近年、中小企業も標的となる「APT（Advanced Persistent Threat：高度で持続的な脅威）」型のHTTP攻撃が急増している。APT攻撃は一度社内に侵入すると、正規のWebアクセスを装い長期間にわたりデータを窃取したり、内部システムを乗っ取ったりする極めて巧妙な手口である。
しかし、多くの中小企業では高額なセキュリティ製品や専門のIT人材を確保できずにいる。本稿では、専門用語を極力排除し、ITリテラシーが高くない経営者でも「今すぐ」かつ「低コスト」で実行できる有効な対策を、具体的な事例を交えつつ詳しく解説する。
APT攻撃とは何か？（サイバー攻撃／HTTP型攻撃）
APT攻撃の本質を平易に理解し、自社への脅威度合いを経営者視点で把握するための概要を示す。
APT攻撃の特徴と手口
APT攻撃は大きく「ステルス性」「持続性」「段階的侵害」の三要素で成り立つ。例えば、ある製造業A社では、取引先のWebサイトに潜む偽装JavaScriptを通じて侵入された後、社内の営業資料フォルダを半年間にわたり遠隔監視され、見慣れないHTTP通信先（例：203.0.113.45）に少量ずつファイルが送信されていたことが後日判明した。
マルウェアはウイルスチェックをすり抜けるよう細かく暗号化された通信を行い、かつ正常アクセスに紛れているため、ログを追わない限り検知は困難である。経営層は「一度の被害で終わらず、知らぬ間にじわじわ情報を奪われる」点を重く受け止めるべきである。
中小企業が狙われる理由
中小企業は大手と比べてセキュリティ体制が手薄で、人手も予算も限られる。そのため、攻撃者は取引関係を逆手に取り、大手企業を標的としたキャンペーンで「踏み台」として中小企業を狙う。たとえば部品を納入するB社では、大手製造元への納入確認メールを装ったフィッシング経由で侵入され、サプライチェーン全体に影響が波及。
結果的にB社が損害賠償を求められ、数百万円の負担を強いられた。狙われるのは「狙いやすさ」と「費用対効果の高さ」が理由である。
被害の深刻さと事例
実際に医療機関Cでは、スタッフが「税務署からの確認」と偽るPDFを開いたことでマルウェアが社内サーバーに常駐。発覚までに９ヶ月を要し、患者データが外部に流出した。
金融機関の下請けD社でも同様に、数年単位で不正通信を続けられ、最終的に数千万円規模の調査・再構築コストが発生した。被害は一度発覚すると「損害・調査・信頼回復」の三重苦を招くため、経営者は「小事に見えて実は甚大」というリスクを認識すべきである。
IT専任者不在・低予算下でも可能な実践対策
多くの中小企業で人員・予算が限られる中でも、今日から始められる具体的施策を事例付きで紹介する。
現状把握とリスクの“見える化”
まずは無料ツールを活用し、自社ネットワークの通信状況を把握する。例として、Microsoft社提供の「Microsoft Baseline Security Analyzer（MBSA）」や、オープンソースの「Nmap」を用い、定期的にポートスキャンを実施。
A社ではこれにより、社員PCが怪しい外部サーバー（例：malicious.example.com）と接続している痕跡を発見し、早期に遮断できた。さらに、結果をGoogleスプレッドシートにまとめ、月次の経営会議でリスク一覧を共有。可視化するだけで「対策しなければ」という危機感が高まり、次の一手を踏みやすくなる。
脅威遮断の“初歩”設定
ルーターやクラウドサービス（例：AWS、Azure、Google Workspace）の管理画面で、HTTP通信先のホワイトリスト制限を行う。具体的には、社外とやり取りする必要のあるドメイン（自社取引先、主要クラウドサービスなど）だけを許可し、それ以外はブロック。
D社ではこの設定により、未知のC2サーバーへの通信が即時に遮断され、マルウェアが外部と連携できなくなった。設定は管理画面から数クリックで完了し、工数・コストともに最小限である。
社員への“ワンポイント教育”
攻撃者は標的型メールで社員を狙うため、一人ひとりの注意喚起が効果的だ。E社では毎週月曜に「今週の注意ポイント」として、実在した攻撃事例（例：税務署を装ったPDF開封後に被害）を全社員にメール配信。
加えて、社内ポータルに図解付きの「添付ファイル開封フロー」を掲載し、「送信元確認→拡張子チェック→上司承認」の３ステップを徹底。実践率は驚くほど高まり、半年で不審メールをクリックする件数が90％減少した。
専門家活用と運用支援のススメ
中小企業こそ“ITのプロ”を味方につけ、継続的なリスク管理体制を構築することが現実的対策であり、もっとも有効な選択肢と考える。
セカンドオピニオンの導入
ツール・サービス販売ベンダーの提案だけで判断すると、“必要以上に高価”または“不十分”な投資を招く。F社では「IT顧問のススメ大.」に記載の専門家に現状レビューを依頼し、無駄な機能を省いた最適構成へ見直すことで、初期投資を50％削減できた。月額数万円からの契約で、継続的に最新の脅威情報や技術動向を受け取れる点が強みである。
「IT顧問のススメ」是非、ご一読ください。
画像をクリックしてダウンロードしてください。
外部運用支援サービスの活用
専門知識の不足を補うため、月額定額制のマネージドSOCサービスを活用。G社では導入から１週間で、社内サーバーからの不審HTTP通信を検知し、即時ブロック。自社で専門人材を雇用せずとも、24時間365日の監視体制を確保でき、初動対応が格段に早まる。
顧問契約による継続的リスク管理
一度の診断で終わらせず、継続的なIT顧問契約を結ぶことで経営判断とセキュリティ対策を切れ目なく連携できる。
H社では月額5万円の契約で四半期ごとのレポート提出と緊急時サポートを実現。これにより、経営会議の場で「最新の攻撃トレンドに基づく改善提案」を直接受けられ、リスク管理が経営戦略の一部として定着した。
まとめ
APT攻撃は「一度潜むと長期間にわたり情報を奪い続ける」という極めて悪質な脅威である。しかし、中小企業でも「現状把握→初歩的設定→社員教育」の三ステップを確実に実行すれば、防御力は飛躍的に向上する。
さらに、IT顧問やマネージドSOCといった専門家・サービスの活用により、常に最新の脅威に即応する体制を低コストで整えられる。限られた予算と人員の中、“今すぐできる一手”から始め、継続的なリスク管理を経営の中核に据えることが、中小企業がサイバー空間で生き残る最善策である。
最後までお付き合いいただきありがとございます。
また、お会いしましょ。
