「従業員の給与データ、全部消えてます……」
「タイムカードのデータもシステムに入っていたんです」
「どうやって計算すれば……」

結局、各部署に紙のタイムシートを配布し、全員に手書きで勤怠を報告してもらうことになった。
給与支払いは3週間遅れることが決まった。従業員からの不満と不安の声が上がり始めた。

顧客対応の行き詰まり

営業部は、顧客からの問い合わせに答えられなかった。

「先月の注文、ちゃんと入ってますか？」
「すみません、今システムが……確認できないんです」
「いつ確認できるんですか？」
「……分かりません」

信頼は、日に日に削られていった。

情シス担当 佐藤の限界

「一人情シス」の佐藤は、最初の1週間でほとんど寝ていなかった。
専門会社と連携しながらサーバーの復旧作業を進め、社員からの問い合わせに対応し、経営陣への報告資料を作り……
8日目の朝、佐藤は会社で倒れた。

過労と極度のストレスによる体調不良。1週間の自宅療養を医師から命じられた。
復旧の中心人物を失い、作業は大幅に遅延した。外部の専門会社だけでは、社内システムの詳細が分からない部分も多く、佐藤の復帰を待つしかなかった。

【セキュリティ問題⑦】インシデント対応計画がなかった

「サイバー攻撃を受けたら、誰が何をするか」が決まっていませんでした。

• 最初に誰に報告するか？

• どのシステムを優先的に復旧するか？

• 取引先への連絡は誰がいつ行うか？

• 警察への被害申告は誰がするか？

• 外部への公表はどうするか？

• 担当者が倒れた場合の代替要員は？

これらが事前に決まっていれば、混乱は最小限に抑えられたはずです。特に一人情シス体制では、その一人が倒れた場合のバックアップ体制が不可欠です。

【第15日目～第60日目】
1ヶ月目～2ヶ月目 ― 長い復旧の道のり

3週間後

1ヶ月後

6週間後

2ヶ月後

【第61日目～第90日目】3ヶ月目 ― 収束と代償

3ヶ月後　「一応の収束」宣言

• システム復旧費用
• 外部専門家への依頼費用
• 臨時IT人材の派遣費用
• セキュリティ対策強化費用

• 3ヶ月間の生産効率低下による売上減少
• 取引先離れによる将来の売上減少
• 従業員の残業代・休日出勤手当

【エピローグ】社長の決意

• 専任のセキュリティ担当者を採用（佐藤の負担を軽減し、2名体制に）
• 外部SOCサービスとの契約（24時間365日の監視体制）
• バックアップはネットワークから切り離して保管（オフライン＋クラウドの二重化）
• VPN機器の定期的な更新を義務化（月次でのパッチ適用確認）
• 全社員向けのセキュリティ研修を年2回以上実施
• サイバー攻撃を想定したBCP（事業継続計画）を策定
• インシデント対応計画の策定と年2回以上の訓練・演習の実施

【読者の皆さまへ】

【まとめ】

トレノインダストリーのセキュリティ問題点一覧