2026.07.24

サイバー攻撃の国内企業事例から学ぶ、事業リスクと情報セキュリティ対策

経営リスクナビ編集部

自社のセキュリティ体制を見直す際、他社のサイバー攻撃被害事例は重要な判断材料となります。近年、国内企業を狙った攻撃は巧妙化しており、ひとたび被害に遭えば事業停止や大規模な情報漏洩など、経営に深刻なダメージを与えかねません。具体的な事例を知ることで、自社が直面するリスクを現実的に評価し、優先すべき対策を特定することができます。この記事では、国内企業のサイバー攻撃被害事例を業界別に詳述し、最新の攻撃トレンドと企業が取るべき具体的なセキュリティ対策を解説します。

業界別・国内企業のサイバー攻撃被害事例
サイバー攻撃事例から読み解く近年の主要トレンド
事例から学ぶべき企業の情報セキュリティ対策
まとめ：サイバー攻撃の被害事例から学び、実践的なセキュリティ体制を構築する

業界別・国内企業のサイバー攻撃被害事例

製造業：サプライチェーンを狙った攻撃

製造業では、取引先や関連会社といった供給網の脆弱な部分を起点として、中核企業のシステムへ侵入するサプライチェーン攻撃が深刻なリスクとなっています。生産や物流に直結するシステムがランサムウェア（身代金要求型ウイルス）などによって暗号化されると、製品の供給が停止し、甚大な財務的損失につながるためです。強固なセキュリティを持つ大企業を直接狙うのではなく、対策が手薄になりがちな子会社や部品メーカーが侵入の足がかりにされやすいという構造的な弱点があります。

製造業におけるサプライチェーン攻撃の被害事例

アサヒグループホールディングス：業務委託先のネットワーク機器の脆弱性を突かれランサムウェアに感染し、国内工場の稼働停止や主力商品の出荷制限が発生しました。
ヨロズ：従業員が基幹システムへアクセスした際にデータが暗号化され、決算データの集計が不可能になり、有価証券報告書の提出を延期せざるを得ない事態に陥りました。
HOYA：システム障害により主力製品である眼鏡レンズの受注が停止し、半導体関連製品の製造にも遅延が生じました。
カシオ計算機、ニデック：セキュリティ対策が手薄になりがちな海外拠点のネットワークを経由して不正アクセスを受け、数万件規模の個人情報や内部文書が流出しました。

このように製造業では、自社の防御壁を高くしても、部品供給や物流を担う関連企業のセキュリティに隙があれば、それが全体の致命傷となります。そのため、サプライチェーン全体を包括したリスク管理体制の構築が急務です。

IT・サービス業：大規模な情報漏洩とサービス停止

IT・サービス業では、不正アクセスやクラウドサービスの設定ミスに起因する大規模な個人情報漏洩と、中核サービスの長期停止が頻発しています。この業界は、数百万件に及ぶ顧客データや機密情報を日常的に扱い、クラウドサービスを広範に活用しているため、一度のインシデントが社会に大きな影響を与える大規模な被害に直結しやすい特性があります。

IT・サービス業における主な被害事例

KADOKAWA：ランサムウェア攻撃によりデータセンター内のサーバーが暗号化され、動画配信サービスや出荷システムが数か月にわたり停止し、約25万人分の個人情報が流出しました。
株式会社PR TIMES：リモートワーク対応で緩和したセキュリティ設定と共有アカウントの存在が悪用され、最大90万件以上の個人情報と発表前のプレスリリース情報が漏洩しました。
LINEヤフー株式会社：外部委託先のネットワークがマルウェアに感染し、それを踏み台としてシステムへ侵入され、数十万件のユーザー情報や取引先情報が流出しました。
日鉄ソリューションズ：修正プログラムが未公開の未知の脆弱性を突くゼロデイ攻撃を受け、社内サーバーの個人情報が漏洩する疑いが生じました。

IT・サービス業は保有データの価値が非常に高く、サービス停止や情報漏洩が顧客の信頼を著しく損なうため、クラウド環境の厳格な設定管理や、委託先を含めた常時監視体制の構築が事業継続の生命線となります。

流通・小売業：決済システムへの不正アクセス

流通・小売業では、ECサイトの決済システムを狙った不正アクセスによるクレジットカード情報や顧客情報の漏洩が主要なリスクです。消費者の決済情報が集まるECサイトは、攻撃者にとって直接的な金銭的価値が高く、Webアプリケーションの脆弱性を突いて情報を盗み出すWebスキミングなどの攻撃の標的になりやすい傾向があります。

