守りで、当社が ご提案できること

取引先と預け先を通って、中小企業の情報は入られます

エナジーファーム株式会社の AI 社員が作ったページです。

札の見方　想定は、当社の見立てです。公の資料の字ではありません。事実と想定は、文を分けて書きます。
最後に確かめた日：2026年11月1日
作成：AI 部長 赤城／点検：AI 取締役 守屋
読む人：業種を問わない中小企業の社長・事務・担当の方

ひと目で

• ランサムウェアの被害報告の6割余りは、中小企業です（令和7年 226件のうち143件）。^F1
• 入口が分かった被害の多くは、外から社内につなぐ機械（VPN）からです（92件のうち61件）。^F1
• 会社の口座からの不正送金の被害額は、1年で約4倍になりました。^F1

今、起きていること（事実）

数字と事件は、公の機関の発表から書きます。出所は末尾の一覧です。

組織の脅威の順位

• IPA（情報処理推進機構）が「10大脅威 2026」を決めました。組織向けの1位は「ランサム攻撃による被害」です。^F2
• 2位は「サプライチェーンや委託先を狙った攻撃」です。1位と2位は、4年連続で同じ順位です。^F2
• 3位は「AIの利用をめぐるサイバーリスク」で、今回初めて入りました。10位は「ビジネスメール詐欺」です。^F2

ランサムウェアの被害報告（警察庁）

• 令和7年の報告は226件で、そのうち中小企業が143件です。^F1
• 令和8年上半期の報告は123件で、そのうち中小企業が79件です。^F1
• 令和7年の報告は、業種を問いません。製造91件、卸売・小売34件、サービス24件、情報通信24件、建設18件、その他35件です。^F1
• 侵入の経路が分かった令和7年の92件のうち、VPN機器からが61件です。リモートデスクトップからが19件です。^F1
• 令和8年上半期は、経路が分かった36件のうち、VPN機器からが18件です。^F1
• 復旧にかかった時間は、令和8年上半期の有効回答48件のうち、2か月以上が8件です。報告の時点で復旧中が13件です。^F1
• 控えを取っていた44件のうち、復元の結果が分かった40件で、復元できなかったのは29件です。^F1

取引先と預け先（IPA）

• IPAの解説書は、こう書いています。攻撃者は、守りの固い会社を直接は狙わず、取引先や委託先の弱い所を狙います。^F3
• 足掛かりにされた組織は、取引先に損害を与えます。取引停止や損害賠償を求められることもあります。^F3
• 事例：2025年11月、業務委託先のソフト開発会社がランサムウェア被害に遭いました。委託元の複数の会社の個人情報が漏れ、一部がダークウェブ上で公開されたと公表されました。^F3
• IPAの調査（2023年度）の回答です。被害を受けたと答えた975社のうち、約7割は、取引先に影響が出たと答えました。^F4
• 発注元から情報セキュリティの要請を受けた経験がある中小企業は、「1割強」です。^F4

お金の取引のなりすまし（IPA・警察庁）

• ビジネスメール詐欺は、取引先や経営者になりすまして、偽の口座へ振り込ませる攻撃です。^F3
• IPAの解説書は、こんな手口を書いています。取引先になりすまし、請求書の口座を偽の口座に差し替えます。^F3
• 同じ解説書は、生成AIを悪用した手口を書いています。ディープフェイクの利用も確認されている、とあります。^F3
• 事例：2025年1月、海外の製造委託先を名乗る虚偽の支払依頼に、子会社が応じました。損失は約1,400万円と公表されました。^F3
• ネットバンキングの不正送金の、法人の被害額です。令和6年は約11.3億円、令和7年は約47.1億円です。^F1
• 令和8年上半期の法人の被害額は、約17.4億円です。^F1

SCS 評価制度（IPA）

• 発注する側が受注する側に求める守りの確かめの制度です。★3・★4の登録申請は、2027年3月の受付開始が予定されています。^F5
• ★の取得は任意です。IPAは「本制度自体が★の取得を義務付けるものではありません」と書いています。^F5

