「サイバー有事前夜」に中堅・中小企業がすべきこと～AI時代、セキュリティ対策は「経営者の仕事」～

2026年9月から10月にかけて、国内では情報漏えいや不正アクセスの公表が相次ぎました。

飲食チェーン、コンビニ、鉄道、運送会社、証券会社、大学など、被害が表面化した業種は多岐にわたります。

さらに10月21日には、Webサイトのサーバー側で広く使われるプログラミング言語「PHP」で、重大な脆弱性（セキュリティ上の弱点）2件を修正した更新版が公開されました。

高市首相は自らSNSで「大至急のお願い」として、速やかな対応を呼びかけました。

いま起きているのは、インターネットに公開された仕組みの弱点が短時間で見つけられ、悪用されかねないという事態です。

その速度を押し上げている要因の一つが、攻撃側によるAIの活用です。

本稿では、足元で何が起きているのかを整理したうえで、中堅・中小企業の経営者がいま何をすべきかをお伝えします。

いま、何が起きているのか

株式会社ウェステリアの集計では、9月25日から10月8日までの2週間だけで、情報漏えいや不正アクセスなどの第1報が36件確認されました。

出典：株式会社ウェステリア「2026年に公表された国内のデータ流出・不正アクセス事案(103件)」（2026年10月23日閲覧）

その後も公表は続き、焼肉きんぐの公式アプリでは約1,079万件、バーガーキングの公式アプリでは約1,118万件に関わる情報漏えいが明らかになりました。

被害は情報の流出だけにとどまりません。

大阪公立大学では、ランサムウェア（データを暗号化し、復旧と引き換えに金銭を要求する攻撃）によって多数のシステムが止まり、10月2日から8日まで全授業が休講になりました。

クラウド事業者のIDCフロンティアがランサムウェア攻撃を受けた際には、同社クラウドを契約する495の企業・自治体に影響が及びました。

利用企業の一つである物流会社では、倉庫の入出荷が止まるなど、自社が直接攻撃されなくても業務が停止する事態が起きています。

警察庁によると、2026年上半期のランサムウェア被害は123件で、半期として統計開始以降、最多となりました。

そこに追い打ちをかけたのが、10月21日に修正版が公開されたPHPの重大な脆弱性です。

PHPは、Webサイトの裏側で動く仕組みを作るためのプログラミング言語です。

W3Techsの調査によると、2026年10月21日時点で、サーバー側のプログラミング言語を特定できたWebサイトの約69.3％でPHPが使われており、世界中で広く利用されています。