流通・小売業における決済システムへの攻撃事例

アスクル株式会社：委託先から管理者アカウント情報が漏洩し、多要素認証が未設定だったため侵入を許し、ランサムウェア感染で約74万件の情報が流出、商品の配送遅延も発生しました。
株式会社フクヨシ：運営するオンラインショップのシステムの脆弱性を突かれ、決済アプリケーションを改ざんする手口で、顧客のクレジットカード情報が1万件以上漏洩しました。
タリーズコーヒージャパン株式会社、株式会社サイゼリヤ：各社のオンラインストアで同様の不正アクセスが発生し、数万件規模の個人情報やクレジットカード情報が流出する懸念が発表されました。

流通・小売業は機微なクレジットカード情報を扱うため、決済情報を自社サーバーで保持しない「非保持化」の徹底や、不正な通信を遮断するファイアウォールの導入など、多層的な技術的防衛策が不可欠です。

インフラ・公共機関：社会機能への重大な影響

交通、医療、行政サービスといった社会インフラや公共機関へのサイバー攻撃は、社会機能そのものを麻痺させる重大な脅威です。これらのサービスは国民の生命や生活に直結しており、システム障害時の社会的混乱が大きいため、攻撃者にとっては脅迫の効果が高く、身代金を引き出しやすい標的と見なされています。

インフラ・公共機関における被害事例と影響

日本航空：大量のデータを送りつけてサーバーを過負荷状態にするDDoS攻撃を受け、自動手荷物預け機などのシステムが利用不能となり、多数の便で運航遅延が発生しました。
大阪府立の総合病院：給食事業者のネットワークを経由してランサムウェアに感染し、電子カルテシステムが停止した結果、長期にわたり診療に深刻な支障をきたしました。
株式会社イセトー：印刷・業務アウトソーシング大手がランサムウェアの被害に遭い、同社に業務を委託していた全国の自治体や金融機関の顧客情報約150万件が漏洩しました。

インフラや公共機関は社会の安全の基盤であるため、システム停止に備えた事業継続計画（BCP）の策定と、ネットワークから切り離したオフライン環境での確実なバックアップデータ保管が絶対的な要件となります。

サイバー攻撃事例から読み解く近年の主要トレンド

巧妙化するランサムウェア攻撃の手口

近年のランサムウェア攻撃は、単にデータを暗号化するだけでなく、情報の窃取と公開の脅迫を組み合わせた二重恐喝や、さらに悪質な多重恐喝へと手口が巧妙化しています。企業がバックアップからの復旧体制を強化したため、攻撃者は情報漏洩による信用の失墜や法的なペナルティを新たな脅迫材料に使うようになりました。

攻撃者はシステム侵入後、長期間潜伏して機密情報を盗み出し、その後にデータを暗号化して身代金を要求します。支払いに応じなければ、盗んだ情報をダークウェブ上で公開すると脅迫するのが基本的な手口です。

近年のランサムウェア攻撃の主な手口

二重恐喝：データの暗号化による事業停止に加え、窃取した情報の公開を脅迫材料とします。
三重恐喝：窃取した情報に含まれる顧客や取引先に直接連絡し、被害企業へ圧力をかけるよう仕向けます。
四重恐喝：身代金要求と並行してDDoS攻撃を行い、システムの復旧作業を妨害します。
ノーウェアランサム：データを暗号化せず、窃取した情報の暴露による脅迫のみを行います。

このような高度な脅迫に対しては、バックアップからの復旧だけでは不十分であり、侵入そのものを早期に検知する仕組みと、データの持ち出しを防ぐ対策が必須です。

子会社や取引先を踏み台にするサプライチェーン攻撃

大企業の強固なセキュリティを直接突破するのではなく、相対的に防御が手薄な子会社や取引先、業務委託先を踏み台にして標的組織のシステムに侵入するサプライチェーン攻撃が急増しています。中小企業や海外拠点は予算や専門人材の不足から対策が遅れがちで、攻撃者にとって格好の侵入経路となっています。

サプライチェーン攻撃の典型的な侵入経路

取引先の脆弱性を悪用：部品メーカーなどが使用するリモート接続機器の脆弱性から侵入し、最終的に自動車メーカーの生産ラインまで攻撃を波及させます。
管理が不十分な海外拠点：現地のITベンダーに管理を任せている海外子会社のサーバーを経由し、日本の本社システムへ攻撃を広げます。
委託先のアカウント管理不備：システム運用委託先に付与したアカウントのパスワード管理が甘い点を突き、正規ユーザーになりすまして侵入し、データを窃取します。