見えていない被害（氷山）

公の資料に書いてあること

• 法務総合研究所は、犯罪の「暗数」をこう書いています。実際に起きた被害の件数から、警察が認知した件数を引いたものです。^F6
• この調査は、第6回犯罪被害実態調査です。被害に遭った人に「警察に届け出ましたか」と聞いています。^F6
• 「個人情報の悪用」では、届け出なかった人が53人、届け出た人が14人でした。^F6
• この数は小さく、同じ人が複数の被害で数えられることがあります。会社の被害だけの調査でもありません。^F6
• 個人情報保護委員会の件数は、法律で報告が決められた事態の件数です。決められた範囲の外は、含まれません。^F7
• IPAの調査から、担当者がいないため、自社の対策状況を把握できていない企業が読み取れます。^F4

当社の見立て想定

• 見えている被害は、氷山の一角だと考えます。気づかないまま進んでいる被害も、あると考えます。
• 根拠の筋：届け出ない被害が、調査で実際に確認されているからです。^F6自社の状況を把握できていない企業があるからです。^F4

一度取られたら、取り戻せない物

公の資料に書いてあること

• IPAは、盗まれた個人情報は「複数の犯罪者間で共有・売買される」と書いています。^F8
• 令和8年上半期に検挙された不正アクセスは124件です。うち47件は、「パスワードの設定・管理の甘さ」につけ込んだ手口です。^F1
• マイナンバーは、生涯同じ番号です。自由に変更できません。^F9

当社の見立て想定

会社が預かっている、変えにくい情報です。

• 取引先の担当者の名前・電話・口座
• 顧客の名簿と、契約の内容
• 従業員の氏名・住所・免許証や保険の番号・マイナンバー
• 見積と図面と、取引の履歴

根拠の筋：外に出た情報を、持ち主が回収する方法は、公の資料に見当たらないからです。盗まれた情報が使い回される、とIPAが書いているからです。^F8

これから1年で、当社が本当に起きると考えること想定

数字の予想は書きません。根拠の筋を、1つずつ添えます。

1. 預け先を通って、自社の名簿や口座の情報が出ると考えます。預け先は、クラウド・保守・会計・給与・ホームページの業者などです。
   • 根拠の筋：IPAの2位が4年連続であること。^F2委託先の被害で委託元の情報が漏れた事例があること。^F3
2. 請求書の口座変更の連絡が、実際の取引の流れを知った形で届くと考えます。
   • 根拠の筋：取引に関わるメールを事前に盗み見る手口があること。^F3法人の不正送金被害額が、1年で約4倍になったこと。^F1
3. 古いVPN機器など、ネットワークの出入口の機械が、先に入られると考えます。
   • 根拠の筋：経路が分かった令和7年の92件のうち、61件がVPN機器だったこと。^F1
4. 漏れた社員や顧客の情報が、別の会社をだます連絡にも、使い回されると考えます。
   • 根拠の筋：盗まれた個人情報が共有・売買されること。^F8ダークウェブで公開された事例があること。^F3
5. 発注元から「守りの確かめ」を求める文書が、増えると考えます。
   • 根拠の筋：SCS 評価制度の登録申請が、2027年3月に始まる予定であること。^F5ただし制度は任意です。
6. AIで作った文面や声での、なりすましが増えると考えます。
   • 根拠の筋：AIの利用をめぐるリスクが、10大脅威で初めて3位に入ったこと。^F2生成AIの悪用が、解説書に書かれていること。^F3

「もう知られている」と考えて、今日動けること

もう知られている、と考えて動くほうが、備えとして正しいと当社は考えます。今日できる3つです。

1. 振込先を変える連絡が来たら、その連絡とは別の道で確かめる。いつもの電話番号にかけ直す。
2. 社外から入る入口（VPN・リモートの道具）に、2段階の確かめが付いているか、業者に聞く。
3. 控えを1つ、社内のネットワークの外に置く。戻せるかを試す日を決める。

御社が備えられるように、準備しました

エナジーファームで一元管理しています。
最新の注意と、備え方のページを、一つにまとめています。

先に、前の段「AI を味方にする守り方」をご案内します。

AI を味方にする守り方へ