反撃しない国から、企業は静かに去っていく｜能動的サイバー防御を解説

こんにちは、株式会社TIMEWELLの濱本です。

2026年10月24日、GMOインターネットが「政府に能動的サイバー防御の適用を要請した」と発表しました。FX自動売買用のクラウドサーバーが不正アクセスを受け、利用者の口座で身に覚えのない取引が行われたためです。影響の可能性があるサーバーは2万6,739件。同社は損失を補償する方針を示しています¹。

注目したいのは、その先です。10月1日に動き出したばかりの新しい制度は、この要請に応えられる形になっていませんでした。企業の側から発動を求める手続きが、そもそも用意されていないからです¹。

攻撃を受けた企業は、復旧、補償、報告、説明に追われます。攻撃した側には、多くの場合なにも起きません。この偏りが続いたら、企業はどんな行動を取るでしょうか。私は、データやシステムを置く国を、静かに選び直す企業が出てくると考えています。

この記事は、サイバーセキュリティの専門家でなくても読めるように書きました。専門用語は、出てくるたびに説明します。

この記事の要点

• 2026年10月1日、日本は能動的サイバー防御の中核を動かし始めました。ただし、国が止められるのは主に攻撃者の「踏み台」で、攻撃者本人ではありません
• 攻撃を受けた企業には、損失と、報告や説明の義務の二重の負担がかかります。攻撃者が払う代償は小さいままです
• 守ってくれる国のほうに企業がデータを置き始めれば、計算資源、技術、人材、投資が順に動きます。一度動くと、元に戻りにくい性質があります
• ただし「すでに大規模な流出が起きている」という証拠はありません。この記事の主張は事実の報告ではなく、放っておくとそちらへ力が働く、という問題提起です
• 国は「使った実績」を示し、報告した企業に見返りを返すこと。企業は復旧できる設計と、データの置き場所を意図して選ぶことが、最初の一歩になります

先に押さえる3つの言葉

言葉	やさしい言い換え
ランサムウェア	会社のデータを勝手に暗号化して使えなくし、元に戻す代わりにお金を要求する攻撃
踏み台	攻撃者に乗っ取られ、攻撃の中継に使われている他人のサーバーやルーター、カメラ
無害化	踏み台になっている機器の攻撃機能を止めること。犯人の拠点に乗り込むことではありません

日本は何を決めて、何ができるようになったのか

2025年秋から続く大きな被害

最初に、直近で何が起きたかを整理します。

2025年9月29日、アサヒグループホールディングスがランサムウェアの被害を受けました。受注と出荷が約2か月にわたって麻痺し、10月末の時点で出荷できた品目は通常の約1割まで落ち込んだと報じられています。全品の出荷が再開したのは、約半年後の2026年4月でした²。

翌10月19日には、アスクルがランサムウェアを検知し、主要サービスの受注と出荷を止めました。2025年6〜11月期の売上高は前年同期比で12.3%減り、営業損益は約60億円の黒字から約30億円の赤字へ落ちました。中間期には、システム障害の対応費用として52億円を特別損失に計上しています³。

そして2026年10月のGMOインターネットです。3件に共通するのは、被害の大きさが「復旧にかかった時間」で決まったことでした。

制度の3本柱

こうした流れを受けて、日本は2025年5月にサイバー対処能力強化法とその整備法を成立させました。2026年10月1日に動き出した部分は、内閣官房の資料では次のように整理されています¹。

柱	中身	施行
官民連携の強化	電力や金融など基幹インフラの15分野258事業者に、資産の届出とインシデントの報告を義務づけ。官民で情報を共有する協議会を置く	2026年10月1日
アクセス・無害化措置	攻撃に使われているサーバーなどに、警察や自衛隊が遠隔でアクセスし、必要に応じて攻撃を止める	2026年10月1日
通信情報の利用	国外が関わる通信を分析して、攻撃サーバーを見つける	2027年秋

方針が示された2022年の国家安全保障戦略から約4年。制度としては、確かに大きな一歩です。

止められるのは「攻撃者」ではなく「踏み台」

ここが、いちばん誤解されやすい点です。無害化と聞くと、攻撃者の拠点に反撃するイメージを持つ方が多いかもしれません。実際は違います。

たとえば、泥棒が他人の家の電話を勝手に使って、脅迫電話をかけてくるとします。無害化は、その電話線を外すことに近い措置です。電話をかけている犯人の家に踏み込む措置ではありません。具体的には、乗っ取られたルーターやサーバーの不正なプログラムを消す、機器を止める、攻撃者が再びログインできないよう設定を変える、といった作業です。

