サイバーセキュリティで「企業の健康」を守る｜攻撃から事業を止めないBCP対策と3つの備え
はじめに
冷凍庫の設定温度が、マイナス22度から150度に書き換えられていた――。2026年10月、フランスのスーパーで実際に起きたサイバー攻撃です。冷蔵設備の温度は夜の間に上がり、食品は廃棄。影響が出たスーパーは、約700店にのぼりました。
これは遠い国だけの話ではありません。日本でも、クラウド、ホテルの予約、宅配の注文などで、ランサムウェアによる被害の公表が相次いでいます。
社員の健康を整え、AIで仕事を効率化する。どれも組織のパフォーマンスを高める大切な取り組みです。けれども、ある朝、予約が受けられない、注文データが開けないとなれば、人がそろっていても、いつもの仕事はできなくなります。
本記事では、サイバーセキュリティを「企業の健康」という視点から考えます。KDMの考える企業の健康とは、人が安心して働き、設備や情報が正常に動き、お客様へ商品やサービスを届け続けられる状態のことです。AIで攻撃はどう変わったのか、公的機関の数字をどう読むか、最近の事例から何が見えるのか、そして攻撃を受けても事業を止めないためのBCP（事業継続計画）と、今週から始められる3つの備えを、順に解説します。
1. AIで攻撃はどう変わったのか
1-1. 変わったのは「24時間攻撃」ではなく、準備のスピード
よく「AIが登場して、24時間攻撃されるようになった」と言われますが、これは正確ではありません。自動で弱点を探したり、大量の通信を送ったりする攻撃は、生成AIが広まる前からありました。
AIが変えつつあるのは、相手に合わせた文面づくり、プログラムの作成、弱点の分析といった、攻撃の準備にかかる手間とスピードです。英国の国家サイバーセキュリティセンター（NCSC）は、AIが侵入の効率と規模の拡大を後押しし、攻撃の頻度と強度が増すと評価しています。修正プログラムが公表されてから悪用されるまでの時間は、すでに数日に縮まり、AIでさらに短くなるとも指摘しています。
一方でNCSCは、人が関わらずに全工程を自動でこなす高度な攻撃が2027年までに実現する可能性は低いとも見ています。これは将来に向けた評価です。
1-2. 攻撃の道具に手が届きやすくなっている
国内でも、警察庁の資料に、AIで作ったプログラムを組み合わせてランサムウェアを作ったとして、19歳の会社員が2026年6月に逮捕された事例が載っています。専門知識が十分でない人でも、攻撃の道具に手が届きやすくなっている一例です。
ただし、本記事で紹介する最近の事例で、AIが攻撃に使われたという証拠はありません。経営上のリスクは、攻撃する側が速くなる一方で、自社のソフトの更新や異常への気づき、判断が追いつかなくなることです。
1-3. 守る側は、まず基本対策と「誰が動くか」
NCSCは、ソフトの更新を素早く行うこと、サポートの切れた古いシステムに頼らないことといった基本対策を優先するよう求めています。AIは守る側でも、怪しい動きの分析などに役立ちますが、見逃しや誤検知もあり得ます。
自社で考えるときに大切なのは、AI製品の名前より、「夜中の異常を誰が確認し、誰が動くのか」です。ソフトの更新、適切な認証、権限の制限、復元できるバックアップという土台を整えたうえで、AIを組み合わせる。人の注意力だけに頼らず、仕組みで守ることが大切です。
2. 数字で見るサイバー被害
2-1. 日本：ランサムウェア被害は半期で過去最多の123件
警察庁によると、2026年1〜6月のランサムウェアの被害報告は123件で、統計を取り始めた2020年下半期以降、半期として最も多い件数でした。被害を受けた企業の約6割は中小企業です。大企業だけが狙われるわけではなく、使っている仕組みの弱点から被害が生まれます。
被害組織へのアンケートでは、侵入経路の約5割が、社外から社内のネットワークにつなぐVPN機器でした。調査や復旧に総額1,000万円以上かかった組織は約6割、1か月未満で復旧できた組織は5割弱にとどまっています。この費用とは別に、営業できなかった間の売上の減少や商品の廃棄も起こり得ます。
ランサムウェア被害報告（2026年1〜6月）：123件（半期として過去最多）
被害企業のうち中小企業：約6割
侵入経路のうちVPN機器：約5割
調査・復旧に1,000万円以上：約6割
1か月未満で復旧：5割弱
出典：警察庁「令和8年上半期におけるサイバー空間をめぐる脅威の情勢等について」。アンケートは回答した組織の結果です。
2-2. 海外：集計の対象が違う数字は比べない
アメリカのFBIが2026年4月に公表した報告では、2025年のインターネット犯罪の通報は約101万件、報告された損失は210億ドル近くに達しました。ただしこれは、個人を狙った投資詐欺やなりすましなども含む、通報に基づく数字です。
