「うちみたいな小さい会社は狙われないでしょ」
そう思うかもしれませんが、攻撃する側は会社の規模で選んでいるとは限らないようです。
警察庁の発表では 2025 年のランサムウェア被害のおよそ 6 割が中小企業だったとのこと。
もはや他社事ではなく、自社事として考える必要が迫っていると思います。
この記事では、不正アクセスされると何が起きるのか、どんな手口があるのかを整理してみます。
小さな会社や店舗にとって何かお役に立てば幸いです。
※本記事は2026年10月に書かれたものです。
Index
- 被害を受ける業務環境とは
- 不正アクセスされると、何が起きるのか
- どんな手口で入ってくるのか
- 100% 防ぐにはどうすればいいのか
- 意外と打てる手はある：FileMaker の場合
- まとめ
余談：断捨離ができる人が羨ましいです。なかなか思い切った処分ができません。母親がそういう性質だったことも少なからず影響があるのかもしれません。ただ、大人になってしまえば自己責任。心を鍛錬して、「えいや」と断捨離できる意志を身に付けたいと思います。
被害を受ける業務環境とは
業種によって形は違いますが、小さな会社や店舗の業務環境は、だいたい次のような組み合わせだと思われます。
いずれも被害を受ける可能性をはらんでいます。
画像：AIで生成
事務所のパソコンと共有フォルダ
数台のパソコンで、見積書や顧客名簿を Excel などで管理。
ファイルは共有フォルダや NAS に置いて、みんなで使っている。
クラウドのサービス
メール、Google や Microsoft のサービス、クラウドの会計ソフトなど。
予約サイトや EC サイトの管理画面も含まれます。
ID とパスワードさえあれば、どこからでもログインできるというものです。
店舗や現場のタブレット・スマホ
iPad のレジや予約アプリ、業務アプリなどを、オフィス・現場・店舗の Wi-Fi で使用。
スタッフ個人のスマホから業務の連絡をしていることもあると思います。
外からの接続
自宅や外出先から、事務所のパソコンやサーバーにつないで仕事。
リモート接続や VPN を、以前どこかの業者に設定してもらったまま古くなっていないでしょうか。
どれか一つでも当てはまれば、他社事ではない
多くの会社は、これらが少しずつ混ざっていると思います。
そして、そのどれもが入口になり得ます。
・パソコン → メールや添付ファイル
・クラウドのサービス → ID とパスワード
・タブレット・スマホ → 共有のアカウントや Wi-Fi
・外からの接続 → 抜け穴がある設定
弊社でも決して他社事ではありません。
次の章では、不正アクセスされると何が起きるのかについてまとめてみます。
不正アクセスされると、何が起きるのか
「情報漏洩」と言われても、ピンとこないかもしれません。
小さな会社や店舗で起こりそうなことを並べてみます。
画像：AIで生成
データが開けなくなる
ファイルが暗号化されて開けなくなる恐れがあります。
元に戻すために金銭を要求される事態もあり得ます。（いわゆるランサムウェア）
顧客名簿も売上データも開けないため、その間は仕事が止まってしまいます。
お客様の情報が外に出る
名前や住所、購入履歴などが外に出れば、お客様へのお詫びや説明が必要になります。
小さな会社にとっては、お金の損失より信用の損失のほうが重いと思われます。
取引先にも被害が及ぶ
乗っ取られたメールアカウントから、取引先に偽の請求書が送られることもあります。
被害が自社だけで済まない可能性も出てきます。
そもそも、誰も気づかないこともある
入られたことに誰も気づかないまま、何か月も経ってから発覚することもあり得ます。
「異変に気づける人」がいないと、被害はその分だけ広がっていきます。
どんな手口で入ってくるのか
高度なハッキングというより、地味な隙を突かれることが多そうです。
画像：AIで生成
ID とパスワードを知られる（推測・使い回し）
「1234」や会社名、誕生日のようなパスワードは片っ端から試されるようです。
同じパスワードを、いくつものサービスで使っていることはありませんか？
その場合、1 つのサービスから漏れただけで、ほかのサービスにも入られる恐れがあります。
ID とパスワードが漏れて、相手に「本人として」ログインされるとどうなるでしょうか。
・メールや顧客データを読まれる、持ち出される
・本人になりすまして、取引先にメールを送られる
・パスワードを変えられて、自分が入れなくなる
なお、相手は画面を一つずつ見ていくとは限りません。
プログラムを使って、データをまとめて一気に取り出すかもしれません。
正しい ID とパスワードで入ってくるので、普通のログインと見分けがつきにくいのが厄介なところです。
どこからでもログインできるクラウドのサービスは、特に狙われやすいと思われます。
本物そっくりのメール
取引先や宅配業者、銀行などを装ったメールです。
昨今はかなり巧妙なので、ちょっと見ただけでは本物のメールとの区別がつきません。
やられることは、大きく 2 つあります。
リンクを押すと：偽のログイン画面
本物そっくりのログイン画面が表示され、ID とパスワードを入力してしまうと相手にそのまま渡ります。
あとは上の「ID とパスワードを知られる」と同じことになります。