サプライチェーン攻撃を防ぐには、自社単独の対策だけでなく、取引先や国内外のグループ企業全体に統一されたセキュリティ基準を適用し、定期的な監査を行うことが不可欠です。

内部不正や設定ミスに起因する情報漏洩

外部からのサイバー攻撃だけでなく、従業員の内部不正やクラウドサービスの設定ミス、機器の紛失といった内部要因による情報漏洩も依然として重大なリスクです。正規のアクセス権限を持つ内部関係者による行為や単純な設定ミスは、外部からの侵入を前提とした防御システムでは検知が難しく、被害が発覚しにくい傾向があります。

情報漏洩につながる主な内部要因

意図的な内部不正：退職予定の従業員などが、顧客リストや技術データといった営業秘密を不正にコピーして持ち出すケース。
クラウドサービスの設定ミス：ファイル共有のアクセス権限設定を誤り、機密情報がインターネット上で誰でも閲覧可能な状態になるケース。
物理的な紛失・盗難：業務用パソコンやスマートフォン、顧客データが入った記録媒体を社外で紛失・盗難されるケース。
人的なセキュリティミス：従業員が巧妙なフィッシング詐欺に騙され、自らIDやパスワードを入力してしまいアカウントを乗っ取られるケース。

これらの内部リスクを防ぐためには、アクセス権限を業務上必要な範囲に限定する「最小権限の原則」の徹底、クラウド設定の定期的な監査、そして従業員に対する継続的なセキュリティ教育が求められます。

サイバー攻撃がもたらす財務・法務上の二次的影響

サイバー攻撃の被害は、システムの復旧費用といった直接的な損害にとどまりません。株価の下落、巨額の損害賠償、信用の失墜といった財務・法務上の深刻な二次的影響をもたらします。特に改正個人情報保護法により、個人情報漏洩時の監督官庁への報告と本人への通知が義務化されたことで、インシデントの発生が広く認知され、企業価値に直接的なダメージを与えるようになりました。

サイバー攻撃がもたらす二次的影響

株価の下落と企業価値の毀損：インシデントの公表直後に株価が下落し、投資家からの信頼を失います。
事業機会の喪失：システムの停止期間中に得られたはずの逸失利益や、取引停止による損失が発生します。
高額な事後対応費用：外部専門家による原因調査、システムの再構築、被害者への見舞金、コールセンター設置などに多額の費用を要します。
損害賠償請求：被害を受けた顧客や取引先から訴訟を提起され、多額の賠償金を支払うリスクがあります。
ブランドイメージの低下：企業の社会的信用が失墜し、長期的な顧客離れや人材採用の困難化につながります。

事例から学ぶべき企業の情報セキュリティ対策

技術的対策：EDR導入や多要素認証の徹底

巧妙化するサイバー攻撃を完全に防ぐことは不可能であるという前提に立ち、被害を最小限に抑えるための技術的対策が不可欠です。特に、侵入後の迅速な検知・対応と、認証の強化が情報漏洩を防ぐ生命線となります。

侵入を前提とした主要な技術的対策

EDR（Endpoint Detection and Response）の導入：パソコンやサーバーなど端末の挙動を常時監視し、マルウェア感染などの異常を検知した際に、迅速にネットワークから隔離して被害拡大を防ぎます。
多要素認証（MFA）の徹底：IDとパスワードに加え、スマートフォンへの通知や生体情報などを組み合わせることで、万が一パスワードが漏洩しても不正ログインを強力に防ぎます。
セキュリティパッチの迅速な適用：ソフトウェアやネットワーク機器に発見された脆弱性を放置せず、メーカーから提供される修正プログラムを速やかに適用し、システムを最新の状態に保ちます。
堅牢なバックアップ体制の構築：ネットワークから物理的に隔離された場所に、データが改ざんされないイミュータブル（書き換え不能）な状態でバックアップを保管し、確実な事業復旧を担保します。

組織的対策：インシデント対応計画と定期訓練

技術的な防御策に加え、セキュリティインシデント発生時に組織として迅速かつ的確に行動するためのインシデント対応計画の策定と、定期的な実践訓練が極めて重要です。有事の混乱や初動対応の遅れは、被害の拡大や信用の失墜を招く最大の原因となります。