EUのサイバーセキュリティ機関ENISAの2026年版の報告は、2025年の8,257件の事案を分析しています。こちらは公開情報などを基にした件数で、EUの被害をすべて数えたものではありません。集計の対象が違うので、2つの数字を足したり比べたりはできません。
2-3. 大きな数字は「何を1件と数えたか」を確かめる
情報通信研究機構（NICT）の観測網に届いた攻撃関連の通信は、年間約7,010億パケットでした。ただしNICT自身が、これは日本全体への攻撃件数ではないと説明しています。
「日本では月に1億件の攻撃」のような数字を見たら、まず何を1件と数えたのかを確かめましょう。大量の通信が観測されたことと、同じ数の企業が被害を受けたことは違います。
3. 最近の事例から見えること
3-1. 海外：スーパーの冷蔵設備、配送、工事現場まで
フランスでは、10月11日の夜から12日の朝にかけて、スーパーの冷蔵・冷凍設備が外部から操作されました。フランスの経済相は議会で、国内の約1万店のスーパーのうち、約700店に影響が出たと説明しています。冒頭の「マイナス22度から150度」は、設定値が書き換えられたという技術者の証言で、庫内が実際に150度になったという意味ではありません。狙われた制御システムのメーカーのひとつは、影響を受けた機器の多くが、更新が提供されなくなった古い型の製品だったと説明しています。
同じ時期、オランダの小売グループではオンラインの注文や配送が止まり、ドイツとデンマークを結ぶトンネル工事の施工企業の連合もITシステムへの攻撃を受けています。守る対象はパソコンや顧客名簿だけではありません。設備の制御や物流が止まれば、商品の価値や営業にまで影響し、「まだ動いている古い機器」が弱点になり得ます。
3-2. 国内：クラウド、ホテルの予約、宅配の注文
IDCフロンティア（クラウド）
何が起きたか：10月7日にランサムウェア攻撃を公表。契約する495の企業・自治体に影響
その後の対応：18日、安全を確認できたバックアップサービスを再開。一部の機能は停止が続く
京王プレッソイン（ホテル）
何が起きたか：グループのサーバーへのランサムウェア攻撃で、営業系のシステムに障害
その後の対応：新規予約の受け付けを停止し、チェックインは対面のフロントで対応
「銀のさら」など（宅配）
何が起きたか：サーバーの運営会社がランサムウェア攻撃を受け、公式サイト・アプリの注文を停止
その後の対応：預けたデータの取り出しが難しいとの報告。電話・店頭の注文は継続
状況は2026年10月19日時点の各社発表によるものです。最新の状況は各社の発表でご確認ください。
3-3. 任せていても、止まったときの備えは自社で
どの事例も、クラウドやサーバーを外部に任せていました。任せること自体は問題ではありません。大切なのは、誰がソフトを更新するのか、異常のときは誰に連絡するのか、自社のデータをどう取り出せるのか、止まったときに何で代わりができるのかが見えているかです。
「銀のさら」の事例では、預けたデータの取り出しが難しくなる一方で、電話や店頭といった別の注文の入口が営業を支えました。また、手作業に切り替えると特定の担当者に負担が集中しがちです。社員の疲労や判断力を守るためにも、仕組みで備えておくことが大切です。
4. 攻撃を受けても事業を止めないBCPと3つの備え
4-1. 会社の仕組みも「予防・気づき・回復」
身体の健康では、日ごろの予防、変化への気づき、回復を考えます。会社の仕組みも同じです。防ぐために、認証やソフトの更新を整える。気づくために、監視や連絡の経路を決める。戻すために、バックアップと代わりの業務を確かめる。これは理解のためのたとえで、実際の対策は、設備やシステムを扱う専門家と確認して進めます。
4-2. サイバー攻撃は、自然災害とは違う止まり方をする
攻撃を完全に防ぐことは、どんな会社にもできません。だから大切なのが、「止まったあと」に備えるBCP（事業継続計画）です。BCPとは、災害やシステムの障害で仕事が止まっても、大切な業務を続けたり、早く再開したりするための計画のことです。
ただし、サイバー攻撃は自然災害とは違う止まり方をします。
• 建物も人も無事なのに、システムだけが使えない
• 複数の拠点や店舗で、同時に止まることがある
• バックアップまで暗号化されて、戻せないことがある
• 安全を確かめるまで再開できず、復旧が長引くことがある
情報処理推進機構（IPA）も、経営者向けの教訓集で、ランサムウェアは暗号化が発覚した時点で攻撃が最終段階にあり、事前の準備がなければ対応は困難を極めると伝えています。今あるBCPに、「システムが止まったら」という場面を加えておきましょう。大きな計画書を一から作る必要はありません。