攻撃者は身元を隠すために、踏み台を何段にも重ねます。内閣官房の資料によれば、警察庁が2024年に観測した、攻撃を含む通信のパケットの99.4%は、海外のIPアドレスから送られていました⁴。中継点のどこかを止めても、攻撃者はまた別の踏み台を探します。

さらに、攻撃元を探す「通信情報の利用」が始まるのは2027年秋です¹。攻撃のインフラを見つける目がまだ十分に揃わないまま、止める手が先に用意された状態だと言えます。

発動の手続きも慎重です。原則として、サイバー通信情報監理委員会という第三者の機関の承認を事前に受けます。政府は、承認申請などの手続きを、関係省庁で仮想的に練習する訓練を重ねていると説明しています¹。誤爆や権限の乱用を避けるための設計で、私はこの慎重さ自体は正しいと考えています。

被害を取り戻す制度ではない

もうひとつ、押さえておきたい点があります。無害化の目的は、これから起きる被害の拡大を防ぐことです。盗まれた情報を取り戻すことも、口座の損失を埋めることも、制度の目的に入っていません。

GMOの要請に対して、政府が慎重な反応を示したのは、制度の設計どおりです。報道では、防御の必要性を判断するのは政府で、企業の要請で実施する仕組みにはなっていない、と整理されています⁵。

その後、高市早苗首相は10月26日の関係閣僚会議で、実態をつかんだ攻撃に対しては、無害化措置を含む対処の選択肢を戦略的に選んで実行する考えを示しました。同盟国や同志国と連携した攻撃主体の特定も指示しています。被害企業向けには、相談窓口の拡充や、初動から復旧まで民間の専門家を活用する仕組みづくりも打ち出しました。政府は来週中をめどに「緊急対策パッケージ」をまとめるとしています⁶。この記事を書いている11月5日の時点で、最終的な内容は私には確認できていません。

方向は正しいと思います。問われるのは、それが企業の目に見える形で、続けて行われるかどうかです。

抑止には2種類ある

安全保障では、抑止を2つに分けて考えます。

• 拒否的抑止は、攻撃しても成功しないと思わせることです。堅い守り、すぐに復旧できる体制がこれに当たります
• 懲罰的抑止は、攻撃すれば痛い目に遭うと思わせることです。特定、公表、起訴、制裁、資産の凍結などです

日本のサイバー政策は、長いあいだ拒否的抑止にほぼ頼ってきました。そして守りを担ってきたのは、国ではなく個々の企業でした。無害化は国の側に手を加える一歩ですが、踏み台を止める措置にとどまる限りは、拒否の延長にあります。攻撃者に「日本を狙うと高くつく」と感じさせるには、特定と公表、起訴や制裁を、同盟国と組んで続ける必要があります。なお、政府の資料も、対処の例としてテイクダウン(攻撃インフラの停止)や、攻撃主体を公に名指しする「パブリック・アトリビューション」を挙げています¹。

攻撃を受けた会社だけが、二重に負担する

一度目の負担は、攻撃そのものの損失

強盗が入った店を、社会は責めません。警察が犯人を追い、裁判所が裁きます。ところがサイバー攻撃では、被害を受けた企業が「なぜ防げなかったのか」と問われる場面が少なくありません。

アスクルの例を見てみましょう。物流センターは高度に自動化されていて、制御するシステムが止まれば出荷全体が止まります。公表された報告では、オンラインのバックアップまで暗号化されたことが、復旧を長引かせた一因でした。ネットワークから切り離したオフラインのバックアップが整っていなかったことも、被害拡大の背景として挙げられています⁷。

注目したいのは、これが怠慢の話ではないことです。アスクルは、調査結果と再発防止策を自ら公表しました。次に同じ立場に立つ誰かの教訓になるからです。公表した企業を責めるのではなく、その内容を自分の会社に当てはめて読むのが、一番役に立つ使い方だと思います。

二度目の負担は、その後に課される義務

被害のあとには、次の仕事が一斉に降ってきます。

• 監督官庁や個人情報保護委員会への報告
• 漏えいした可能性のある本人への通知と、問い合わせへの対応
• 外部の専門機関による調査と、結果の公表
• 取引先への説明と、場合によっては補償
• 株主や投資家への説明
• 記者会見と、継続的な経過報告

