「うちは狙われない」は本当か

「うちのような小さな会社のサイトを、わざわざ攻撃する人はいないだろう」。この感覚は自然なものですが、攻撃者の行動を「人が標的を吟味して選ぶ」とイメージしている点に誤りがあります。実際の攻撃の多くは、人ではなくプログラムが自動で行っています。

もう一つの思い込みは「うちのサイトには盗まれて困るものがない」というものです。しかし攻撃者にとっての価値は、サイトの中身だけではありません。サーバーを別の攻撃の踏み台にする、ページを改ざんして詐欺サイトへ誘導する、といった「サイトそのものの乗っ取り」に目的があるケースが多くあります。

つまり「狙われない理由」として挙がるものの大半は、攻撃の実態と噛み合っていません。次章から、何が実際に起きているのかを一次データで確認します。

通信大手 Verizon が毎年公開する「2025 Data Breach Investigations Report（DBIR）」は、22,000 件超のインシデントと、うち 12,195 件の確認された侵害を分析した報告書です。そこでは中小企業の侵害の 88% にランサムウェアが関与したと示されています。

同じ報告書で、大企業の侵害にランサムウェアが関与した割合は 39% でした。中小企業の方が、ランサムウェアという特定の攻撃にさらされる比率が明らかに高いのです。攻撃者は「守りが薄く、復旧体制も整っていない相手」を効率の良い標的と見なしています。

日本の状況も同じ傾向です。IPA（情報処理推進機構）の「情報セキュリティ 10 大脅威」では、組織編の 1 位はランサム攻撃で、2021 年以降この順位は動いていません。海外特有の話ではなく、国内の組織にとっても最大級の脅威です。

「広告も出していないし、検索でもほとんど出てこないサイトを、どうやって見つけるのか」。答えは、攻撃者が人手でサイトを探していないからです。インターネット全体を機械的に巡回し、既知の脆弱性を持つサイトを自動で洗い出すツールが使われています。

このスキャンは、サイトのアクセス数や知名度を見ません。判定基準は「攻撃できる穴があるか」だけです。古いプラグイン、初期設定のまま放置された管理画面、既知の脆弱性 — こうした弱点を持つサイトは、公開された瞬間から自動スキャンの対象に入ります。

OWASP（オープンな WEB セキュリティ団体）が公開する「OWASP Top 10:2025」でも、1 位はアクセス制御の不備、2 位は設定ミスです。いずれも高度な攻撃技術ではなく「穴をふさぎ忘れた状態」を突くものであり、自動スキャンと相性が良いリスクと言えます。

中小企業のサイトでよく使われる WordPress には、特有の注意点があります。ただし「WordPress だから危険」という単純な話ではありません。リスクの所在を正確に押さえることが大切です。

セキュリティ企業 Patchstack の「State of WordPress Security in 2025」によれば、2025 年に WordPress エコシステムで報告された新規脆弱性 11,334 件のうち、91% がプラグイン、9% がテーマ、コア本体はわずか 6 件でした。つまりリスクのほぼ全ては、後から追加した部品に集中しています。

これは裏を返せば、対策の方向が明確だということです。使っていないプラグインを削除する、更新を放置しない、出所の不明な部品を入れない。この 3 つだけでも、攻撃される面積を大きく減らせます。具体的な手順はWordPress のセキュリティ記事で扱っています。

「狙われる」と聞いてもピンとこないのは、被害の中身が具体的に見えていないからかもしれません。実際に起きるのは、サイトの改ざん、顧客情報の流出、ランサムウェアによるデータの暗号化と身代金要求といった事態です。

金銭面の負担も小さくありません。Verizon 2025 DBIR では、ランサム身代金の中央値は 11.5 万ドルと報告されています。同報告書では被害者の 64% が支払いを拒否していますが、支払いを拒否しても、暗号化されたデータの復旧やシステムの再構築には別途コストと時間がかかります。

そして見落とされがちなのが、信頼の損失です。顧客情報を漏らした、サイトが詐欺に使われた — こうした事実は、復旧後も取引先や顧客の記憶に残ります。中小企業にとって、この信頼の毀損は金銭被害以上に重い場合があります。

ここまで読むと不安が募るかもしれませんが、中小企業がやるべきことは明確で、しかも高価なツールを必要としません。攻撃の多くが「ふさぎ忘れた穴」を突くものである以上、基礎を固めるだけで攻撃される面積は大きく縮みます。

優先すべきは、OWASP Top 10:2025 の上位リスクに直結する基礎対策です。HTTPS の常時化、使っていないプラグインの削除、更新の徹底、管理画面へのアクセス制限。どれも特別な投資なしに、いますぐ着手できるものばかりです。