出典：W3Techs「Usage Statistics and Market Share of PHP for Websites」（2026年10月22日閲覧）

今回の2件は、条件がそろうと、認証なしで外部から不正なプログラムを実行されるおそれがある、深刻度の高い脆弱性です。

国内でも、PHPを利用する一部のWebサービスが緊急メンテナンスや一時停止を行い、修正版の適用と安全確認を急ぎました。

首相自らが「大至急のお願い」を出した意味

政府や関係機関からの注意喚起も相次ぎました。

10月6日から9日にかけて、個人情報保護委員会、警察庁、国家サイバー統括室、総務省、経済産業省、金融庁、IPAなどが、注意喚起や対応要請を出しました。

自民党の国家サイバーセキュリティ戦略本部は10月20日、現状を国の安全保障を揺るがす「サイバー有事前夜」と表現した緊急提言案をまとめました。

そして10月21日、高市首相はPHPの脆弱性について、自身のXで修正版を速やかに適用するよう呼びかけました。

すぐに更新できない場合には、Webサイトを一時停止することも有効な手段の一つだと述べています。

個別の技術的な問題への対応を首相が直接求めたことからも、事態の切迫度合いがうかがえます。

筆者はこの呼びかけを、

「Webサイトを止めるかどうかは、システム担当者だけでなく、事業への責任を負う経営者が判断すべき問題だ」

というメッセージだと受け止めています。

AIの進化が攻撃の速さや規模を変えた

被害が相次ぐ背景には、AIの進化があります。

以前から、スキャナーやボットと呼ばれる自動プログラムを使い、システムの脆弱性を狙った攻撃は存在しました。

これまでと変わりつつあるのは、探索結果の分析や次の攻撃手順の選択にもAIが使われ、自動化の範囲が広がっている点です。

その結果、標的の絞り込みや検証にかかっていた手間や専門技術の一部をAIが肩代わりし、攻撃の速度と規模を押し上げています。

今回のPHPでも、深刻な脆弱性が悪用されるのを防ぐため、詳細を伏せたまま、修正版の公開時刻だけを事前に知らせる異例の対応が取られました。

それだけ、公表されてから悪用されるまでの猶予が短くなっているのです。

「しばらく様子を見てから考える」対応では、間に合わない場面が増えています。

「うちは小さいから大丈夫」が通じない3つの理由

「狙われるのは大企業だけ」と考える経営者は、いまだに少なくありません。

しかし、サイバー攻撃はいまや中堅・中小企業にとっても現実の経営リスクです。

会社の規模にかかわらず、攻撃や詐欺の対象になり得るという前提に立つ必要があります。

理由1：AIは会社の規模を選ばない

警察庁によると、2026年上半期のランサムウェア被害123件のうち、中小企業は79件と、約64％を占めました。

スキャナーなどによる自動探索に加え、AIで分析や攻撃の試行まで自動化する動きが確認されているいま、「目立たない会社だから狙われない」という前提は成り立ちません。

多くの会社のWebサイト、ネットショップ、予約・問い合わせフォームは、今回問題になったPHPをはじめ、さまざまなソフトウェアで動いています。

制作会社やサーバー会社に運用を任せている場合でも、修正版が適用済みか、更新の責任は誰が担うのかを、自社の経営課題として確認する必要があります。

理由2：社長になりすます詐欺が相次いでいる

社長や役員の名前を使い、社員への業務指示を装う「ニセ社長詐欺」が相次いで確認されています。

警察庁によると、2026年1月から6月までに127件が確認され、被害額は約38億8,000万円に上りました。

実際に被害が出たケースでは、1件当たりの平均被害額は約3,100万円に達しています。

典型的な手口は、社長を名乗るメールで「新しいプロジェクトのためにLINEグループを作ってほしい」と誘い、経理担当者などを会社の管理が及びにくい場所へ移動させたうえで、取引代金などを装って送金を指示するものです。

公開されている代表者名や会社のメールアドレスが悪用されるため、企業規模にかかわらず注意が必要です。

筆者の実感としても、この1年、経営者になりすましたメールやチャットに関する攻撃が目立ちます。

漏えいした取引情報や社内の事情まで組み合わされれば、社員が見分けることはさらに難しくなるでしょう。

理由3：取引先やクラウドの被害が、自社の被害になる

中堅・中小企業の多くは、システムの構築や運用を外部の会社やクラウドサービスに任せています。

IDCフロンティアの事例が示すように、委託先が攻撃されれば、自社に直接の侵入がなくても業務は止まり得ます。

預けた情報が漏れるおそれもあります。

また、AIの活用でシステム開発の速度が上がる一方、設計や安全性の確認が追いつかないままシステムが公開されるリスクにも注意が必要です。

「どの会社に、何を、どこまで任せているか」が、そのまま自社のリスクになる時代です。

なぜ対策は後回しにされてきたのか

これだけのリスクがありながら、多くの中堅・中小企業でセキュリティ対策は後回しにされてきました。

その理由は、大きく3つあります。

1つ目は、効果を実感しにくいことです。

セキュリティ対策の成果は「事故が起きなかったこと」としてしか表れにくく、投資効果を数字で説明しづらい傾向があります。

2つ目は、現場の使い勝手を損なうことがある点です。

例えば、多要素認証（パスワードに加え、スマートフォンへの通知などで本人確認する仕組み）は、不正ログインを防ぐ有効な対策ですが、確認の手間が増えるため、現場には負担として受け取られることがあります。

3つ目は、更新を後回しにしても、機器やソフトウェアが当面は動き続けてしまうことです。

警察庁が企業・団体に行ったアンケートでは、VPN機器を利用している組織の半数以上が最新の修正プログラムを適用していませんでした。

このように、セキュリティ対策には、効果が見えにくく、現場の負担を伴い、更新を急ぐ理由も感じにくいという性質があります。

そのため、情報システム部門だけに任せていては、全社の優先順位や予算、業務ルールまで変えることは容易ではありません。

経営者自らがリーダーシップを発揮し、全社の優先課題として位置づける必要があります。

情報が漏れたり業務が止まったりしたとき、顧客や取引先への説明と事業継続の責任を負うのは経営者だからです。

国家サイバー統括室も、「もはや情報システム部門だけの問題ではありません」と明記し、経営層に対して、必要な投資や人的体制の整備を含めた対策の強化を求めています。

中堅・中小企業が取り組むべき対策

では、具体的に何をすればよいのでしょうか。

筆者は、次の4つの視点で自社を点検することをおすすめします。

守る範囲を「多層的」に捉え直す

社外から社内につなぐ入口の機器（VPN）や自社サーバーを守ることは重要です。

しかし、今回の一連の事案が示したのは、守るべき範囲がそれだけではないということです。

自社のWebサイト、ネットショップ、予約・問い合わせフォームは、インターネットに公開されている以上、常に攻撃者の目にさらされています。

それらがどのようなソフトウェアで動き、最新の状態に保たれているか。

社員が使っているパソコンやスマートフォンは、紛失や盗難、ウイルスから守られているか。

外部の会社に任せているシステムや、業務で使っているクラウドサービスは、その基盤まで含めて安全に運用されているか。

まずは、自社が使っているアプリケーション、機器、ソフトウェア、外部サービスを一覧にし、
「更新は誰が担うか」
「データはどこにあり、誰が見られるか」を一つずつ確かめる必要があります。