どれも正当な要請です。情報を隠す企業を許してはなりませんし、被害者への通知は当然の責務です。

問題は、負担の全部が「攻撃を受けた」という一点を理由に、被害企業へ集まることにあります。2026年10月から、基幹インフラ事業者にはインシデントの報告が法律で義務づけられました¹。報告の内容は、のちに損害賠償請求や株主代表訴訟で「どこまで把握していたか」の証拠として使われる場合もあります。誠実に報告した企業の不利益を和らげる仕組み(セーフハーバー)は、まだ十分に整っていません。

個人情報保護法も、2026年7月10日に改正法が成立し、初めて課徴金制度が入りました⁸。ただし課徴金は、違反によって得た利益に着目する仕組みで、対象も限られた類型に絞られています。私が確認できた範囲では、攻撃を受けて漏えいした事実そのものに課すものではありません。ですから「攻撃された企業に制裁金を課す時代になった」とまでは言えません。一方で、課徴金という手段が一度制度に入った意味は軽くありません。欧州では、EUのNIS2指令が、管理義務や報告義務に違反した重要な事業者に、最大で1,000万ユーロか全世界売上高の2%の高いほうを上限とする制裁金を定めています⁹。日本の議論が、その方向へ近づいていく可能性はあるでしょう。

攻撃者のコストは低いまま

では、攻撃した側はどうでしょうか。

日本企業を狙った個別の攻撃で、攻撃者が特定され、起訴され、資産を差し押さえられたという話を、私たちはほとんど聞きません。攻撃者の多くは、日本の捜査が及ばない国にいます。

経済学の言葉で言えば、ここには非対称があります。攻撃の利益は攻撃者が得て、攻撃のコストは被害企業が払います。そして、攻撃者に代償を払わせる役割は、本来、国家にしか担えません。この役割が果たされない限り、企業はいくら防御に投資しても、守り続ける立場から抜けられません。

生成AIの普及が、この状況を厳しくしています。脆弱性(システムの弱点)を探す、攻撃用のプログラムを作る、相手に合わせた偽メールの文面を作る。こうした作業のコストが急速に下がっているからです。攻撃は増え、質も上がります。

中小企業には、さらに重い

被害の多くは、中小企業で起きています。警察庁によれば、2026年上半期のランサムウェア被害の報告は123件で、半期として過去最多でした。うち中小企業が79件で、割合は約64%に当たります¹⁰。

専任の担当者も、調査会社に払う予算も、記者会見を仕切る広報部門もないことが多い中小企業にとって、攻撃は経営の存続に関わります。しかも、中小企業は大企業の取引先として狙われます。守りの手薄な取引先は、本命の大企業に入り込むための入口になるからです。入口にされた側が責められ、取引先からは対策の強化を求められ、応えられなければ取引を見直される。防御の負担が、サプライチェーンの川下へ押しつけられていきます。

企業が国を選び直すと、何が起きるのか

「国を選ぶ」とは、どういうことか

企業がサイバーリスクを減らす方法は、大きく3つあります。自社の防御に投資すること。保険でリスクを移すこと。そして、データやシステムをどの国の法と力の下に置くかを選ぶことです。これまでの議論は、前の2つに集中してきました。3つ目は、すでに企業の手の中にあります。

「データを国外に移す」と聞くと極端な話に聞こえるかもしれません。実際は、もっと地味な判断の積み重ねです。

• 基幹システムを、どのクラウド事業者の、どの国のリージョン(データセンターの所在地)に置くか
• 設計データなどの重要な知財を、日本の本社と海外の子会社のどちらで管理するか
• 契約や紛争のときの準拠法と裁判の管轄を、どの国にするか
• サイバー保険を、どの国の市場で手当てするか

どれも、コスト、規制、人材、顧客との距離を比べて決められます。ここに「攻撃を受けたとき、その国の当局は何をしてくれるか」という評価軸が加わったらどうなるか。これが、この記事の問いです。

なお、データを国内に置くことは法律や認証で一律に求められているわけではありません。たとえば政府のクラウド評価制度ISMAPについては、管理基準を全文検索して確かめた記事に整理しました。

合理的な判断が積み重なると、国の形が変わる

仮の例で考えてみます。海外の顧客と取引し、設計データと製造ノウハウを持つ製造業の会社があるとします。同業他社がランサムウェアで工場を止めたニュースを、毎年のように見てきました。