添付ファイルを開くと：ウイルスが入り込む
請求書や見積書を装ったファイルを開いたとします。
そこで「編集を有効にする」などのボタンを押すと、裏でウイルスが入り込むことがあります。
入り込んだウイルスによって、パソコンを外から操作されたり、保存されたパスワードを盗まれたりします。
そこから共有フォルダやサーバーへ広がり、最後にデータがまとめて暗号化されることもあるようです。
これが、ランサムウェアのよくある流れです。
状況を誰も把握していない
昔の担当者が設定したリモート接続や VPN 機器が古いまま、更新されずに残っているケースです。
・誰が設定したのか？
・今も開いているのか？
これに答えられる人がいない、という会社は意外に多いかもしれません。
辞めた人のアカウント
退職した人のアカウントがそのまま使える状態になっていないでしょうか。
店舗の iPad のように、みんなで一つのアカウントを使っている場合もあるかもしれません。
そうなると、辞めた人もパスワードを知ったままになります。
本人に悪意がなくても、そのパスワードが別の場所で漏れることもあり得ます。
100% 防ぐにはどうすればいいのか
では、100% 防ぐ方法はあるのでしょうか。
画像：AIで生成
ケース1：インターネットに繋げないという方法
ほぼ防げるが、仕事にならない
外から入られる心配はほとんどなくなります。ただ、メールもネットでの受発注もクラウドの会計ソフトも使えません。
今は少なくなりましたが USB メモリ経由で感染することもあるので、100% 完全とは言えません。
ケース2：紙に戻す方法
手間が増えて、仕事が回らない
パソコンにデータがなければ、不正アクセスはされません。サイバー攻撃を防ぐという点では 100% 防ぐ方法と言えそうです。
ただ、じゃあ紙に戻すかというと、「違う」とも思います。
あの厄介な時代に果たして戻りたいと思えるでしょうか。
・アレコレ探すのに時間がかかる
・集計や転記を手作業でやり直す（そして間違える）
・その場にいる人しか見られない
今の人数で回している仕事が回らなくなる恐れも出てくるでしょう。
やはり一度手にしてしまった便利な「データ」は手放せないと思います。
ケース3：専門家に任せる
100% の約束をしてくれるサービスはない
たとえ専門家でも「100%」を約束してくれるところはないはずです。どのような攻撃をされるかわからない以上、約束はできませんよね。
「店内に 100% 虫は入ってきません」という飲食店がないのと同じだと思います。
ただ、日々の監視や検知からの素早い遮断など、専門家の活用は有効になります。
被害を最小限にすること、これを目的に置くと考えに幅が出るのではないでしょうか。
ちなみに、被害に遭ったあとの調査・復旧費用はいくらかかると思いますか？
警察庁の報告では、1,000 万円を超えるケースが半数以上だそうです。
（すみません、これは AI からの情報になります）
結局、100% はない
データを使った仕事に限っては、100% 防ぐ方法はありません。
大企業や官公庁でも被害が出ているのは、そういうことだと思います。
だからこそ、目指すのは次の 3 つかと思います。
・入られにくくする
・入られても、被害を小さくする
・何かあっても、元に戻せるようにする
そして、次のような問いかけをしてみるのも良いと思います。
・日々の状況を把握する人や仕組みはあるか？
・異変に気づける人や仕組みはあるか？
・元に戻せる人や仕組みはあるか？
意外と打てる手はある：FileMaker の場合
弊社は普段、FileMaker を使ったお客様の業務システムづくりをお手伝いしています。
その中で感じるのは、FileMaker は意外と打てる手が多い、ということです。
上の 3 つに沿って紹介してみます。
画像：AIで生成
入られにくくする
外に出さずに使える
FileMaker Server を購入して、インターネットに公開せず事務所内のサーバーで複数人運用ができます。iPad や iPhone でも事務所内の Wi-Fi から使えます。
「外に出さなくてもいい業務」であれば、この選択があるのは有力な手段です。
セキュリティ機能が最初から備わっている
当然のことですが、アカウントとパスワードでログインする機能があります。FileMaker Server には特定の IP アドレスに制限する機能も備わっています。（ FileMaker Cloud も）
ほかに、Microsoft や Google のアカウントでのサインインも組み合わせられます。
入られても、被害を小さくする
人ごとに見られる範囲を変えられる
アカウントごとに表示・非表示の画面や、非アクセス・編集可能データなどを分けられます。データの書き出しや印刷を禁止することもできるので、設定次第で被害の範囲を小さくできます。
画面以外の「取り出し口」を閉じる
FileMaker は Data API や OData（プログラムからデータを読み書きする仕組み）によるデータ連携が可能です。ODBC（Excel などの外部ソフトから直接データを読む仕組み）も可能で、外部との出入り口が複数あります。
便利な半面、攻撃の入口にもなり得るため、必要がない場合は次の設定で遮断しておきます。
