最近では中小企業をターゲットとしたサイバー攻撃が激増している。予算も人材もない中小企業は狙われたらひとたまりもない、と考えがちだがそうではない。中小企業向けセキュリティツールを提供するイーセットジャパンの永野智社長が防御術を伝授する。Photo：横溝 敦（雑誌『経済界』2026年9月号より）
永野 智 イーセットジャパンのプロフィール
ながの・さとし NECのシステムエンジニアとしてITキャリアをスタート。その後、外資系SaaSや大手インターネットインフラ企業を歴任。アカマイ・テクノロジーズで営業サイドに転向。パロアルトネットワークスを経て、2025年6月、イーセットジャパン社長に就任した。
増え続ける中小企業を標的にしたサイバー攻撃
―― イーセットジャパンとはどういう会社ですか。
永野 ＥＳＥＴはスロバキアで生まれた会社です。今でも完全なオーナー企業で株式を公開していないため、市場の圧力にさらされることなく、独自の経営思想を守り抜いています。創業のきっかけになったのは１９８７年。チェコスロバキアの時代です。まだ「アンチウイルスソフトウエア」という概念自体がほとんど存在しない時代だったのですが、隣国オーストリアのウィーンから「ウィーンウイルス」と呼ばれるコンピューターウイルスが出現し、スロバキア国内でも検知されるという事件が起きたのです。この未知のウイルスを発見し、見事に解析をやってのけた３人のエンジニアが、ＥＳＥＴの創業者です。
―― 日本市場への参入はどのような経緯だったのでしょうか。
永野 日本での展開は２０００年頃から本格的に開始しました。当初は一部のコアな技術者しか知らないブランドでしたが、05年頃に口コミサイトの「価格・ｃｏｍ」がトロイの木馬型のサイバー攻撃にあいました。当時、唯一この新種ウイルスを正確に検知して防御に成功したのがイーセットでした。これで評価が上がり、18年に日本法人を設立しました。
―― 技術的優位性はどこにあるのでしょう。
永野 当社には「ヒューリスティックエンジン」と呼ばれる技術があります。これは既知のウイルスパターンと照合するだけでなく、ソフトウエアを動かしていく中でＯＳやコンピューターが何かおかしな動きをしていないかを細かく分析して見つけ出す先駆的な技術です。ただ、どれだけ検知力が高くても、その分析のせいでコンピューターが動かなくなったり、動作が重くなっては困ります。そこでスキャンや分析を行うタイミングをコントロールし、ユーザーが重い作業をしている時にはそちらを邪魔しないように処理を最適化しています。おかげで日本の顧客満足度調査でも長年１位となっているほか、ヨーロッパの第三者評価機関でも「軽くて、検知力が高く、誤検出が少ない」という評価をいただいています。
―― イーセットは中小企業でも導入しやすいツールを提供していると聞いています。日本における中小企業の被害状況はどのようになっているのでしょうか。
永野 報道されないだけで、日本の中小企業は今、極めて深刻かつ壊滅的なサイバー攻撃の標的になり続けています。直近のデータを見ても、中小企業をターゲットにした攻撃の数は増加しています。今年の第1四半期だけでも、ランサムウエア攻撃は前年比で約56％増、昨年のトレンドから見れば前年比で83％増という異常なペースで被害が拡大している状況です。
大企業の場合、サプライチェーンが止まったり、個人情報漏洩の規模が大きいために社会問題化します。しかし攻撃者からすれば、セキュリティがガチガチに固められた大企業を正面から突破するのは効率が悪い。そこで彼らは、大企業のサプライチェーンの「一角」を担っている、防衛の手薄な中小企業を最初の踏み台として狙うのです。
分業・産業化した ランサムウエア攻撃
―― その手口はどのようなものですか。
永野 サイバー攻撃のトレンドを分析すると、３つの潮流が存在します。１つ目はフィッシングを中心とした人間型の攻撃の爆発的増加、２つ目はランサムウエア攻撃の完全なる産業化、そして３つ目がＡＩ活用による攻撃プロセスの効率化です。
まず１つ目のフィッシングですが、現在、企業へのサイバー侵入経路の実に34％を占めています。近年はメールだけでなく、ＳＭＳの悪用や、偽のＱＲコードを読み込ませる手法など多様化しています。しかも生成ＡＩの進化によって、従来の海外発の攻撃にありがちだったどこか不自然な日本語が完全に駆逐されています。
攻撃者はターゲット国のカレンダーや組織心理を徹底的に研究しています。日本であれば、３月の確定申告の時期を狙って国税庁をかたる精巧なメールを送りつけ、４月の人事異動のタイミングに合わせて、社長や人事部長の名前をかたり「社内フォームへ至急入力してください」という偽メールを送りつける。そこで従業員が判別できずにクリックしてしまうのです。