この会社の経営者にとって「重要データの保管と運用を、攻撃者を実際に摘発している国の事業者に任せる」という判断は、裏切りではありません。株主に対する責任を果たすための、合理的なリスク管理です。しかもこの判断は、発表されません。システムの更新時期に合わせて、静かに選ばれます。

個々の会社には合理的な判断が、社会全体では望ましくない結果を生む。経済学で「合成の誤謬」と呼ばれる現象です。たとえば、映画館で前の席の人が立ち上がったら、後ろの人も立たざるを得ず、全員が立ったのに見やすさは誰も改善しない、という状況に似ています。一社が重要データを国外に置いても、日本の安全保障はほとんど変わりません。けれども、多くの企業が同じ理由で同じ判断をすれば、国内に残るものの総量が減り、国が守る動機も能力も弱まります。

国が実際に「守る」姿を見せている例はあります。2024年2月、英国の国家犯罪対策庁と米連邦捜査局が主導した国際作戦「Operation Cronos」は、ランサムウェア集団LockBitの基盤を制圧し、1,000を超える復号鍵を入手して被害者の支援に回しました。逮捕や起訴、資産の凍結なども組み合わされています¹¹。

ここでひとつ付け加えます。他国に守ってもらえるとは限りません。他国の当局が第一に守るのは、自国の企業と国民です。それでも日本企業が移るとしたら、それは日本に残る場合の期待が、さらに低いと感じられるからでしょう。

取引先、投資家、保険会社が、選別を後押しする(筆者の見方)

データの置き場所を決めるのは、自社だけとは限りません。以下は、私の見立てです。

海外の大手メーカーや防衛関連の企業と取引するなら、取引先から一定のセキュリティ基準を求められます。その基準を満たす近道が、要件に慣れた海外事業者の基盤に載せることだとすれば、企業はそれを選ぶでしょう。機関投資家が投資先のサイバーリスクを評価する際に、攻撃時に当局がどこまで動くかを項目に入れる日も、ありえます。保険会社が、データの置き場所によって保険料や条件を変える可能性もあります。

こうして、企業が自分で国を選び直す前に、取引先や投資家、保険会社が、企業に選び直させるかもしれません。

流出は連鎖する

データの置き場所が国外へ向かうと、動きはデータだけで終わらないと考えています。

1. データ。設計情報、顧客情報、操業データの保管と処理が国外に移ります
2. 計算資源。データのある場所で処理するのが効率的なので、データセンターやAIの計算基盤への需要も国外へ向かいます
3. 技術。大規模なシステムを設計し運用する経験が、国外の事業者に蓄積されます
4. 人材。経験を積める場所に、技術者が集まります
5. 投資。人材と技術が集まる場所に、資金が向かいます

生成AIの時代、データは製品の競争力を決める原材料です。製造業の操業データ、図面、検査記録。日本企業に固有のデータは、それで学習させたAIの性能を左右します。法的に日本企業の所有物であっても、どの国の当局がアクセスを求められるか、紛争のときにどの国の法律が優先されるかは、置き場所によって変わります。

データセンターは、建てるまでに数年かかります。需要が国外へ向かえば、国内で建てる理由が弱まり、一度建った場所には事業者と人材が集まっていきます。サイバー防御の技術の多くは、大規模なシステムを運用し、実際の攻撃を受けて対処した経験からしか生まれません。その経験が国外に溜まれば、日本の技術者が触れられるのは、管理画面の設定と、障害時の問い合わせ窓口までになってしまいます。

すでに、数字には兆候があります。総務省の情報通信白書によれば、コンピュータサービス、著作権等使用料、専門・経営コンサルティングの3つを合わせた収支は、2024年に約6.7兆円の赤字、2025年も約6.6兆円の支払超過でした¹²。なお、この区分にはデジタル以外のサービスも含まれます。これは国内に落ちるはずだった売上と雇用の裏返しでもあります。ただし、赤字の拡大は主に海外サービスの競争力で説明できるもので、サイバー防衛の差が原因だと示すものではありません。

防衛産業が育たない国になる

サイバーセキュリティの産業は、国家が最初の顧客になって育つ面があります。米国やイスラエルでは、国防や情報機関が高度な技術を必要として大きな予算を使い、そこで経験を積んだ技術者が独立して企業を興しました。