インシデント対応計画に含めるべき主要項目

連絡・報告体制：異常を検知した際の社内連絡網や、経営層へのエスカレーション手順を明確にします。
具体的な対応手順：被害状況の調査、システムの隔離、復旧、関係機関への報告といった各段階の手順を明文化します。
部門間の役割分担：経営層、法務、広報、情報システムなど、各部門が担うべき役割と責任を事前に規定します。
外部連携体制の整備：セキュリティ専門機関、法律事務所、警察といった外部協力機関の連絡先と連携手順をあらかじめ定めておきます。

計画が形骸化しないよう、サイバー攻撃を想定したシミュレーション演習を定期的に実施し、課題を洗い出して改善を重ねることで、組織全体の対応力を高めることが重要です。

インシデント公表の判断基準とタイミング

サイバー攻撃の被害が発生した場合、法令に基づき迅速かつ透明性のある公表と関係機関への報告を行うことは、企業の重大な社会的責任です。事態の隠蔽や不当な報告遅延は、被害を拡大させるだけでなく、企業の信用を根本から揺るがす行為となります。改正個人情報保護法では、個人データの漏洩等を認知した場合、速やかに個人情報保護委員会へ報告し、原則30日以内に詳細を報告することが義務付けられています。

公表にあたっては、以下の情報を正確かつ誠実に伝えることが求められます。

インシデント公表時に含めるべき情報

客観的な事実関係：インシデントの概要、経緯、発覚日時など、判明している事実。
発生原因：不正アクセスの手口や、内部の管理体制の不備など。
被害の範囲：漏洩した可能性のある情報の種類、件数、対象者。
被害者への対応：顧客が取るべき自衛策（パスワード変更等）や、問い合わせ窓口の案内。
今後の再発防止策：具体的なセキュリティ強化策と実施スケジュール。

平時からインシデント発生時の報告フローと公表基準を整備し、法的な要件を満たしつつ、社会に対する説明責任を果たす体制を構築しておくべきです。

サプライチェーン全体のリスク管理体制構築

自社のセキュリティ強化だけでなく、国内外のグループ企業、業務委託先、取引先を含めたサプライチェーン全体のリスク管理体制を構築することが、現代のサイバー防衛戦略における最重要課題です。関連企業のうち1社でも対策が不十分であれば、そこが侵入経路となり、全体のネットワークが危険にさらされます。

サプライチェーン全体のリスク管理体制構築に向けた具体的施策

契約によるセキュリティ水準の担保：業務委託契約を結ぶ際に、自社と同等以上の厳格なセキュリティ対策を要求し、その遵守を契約事項に盛り込みます。
定期的なセキュリティ監査の実施：セキュリティチェックシートなどを用いて委託先の対策状況を定期的に評価し、改善を求めます。
アクセス権限の厳格な管理：委託先に付与するアカウントの権限を業務に必要な最小限に絞り、多要素認証の導入を必須とします。
インシデント発生時の連携体制の構築：異常検知時の即時報告ルールや、有事の際の責任分界点を事前に合意しておきます。
グローバルガバナンスの徹底：海外の子会社や関連会社に対しても、本社のセキュリティポリシーを適用し、グローバルで統一された管理を行います。

サプライチェーン全体のセキュリティレベルを底上げするには、企業間で脅威情報を共有し、相互に協力して防御網を構築する共助の枠組みが不可欠です。

まとめ：サイバー攻撃の被害事例から学び、実践的なセキュリティ体制を構築する

本記事では、製造業から公共機関まで、国内企業の具体的なサイバー攻撃被害事例とその背景にある攻撃トレンドを解説しました。巧妙化するランサムウェアやサプライチェーン攻撃は、もはや「ウイルス対策ソフト、UTM、バックアップ」といった従来の対策だけでは防ぎきれないレベルに達しています。ひとたび攻撃を受ければ、自社が被害者であると同時に、取引先や顧客を巻き込む加害者にもなり得るという厳しい現実を直視する必要があります。

これらの事例から学ぶべきは、「侵入されること」を前提とした多層的な防御と、インシデント発生後の迅速な検知・対応体制の重要性です。まずは自社のセキュリティ体制、特に取引先との接続点やクラウドの設定、従業員の権限管理などを再点検し、具体的なインシデント対応計画が策定されているかを確認することが重要です。セキュリティ対策は経営マターであり、継続的な改善が不可欠です。個別の状況に応じた最適な体制構築のためには、セキュリティ専門家への相談も有効な選択肢となります。