ランサムウエアの産業化とは、完全に分業化された巨大な犯罪エコシステム（生態系）が裏で構築されていることです。攻撃全体の黒幕である「オペレーター」は実際のサイバー攻撃をやるのではなく、ランサムウエアを開発し、それを管理するプラットフォームを提供します。オペレーターからウイルスをレンタルしたり、ライセンスを購入したりして、実際に企業への攻撃を実行する実行犯は「アフィリエイト」と呼ばれます。被害企業から奪った身代金の何割かがオペレーターとアフィリエイトの間で分配される仕組みです。そして「初期アクセスブローカー」は、世界中の企業ネットワークをスキャンし、セキュリティに脆弱性のあるＩＰアドレスや、流出したユーザー名、パスワード、認証情報を見つけ出します。彼らは侵入口を発見すると、そのアクセス権をダークウェブ上で、アフィリエイトに向けてオークション形式などで売り払います。
この強固な犯罪トライアングルができたことで、攻撃を仕掛ける側の参入障壁は劇的に低下しました。捕まるリスクを分散しながら、低いＩＴスキルでも、信じられないほど大量の攻撃を、効率的にマーケットへ供給できるシステムが完成してしまった。そして犯罪組織が最も脆弱で、かつある程度の身代金なら払えるだろうとターゲットに定めているのが、日本の中小企業なのです。
最後のＡＩ活用による効率化ですが、実はＡＩによって攻撃の質がものすごく上がったわけではありません。最大の脅威は、供給量の爆発的な拡大と攻撃スピードの超加速にあります。これまで人間のハッカーが数日かけて手作業で行っていた脆弱性の探索や、標的リストの作成、攻撃コードの最適化を、ＡＩが一瞬で自動処理してくれるようになったのです。
数年前まで、システムに新しい脆弱性が見つかってから、ハッカーがそれを悪用した攻撃コードを作って実際に企業に襲いかかるまでのタイムラグは「数時間から数日」といわれていました。しかし現時点においては、ＡＩの完全な自動スキャンと自動攻撃の組み合わせにより、脆弱性発覚からわずか「数秒から１～２分単位」で攻撃できる。もはや、人間がパッチを当てるかどうか迷っている時間的猶予はありません。
―― サイバー攻撃の背後には国家が絡んでいるケースもよく聞きます。
永野 中小企業にとっても無関係ではありません。ただし国によって活動の目的が全く異なります。中国を背景とするグループは産業スパイとして技術情報や政府・エネルギー系のデータを狙うことが多い。一方で、北朝鮮のグループは資金調達が目的です。国家として外貨が不足しているため、ランサムウエアを使って大急ぎで身代金を回収しようと猛烈に仕掛けてきます。ロシアのグループは、経済的な利益よりも破壊活動そのものが目的であるケースが多く、インフラやシステムを全滅させるような攻撃を仕掛けてきます。
高度なセキュリティより 徹底的な基本の実行を
―― そうなると、人的リソースも予算もない日本の中小企業は諦めるしかないと思ってしまいそうです。経営者は一体、どう対応すればいいのでしょうか。
永野 いいえ。諦める必要はありません。中小企業は、大銀行や大国家が導入するような、超高度なセキュリティシステムを入れる必要はまったくありません。彼らが狙うのは、常に基本に穴が開いている企業だからです。
泥棒に例えてみましょう。彼らは、頑丈な最新の電子ロックをハッキングして破ろうとしているのではありません。ただ歩き回って、ドアの鍵が開けっぱなしになっている家や、窓ガラスが割れたまま放置されている家を探しているだけなのです。ですから、中小企業がサイバーテロから身を守るために必要なのは、高度なツールの導入ではなく、徹底的な基本の実行に尽きます。
―― 具体的にはどうすればいいのですか。
永野 第一に、ＯＳやアプリケーションを即時アップデートする。更新を後回しにせず、常に最新バージョンに保つ。自動更新の設定は絶対条件です。次にですが、データをバックアップするだけでなく、そのバックアップサーバーをメインネットワークから切り離す。ネットワークがつながったままだと、バックアップデータも同時にランサムウエアで暗号化されて全滅します。
次に多要素認証（ＭＦＡ）を義務化する。ユーザー名とパスワードだけの管理を即座にやめ、スマートフォンのワンタイムパスワードや生体認証などを必ず組み合わせる。そして最後が従業員への継続的な教育と訓練です。
人事や税務、経営陣をかたる「だましの手口」を社内で共有し、不審なリンクを即座に踏まない組織文化を醸成する。高度なセキュリティはいりません。この基本を徹底するだけで、大半のサイバー攻撃のターゲットからは外れることができます。
―― その基本が、多くの中小企業で守られていません。どこに原因がありますか。
永野 日本固有の構造問題と、経営者の意識の誤認があると考えています。他国とのベンチマークでも、日本は諸外国に比べて恒常的なＩＴ人材の不足とサイバーセキュリティへの投資不足が突出しています。さらにその根底には、「これまで日本語の壁に守られて安全だったから」「うちは知名度のない小さな会社だから、狙われるはずがない」という、根拠のない思い込み（誤認）が強く残っています。
もう一つの病理は、セキュリティ対策を利益を生まないコストと捉えてしまう日本の商習慣です。そうではなく、セキュリティはコストではなく、事業を継続するための必須のインフラ投資であり、最大のリスクマネジメントであると意識を切り替えなければなりません。サイバー攻撃は数億円の損害や、取引先からの信用失墜など倒産に直結します。これをコストだからと後回しにすること自体が、経営放棄に等しいと言わざるを得ません。