ここで見落とされがちなのは、攻撃と防御が表裏一体だという点です。攻撃者がどう侵入し、どう痕跡を消すかを深く知らなければ、それを見抜く製品は作れません。国が攻撃者に能動的に動かなければ、この種の技術への国内の需要が生まれにくく、企業も技術者のキャリアも育ちにくくなります。

日本企業が使うセキュリティ製品の多くは、すでに海外製です。製品は、導入先のシステムの深くまで入り込み、何を攻撃として検知するかの判断基準も、作る側が決めます。有事に、その判断が日本の利益と一致する保証はありません。

だから私は、能動的サイバー防御を安全保障政策であると同時に、産業政策でもあると考えています。分析基盤、脅威情報、機器を解析する技術を国内の事業者や研究機関から継続的に調達すれば、それが国内産業の需要になります。すべてを海外製品に頼るなら、制度は動いても、国内に技術は残りません。

日本には強みもあります。ひとつは製造業の現場です。止めてはいけない設備、数十年使われる機器、独自の通信方式。工場や重要インフラの制御システムの防御は、日本が世界に先駆けて強みを作れる分野でしょう。もうひとつは、日本語と日本の商慣行です。日本企業を狙う攻撃の多くは、日本語の文面や業務の手順を悪用します。海外製品が拾いきれない部分を、国内の事業者が担う余地は大きいはずです。強みを産業に変えるには、国が最初の顧客になり、現場で試す機会を提供することが欠かせません。

一度出たものは、なぜ戻りにくいのか

景気の波のように、出ていったものが戻ってくるなら、心配は小さくて済みます。そうならない理由は、少なくとも4つあります。

1つ目は、移行のコストです。基幹システムの置き場所の変更は、数年がかりの大事業で、多くの企業にとって10年に一度あるかないかの判断です。移った先で問題なく動いているなら、日本の防衛力が改善したからといって、多額の費用をかけて戻る理由は乏しくなります。

2つ目は、周辺の仕組みが移行先に合わせて作り変えられることです。運用の人材と委託先、監視、監査、保険、取引先とのデータ連携が、すべて組み直されます。

3つ目は、人材と技術の蓄積です。大規模なシステムを運用し、本物の攻撃に対処した経験は、お金を積んですぐ買い戻せるものではありません。

4つ目は、守る動機が弱まることです。重要なものの多くが国外にあれば、国内の防衛力強化に予算を割く政治的な理由も弱くなります。「どうせ大事なものは海外のクラウドにある」という認識が広がれば、防衛投資は後回しにされます。

日本は、これに似た変化を一度経験しています。1980年代後半から2000年代にかけての、製造業の海外移転です。その後に円安が進んでも、移った工場の多くは戻りませんでした。工場の閉鎖は地域の雇用に直結してニュースになりますが、データの置き場所の変更では、誰も記者会見を開きません。だからこそ、気づいたときには手遅れになっている可能性があります。

時間の目安もあります。企業の基幹システムは、おおむね5年から10年ごとに大きく更新されます。いま多くの企業が、クラウドへの移行やAIを前提とした業務の作り直しに取り組んでいます。この更新で選ばれた置き場所は、次の更新まで変わらないでしょう。つまり、これから数年に日本が示す対応が、その後10年の配置を左右します。通信情報の利用が始まる2027年秋は、まさにその時期に重なっています。

この議論はどこまで正しいのか

ここまでの筋道に、有力な反論があります。主張を強くするためにも、正面から検討しておきます。

反論1は「国外に移しても、攻撃は止まらない」です。その通りです。米国でも、石油パイプラインや医療決済の大手がランサムウェアで深刻な被害を受けました。LockBitも、基盤を制圧されたあと、数日で新しい拠点を立ち上げています。ただ、私の主張は「国外に移れば安全になる」ではありません。「企業がそう判断する誘因が生まれる」です。企業の判断は、実際の安全性だけでなく、被害を受けたときに誰が動くかという期待にも左右されます。

反論2は「移転先の国が、日本企業を守ってくれるとは限らない」です。これも重要な指摘で、本稿の結論をむしろ補強します。完全には守られなくても移るとしたら、それは日本に残る場合の期待がさらに低いからです。そして移った企業は、他国の利益に自社の安全を預ける立場になります。これが、デジタル主権を失うということの意味です。