・コンソール管理画面で Data API や OData をオフにしておく。
・「拡張アクセス権」の設定でもそれらをオフにしておく。
ファイルを持ち出されても開けないようにできる
もう一つの経路が、サーバーからファイルそのものをコピーされることです。ファイルを暗号化しておけば、コピーされても暗号化のパスワードがなければ開けません。
誰が・いつ変えたかを残せる
レコードごとに、修正したアカウント名と日時を自動で記録できます。おかしな変更に気づいたとき、追いかける手がかりになります。
何かあっても、元に戻せるようにする
3 つの中で、何より大事なのはバックアップだと思います。
次のようになった時、「異常が起きる前の状態」に戻せるかどうか、です。
・ランサムウェアで、データを暗号化されて開けなくなる
・乗っ取られたアカウントで、データを消されたり書き換えられたりする
戻すことができれば、何らかの脅しがあっても必要以上に恐れずに済みます。
FileMaker はバックアップ体制が意外と充実している
FileMaker Server には、バックアップの仕組みが意外とそろっています。
何日か前の状態に戻せる
毎日決まった時間に自動でバックアップを取り、何日分か残しておけます。
仮に入られたことに気づくのが数日遅れても、それより前のバックアップが残っていれば良いわけです。
（ 1 日分しか残っていない場合、バックアップさえも被害に遭った状態で上書きされてしまいます）
被害の直前まで戻せる
数分おきに変更分を保存しておく機能（プログレッシブバックアップ）もあります。
毎日のバックアップより更に短い直前まで戻せるため、失うデータを小さくもできます。
荒らされたデータだけを戻せる
これぐらいバックアップが揃っていれば、必要なデータだけを戻すこともできます。
「どこまで巻き戻すか」の柔軟な選択が可能というわけです。
バックアップは別の場所にも
ランサムウェアは、同じサーバーにあるバックアップまで暗号化することがあります。
バックアップをサーバーとは別の場所にもコピーしておくことで、二重の対策が可能な状態になります。
毎日決まった時間に自動でバックアップを取り、何日分か残しておけます。
仮に入られたことに気づくのが数日遅れても、それより前のバックアップが残っていれば良いわけです。
（ 1 日分しか残っていない場合、バックアップさえも被害に遭った状態で上書きされてしまいます）
被害の直前まで戻せる
数分おきに変更分を保存しておく機能（プログレッシブバックアップ）もあります。
毎日のバックアップより更に短い直前まで戻せるため、失うデータを小さくもできます。
荒らされたデータだけを戻せる
これぐらいバックアップが揃っていれば、必要なデータだけを戻すこともできます。
「どこまで巻き戻すか」の柔軟な選択が可能というわけです。
バックアップは別の場所にも
ランサムウェアは、同じサーバーにあるバックアップまで暗号化することがあります。
バックアップをサーバーとは別の場所にもコピーしておくことで、二重の対策が可能な状態になります。
サーバーが使えなくても、仮で業務を再開できる
FileMaker のデータは、ファイル単位でまとまっています。そのため、サーバー機そのものが使えなくなっても打つ手はあります。
予備のパソコンに FileMaker Server を入れて仮運用する
例えば Mac mini や Mac Studio を購入して、それをサーバーとして仮運用する方法が考えられます。
（これは「外に出さずに使える」と同じことになります）
これにより、本格的な復旧まで最低限の業務を止めずに済むかもしれません。
例えば Mac mini や Mac Studio を購入して、それをサーバーとして仮運用する方法が考えられます。
（これは「外に出さずに使える」と同じことになります）
これにより、本格的な復旧まで最低限の業務を止めずに済むかもしれません。
ちなみに、Mac mini・Mac Studio にはサーバーとして常時稼働の性能を持ち合わせています。
Windows サーバーは一時しのぎで考えるとコストに合わない可能性があるため、Mac mini はオススメです。
（ただ、Mac に慣れていないと最初は操作や仕組みに戸惑うかもしれません）
FileMaker に「誰」をあてるか
これは FileMaker に限ったことではありません。
業務システムは「誰」かが管理する必要があります。
・アクセス権を誰が決めて、誰が見直すのか？
・バックアップから実際に戻せるか、誰が確かめるのか？
・サーバーの更新を誰がするのか？
まとめ
データを扱う以上、不正アクセスを 100% 防ぐ方法はありません。
それでも、入られにくく、被害を小さく、元に戻せる状態には近づけられます。
そのための仕組みを自分たちで持てることができれば心強いと思います。
弊社では FileMaker の環境やアクセス権の見直しを一緒に行うサポートもしております。
やり方を覚えれば、自社で迅速な対応ができるようになると期待できます。
もし何かご相談したいことがあればフォームからご連絡ください。無料相談フォーム ▷
「設定した人がもういない」「どこが危ないのか分からない」といったことがあれば一緒に確認していきましょう。
今日も良い一日を♪