4-3. 今週から始める3つの備え
1. 止まったら困る仕事を決める：予約、受注、出荷など、お客様に届けるために欠かせない仕事を、まずは3つだけ書き出します。どれくらいの停止なら耐えられるのか、クラウドや保守会社、特定の担当者など何に頼っているのかを確かめます。これが、BCPでいう優先して守る業務と、戻すまでの目安になります。
2. 戻せるかを確かめる：バックアップがあることと、必要な時間内に仕事へ戻れることは別の話です。攻撃の影響を受けにくい形で保管されているか、実際に復元を試したことがあるかを、IT担当や委託先と確認します。サポート期限を過ぎた古い機器が動き続けていないかも確認し、設備の更新はメーカーや保守会社と計画して進めます。
3. 止まったときの動き方を決める：経営者、現場、IT担当で、30分だけ「明日止まったら」を話し合います。最初に気づいた人は誰に連絡するか、どの業務を止めて何を代わりの手段で続けるか、お客様に誰が何を伝えるか、再開の判断を誰が決めるか。話し合った内容を書き残せば、それがそのまま、サイバー攻撃に備えたBCPの最初の一歩になります。
30分で対策が完成するわけではありません。でも、分かっていない担当の範囲や連絡の抜けを見つける入口になります。
まとめ
AIによって、攻撃の準備にかかる手間とスピードは変わりつつあります。国内でもランサムウェアの被害報告は半期で過去最多となり、被害企業の約6割は中小企業です。そして最近の事例が示すように、守る対象はパソコンだけでなく、設備の制御や物流、外部に任せたクラウドにまで広がっています。
攻撃を完全に防ぐことはできないからこそ、今あるBCPにサイバー攻撃で止まったときの備えを加え、止まっても判断し、戻せる組織をつくることが大切です。健康経営やAIの活用と並行して、事業を支える設備、情報、業務の備えを整えることが、人と組織のパフォーマンスを支える土台になります。
まずは、あなたの会社で「明日止まったら一番困る仕事」を、ひとつ書き出すところから始めてみてください。
【動画解説】
KDMのご案内
KARADA DESIGN & MANAGEMENT（KDM）は、健康経営の認定取得支援、コンサルティング・研修を通じて、人と組織のパフォーマンス向上を支援しています。このたび、AI・サイバーセキュリティ分野の専門家・専門企業と連携した支援を始めました。KDMが経営や現場のお困りごとを整理し、専門家とともに、必要な確認や対策、BCPへの反映につなげます。
• 5分でわかる「セキュリティの健康診断」（無料・名前の入力不要）：「防ぐ」「気づく」「戻す」「任せ方」の4分野で、あなたの会社のセキュリティの健康度を100点満点で表示します。結果画面から、無料の個別相談（30分）もお申し込みいただけます。 https://kdm-security-shindan.netlify.app/
• LINE限定プレゼント：KDM公式LINEで「セキュリティ」と送ると、解説資料と「セキュリティ チェックシート＆マニュアル（BCPのたたき台）」をお届けします。 https://line.me/R/ti/p/%40uym1342e
参考文献・サイト
• 警察庁「令和8年上半期におけるサイバー空間をめぐる脅威の情勢等について」（2026年9月）
• IPA「ランサムウェア被害から学ぶ教訓集 ～経営者のためのランサムウェア対策ハンドブック～」（2026年9月）
• NICT「NICTER観測レポート2025の公開」（2026年2月5日）
• FBI「Cryptocurrency and AI Scams Bilk Americans of Billions」（2026年4月6日）
• ENISA「Threat Landscape 2026」（2026年9月22日）
• 英国NCSC「Impact of AI on cyber threat from now to 2027」（2025年5月7日）
• 英国NCSC「Cyber Shield: The path to an agentic AI future for cyber defence」（2026年7月7日）
• 事例：仏経済相の議会説明、ロイター通信などの報道、IDCフロンティア・京王プレッソイン・ライドオンエクスプレスホールディングスの各社発表
※事例の状況は2026年10月19日時点の情報です。紹介した事例で、AIが攻撃に使われたことを示す証拠はありません。本記事は一般的な情報提供を目的としたもので、個別のシステムの安全性を判断するものではありません。
コメント