反論3は「反撃は、誤爆と対立の拡大を招く」です。攻撃者の特定は難しく、偽装もあります。誤った相手に措置をすれば、無関係な第三者の機器を壊します。日本の制度が事前承認などの厳しい手続きを置いているのは、このためです。私は手続きを省いてよいとは思いません。求めているのは、手続きを守ったうえで、実際に使い、その実績を示すことです。

反論4は「通信の秘密と、政府の権限拡大への懸念」です。国が通信を分析し、他人の機器に遠隔でアクセスする権限は、市民の自由と緊張関係にあります。国の能力を高めることと自由を守ることは、どちらかを選ぶ問題ではなく、両方を満たす設計が求められる問題です。

反論5は「報告義務は、罰ではなく社会全体の防御のためにある」です。趣旨としては、その通りだと思います。ただ、企業から見て、報告の見返りが目に見えるかどうかが問われます。報告したことで攻撃者が摘発された、同じ手口の攻撃が止まった。そうした結果が示されなければ、報告は一方的な負担にしか感じられません。

反論6は、いちばん根本的です。「企業が反撃してくれる国を理由に、実際にデータを移している証拠はあるのか」。現時点で、それを示す体系的なデータは見当たりません。企業が置き場所を選ぶ理由は、主に性能、価格、規制対応、人材です。逆に、経済安全保障の観点から国内に置くよう促す政策や、政府向けのクラウド基盤の整備も進んでいます。

ですからこの記事は、すでに大規模な流出が起きているという報告ではありません。今の誘因の構造を放置すれば、その方向へ力が働き続けるのではないか、という警告です。力の大きさは、今後の検証が必要です。ただ、不可逆な変化については、証拠がそろってから動いたのでは遅いとも感じています。

反論の多くは「どう反撃するか」への注意点であって、「反撃しなくてよい」という結論は導きません。誤爆は厳格な手続きで抑えられます。市民の自由は独立した監督で守れます。報告義務は、見返りを示すことで、負担から協力に変えられます。一方、反撃しないことの危険は、手続きでは抑えられません。

国と企業にできること

打ち手の目的は、ひとつです。攻撃のコストを払う側を、被害企業から、攻撃者へ戻すことです。

国に期待したいこと

1. 能動的サイバー防御を「使う制度」にする。守秘すべき部分は守りつつ、件数と概要、効果を、監理委員会の国会報告などで示してほしいと思います。使われない権限は、攻撃者にとって存在しないのと同じです
2. 攻撃主体の特定と公表を、同盟国と組んで続ける。公表した主体を、起訴や制裁、資産凍結と組み合わせます
3. 通信情報の利用を、監督を効かせたうえで、予定どおり始める。攻撃元を見つける目がなければ、止める手も十分に働きません
4. 報告した企業が報われる仕組みにする。報告が他社の防御にどう役立ったかを還元し、誠実に報告した企業の訴訟上の不利益を和らげるセーフハーバーを検討します
5. 対象の線引きを見直す。GMOのように、法律上の基幹インフラに当たらなくても、被害が国民の財産に広く及ぶ事案があります。被害の広がりに応じて国が関与できるようにします
6. 国内の防衛産業を、需要の側から育てる。国が最初の顧客になり、継続して発注します

企業にできること

国の対応を待つ間も、できることは多いです。そして、それは国外移転以外の選択肢を残すことにもつながります。

• 復旧できる設計にする。同じ場所のバックアップは、一緒に暗号化されるおそれがあります。ネットワークから切り離したバックアップと、手作業でも最低限の業務を回せる手順を用意します
• データの置き場所を、意図して選ぶ。重要度に応じて分類し、国内に置くもの、海外でよいものを決めます。既定の設定に任せたままにしません。考え方の全体像は、データ主権を守るAIセキュリティ戦略で書きました
• 国内の技術を使い、育てる。同等の性能なら国内の事業者を選ぶことが、国内に経験と人材を残す、いちばん直接的な方法です
• 国と情報を共有する。報告義務の有無にかかわらず、攻撃の情報を当局や業界団体に共有します。攻撃者を特定する材料は、被害企業の手元にあります
• 相談先を、被害の前に把握する。IPAや警察の相談窓口、中小企業向けのサイバーセキュリティお助け隊が代表的です

被害にあった直後の動き方は、被害にあったときの初動に、中小企業の優先順位は、PCと端末の対策チェックリストにまとめています。自社の備えを手早く点検したい方は、AIリテラシー診断も使えます。