この一覧がなければ、今回のPHPのように「大至急の更新」が求められたとき、自社のどこが影響を受けるのかさえ判断できません。

社員の「感度」を高める

攻撃はシステムの脆弱性だけでなく、人の油断も狙ってきます。

先に述べたとおり、社長や役員になりすましてLINEグループなどへ社員を誘い出す手口のほか、本物そっくりの偽サイトに誘導する手口も確認されています。

Webサイトで公開している代表者名やメールアドレスは、攻撃者にとって格好の材料です。

さらに、漏えいした本物の情報まで組み合わされれば、見分けは一段と難しくなるでしょう。

すべての攻撃を入口で防ぎきることは、現実には不可能です。だからこそ、社員一人ひとりが

「これは本当に社長からの連絡か」
「このリンクは本物か」
と立ち止まることが、最後の砦になります。

具体的には、
「送金や重要情報の提供を伴う指示は、メールやチャットで届いても、必ず電話など別の手段で本人に確認する」
というルールを決め、全社員に周知してください。

あわせて、不審な連絡を受けたときにすぐ相談できる窓口も用意しておきましょう。

「自社にも起こる」前提で避難訓練をする

経営者にまず持っていただきたいのは、セキュリティ事故は大企業だけの出来事ではなく、自社にも起こり得るという認識です。

そのうえで、実際に情報が漏れたり、システムが止まったりしたときに、自社がどう動くのかを想定しておく必要があります。

誰が最初に状況を把握し、誰に連絡するのか。

Webサイトや業務システムを止めるかどうかを、誰が、どのような条件で判断するのか。

顧客や取引先には、いつ、何を伝えるのか。

データはどこから、どうやって復旧するのか。

これらを事前に決めておけば、有事にも冷静に対応できます。

火災の避難訓練と同じように、年に一度は、決めた手順を関係者で実際にたどってみる「机上訓練」を行うことをおすすめします。

任せている外部ベンダーの信頼性を再確認する

中堅・中小企業の多くは、システムの構築や運用を外部の会社に任せています。

それ自体は合理的な選択ですが、任せた先のセキュリティが、そのまま自社のリスクになることを忘れてはなりません。

特に近年は、AIの支援により、システム開発を短期間で進めやすくなりました。

しかし、開発が速いことと、安全であることは同じではありません。

安全面やデータの扱いを十分に確認しないまま業務システムを公開すれば、脆弱性や設定の不備を抱え込むおそれがあります。

次のような点を確認してみてください。

• 取引しているベンダーは、セキュリティとデータ保護をどこまで担っているか
• 保守契約に、脆弱性への対応が含まれているか
• 事故が起きたとき、どのくらいの時間で報告を受けられるか
• 預けたデータに、誰がアクセスできるか
• AIを使って短期間で開発したシステムがある場合、公開前に第三者による安全性の確認を受けたか

こうした点を、契約時だけでなく定期的に確認することも、経営者の役割です。

セキュリティ対策に経営者がリーダーシップを発揮する時代

「サイバー有事前夜」という言葉は、決して大企業だけに向けられたものではありません。

AIの進化によって、脆弱性の探索だけでなく、探索結果の分析や攻撃の試行まで自動化する動きが確認され、サイバー攻撃のリスクは日に日に増しています。

一方で、使っている機器やサービスの棚卸し、迅速な更新、本人確認のルール、復旧の訓練、委託先の確認といった基本を積み重ねれば、被害が起きる可能性も、起きたときの影響も小さくできます。

経営者の皆さまには、「事前の一策は事後の百策に勝る」という意識を持ち、自らリーダーシップを発揮して、セキュリティ対策を全社の経営課題として進めていただきたいと思います。

ユナイトアンドグロウ株式会社提携記念セミナーのご案内

アタックスグループは、2026年9月14日、中堅・中小企業のIT部門を支援するユナイトアンドグロウ株式会社と資本業務提携を結びました。

これにより、お客様のIT課題についてもご相談いただける体制を整えています。

参考：アタックスグループ「ユナイトアンドグロウ株式会社との資本業務提携に関するお知らせ」

本記事で取り上げたセキュリティ対策についても、「何から手をつければよいか分からない」といったご相談がありましたら、こちらからお気軽にお問い合わせください。

また、12月4日（金）には、ユナイトアンドグロウ株式会社との提携記念セミナーを開催いたします。

社内のIT体制の強化にご関心のある方は、ぜひともご参加ください。

【無料】経営に役立つ資料はこちら