• 谷島 宣之

総合研究所 未来ラボ 客員研究員

大企業にも深刻な被害が出ているランサムウエア（身代金要求型ウイルス）攻撃。悩ましいのは取引先の企業、特に中小企業をどう守るかである。大企業であれば受発注などのやり取りを定期的にしている取引先は数百社、数千社に上る。これだけの数がある取引先のサイバーセキュリティーを担保することは実のところ不可能に近い。

大企業の受発注システムなどへのアクセス権を持つ取引先がランサムウエアなどのウイルスによって攻撃されると、取引先のPCから大企業の受発注システムへウイルスが侵入する危険がある。こうした危険はかねて指摘されており、2025年8月6日付の日本経済新聞は第一面でサイバーセキュリティーがしっかりしている取引先を選ぶ大企業の動きを報じていた。

だが数百社、数千社の取引先のサイバーセキュリティーへの対応状況をどう把握するのか。先に「不可能に近い」と書いたのは行き過ぎとしても、いざやり方を考えると実に悩ましい。調査票を送るとか対策を書面で依頼するといった程度にならざるを得ないのが実態ではないか。

Webサイトから守る

この難問に取り組む企業もある。中小企業向けにWebサイトの構築支援を手がけるガーディアンは、2025年8月から「SCAN DOG（スキャンドッグ）」と呼ぶサービスを始めている。同サービスは中小企業向けではなく大企業向けである。大企業に代わって取引先である中小企業が保有しているWebサイトの脆弱性を診断する。

SCAN DOGにはライト版と正規版がある。取引先の状況を把握したい大企業はライト版を使う。まず取引先のリストをガーディアンに提供する。ガーディアンがリスト先の中小企業のWebサイトについてTLS（Transport Layer Security）への対応や、管理画面のURLやIDの露出、CMS（コンテンツ管理システム）のバージョンなどを確認する。2000社未満であれば約10営業日でリポートを出す。100社までであれば無償、101社～300社までなら30万円からという。

現状を把握したら取引条件の一部としてWebサイトを含めたサイバーセキュリティーの諸条件を提示する。単に提示するだけでなく、取引条件を満たしているかどうかを確認する必要がある。

そこで300項目にわたる脆弱性診断を実施するSCAN DOG正規版を利用してもらう。取引先1000社を毎月診断する場合、料金は年間1440万円から。正規版による診断はガーディアンではなく、ITサービスを手がけるメディアウォーズが実施する。

正規版による診断をガーディアンが手がけないのは、大企業の取引先となる中小企業にサイバーセキュリティーを強化したWebサイトの構築・運用サービス「SCSC Dog」を提案していくからだ。これがガーディアンの主な事業になる。SCSC Dogを採用した中小企業の脆弱性診断をガーディアンが実施して「問題なし」とするわけにはいかないわけだ。

ガーディアンは元々、Webサイトの構築や運用を手がけるWeb制作会社である。数多くのサイトを手がけた経験をもとにWebサイトを自動生成するツールを開発し、Webサイトの構築・運用サービスへ事業を広げてきた。

青山裕一社長は「ハッカーの侵入口は結局のところ、ホームページ（Webサイト）、電子メール、Webブラウザーの3点に集約される。3点はWeb制作会社の領域であり、かねてサイバーセキュリティーへ取り組み、ノウハウをためてきた」と語る。

もちろん中小企業が使っているのはWebサイトだけではない。本来ならクラウドサービスやVPNなどの各種設定など、脆弱性がありそうなところも確認しなければならない。しかしガーディアンとしては得意な3点に絞る。3点に絞ることで、そもそも対策をなかなか打てない中小企業のサイバーセキュリティーの第一歩として支えていく作戦である。

セキュリティー意識はまだまだ、悩みは尽きない

中小企業向けのセキュリティー支援を手がけるYMYシステムズの村嶋義隆氏は、続発している大企業のサイバーセキュリティー事案について「CSIRTを設置するなどセキュリティーにそれなりの人とコストを投じてきた大手企業が被害にあっている。あくまでも推測だが、電子メール経由で侵入され、認証情報が漏洩したのではないか。サプライチェーンを構成する取引先やグループ企業など、本社以外から狙われる危険はある」とみる。

セキュリティーに配慮したWebサイトを用意したとしても安心とはいえない。何かになりすましたメールが届き、ランサムウエアなどが待ち構える外部サイトや添付ファイルを開いてしまえば、ウイルスはすぐにPCへ入り込んでしまう。

村嶋氏は金融系のシステムインテグレーターの出身だが、独立して色々な現場に行って話すと「日本全体で見るとサイバーセキュリティーへの意識はまだまだ」であることが分かった。

「安全対策のために偽メールを送る、引っかけメール訓練を取引先にまで広めて実施したところ、引っかかった人が続出したという話を聞いた。金融系の仕事をしていたとき、お客様が実施したメール訓練に社員が1人引っかかっただけでも、役員だった私はおわびに行った。そのことと思い比べ、業種によって温度差があると実感した」と語る。

村嶋氏は続ける。「多くの人は電子メールの仕組みをよく知らずに使っている。便利なものが出てきて広がり、使い方に習熟するまでに紆余（うよ）曲折がある。もしかすると電子メールの利用はまだ初期段階なのかもしれない。小規模企業になるとセキュリティーの必要性についても具体策についても、理解はまだまだだ」