最初の数年の優先順位

すべてを同時には進められません。私なら、次の順番をつけます。

第一に、最初の実績を作ること。能動的サイバー防御が実際に使われ、効果を上げた事例を、示してよい範囲で社会に見せます。最初の一件は、制度が飾りではないことを、企業と攻撃者の両方に伝えます。第二に、報告と還元の循環を作ること。報告が始まった今、集まった情報を素早く分析し、他の事業者の役に立つ形で戻します。第三に、国内の技術と人材への継続的な投資です。成果が出るまでに時間がかかるので、早く始めるほどよいと考えています。

この3つは互いを支えます。実績が報告を促し、報告が分析の材料になり、分析が国内の技術を鍛え、鍛えられた技術が次の実績を生みます。流出の連鎖を止められるのは、この循環だと思います。

おわりに

サイバー攻撃の被害は、普通は金額で語られます。アスクルなら売上の減少と52億円の特別損失、GMOなら利用者の口座から失われた資金と補償の費用です。

けれども私は、反撃しないことの本当のコストは別のところにあると考えています。企業が、国を信頼しなくなることです。攻撃を受けても国は攻撃者に何もしない。それどころか、被害を受けた自社に報告と説明の責任ばかりが積み上がる。そう感じた企業は、データの置き場所を、より頼りになる国のほうへ静かに移していくかもしれません。

日本は2026年10月、能動的サイバー防御という新しい道具を手にしました。長い議論の末に得た、大きな一歩です。ただし道具は、使われて初めて意味を持ちます。攻撃者を特定し、基盤を止め、同盟国と組んで代償を払わせる。その実績を、手続きの正当性を守りながら積み上げられるか。これからの数年が勝負だと思います。

かつて、企業は国を選べませんでした。いまはクラウドの設定画面ひとつで、データを置く国を選べます。企業が国を選び直す前に、まず国が、企業を守る意思と力を見せられるか。その結果は、この国にデータと技術と人材を置き続ける理由そのものを左右します。

この記事をきっかけに、自社のデータがどこにあり、被害を受けた日に誰に何を連絡するのかを、一度紙に書き出してみてください。復旧の手順や社内ルールの整え方に迷う場合は、当社のWARP SECURITYも選択肢になります。攻撃手口の解説より、社内の承認や発覚時の判断といった、平時の備えに時間を割く研修です。ご相談は個別相談からどうぞ。

参考

事実関係は、2026年11月5日時点の公表資料と報道に基づいています。緊急対策パッケージの最終内容と、GMOインターネットの事案の原因は、確認できた範囲では未確定です。

Footnotes

1. サイバー対処能力強化法等の施行について — 内閣官房 国家サイバー統括室、内閣府 — 2026年9月。GMOインターネットの発表内容(2026年10月24日)と政府の反応は、Impress Watchの報道を参照しました ↩ ↩² ↩³ ↩⁴ ↩⁵ ↩⁶ ↩⁷

2. アサヒ障害原因はランサムウエア — 秋田魁新報 — 2025年10月3日、アサヒ障害1カ月復旧めど立たず — 秋田魁新報 — 2025年10月29日、アサヒ サイバー攻撃の時系列まとめ — 一般報道を整理した解説記事 ↩

3. アスクルのランサムウェア攻撃被害による影響は？ — ネットショップ担当者フォーラム — 2026年1月29日。特別損失の金額は、中間期(2025年6〜11月期)が52億円、通期が51億円と報じられています ↩

4. サイバー安全保障分野の取組に関する内閣官房の参考資料(警察庁の観測データを引用)。ダークネット向けの攻撃通信を含むパケットのうち、99.4%が海外のIPアドレスを発信元とする、との注記があります ↩

5. GMOが能動的サイバー防御の適用を要請 — Impress Watch ほか、各報道を整理 — 2026年10月 ↩

6. サイバーセキュリティに関する関係閣僚会議(第1回) — 首相官邸 — 2026年10月26日、政府、サイバー攻撃の「緊急対策パッケージ」来週中に策定へ — ITmedia NEWS — 2026年10月27日 ↩

7. アスクル、ランサムウェア攻撃の調査結果と再発防止策に関する報告書の公表を伝える報道 — ビジネス+IT — 2025年12月12日 ↩

8. 「個人情報の保護に関する法律等の一部を改正する法律」公布 — ScanNetSecurity — 2026年7月29日。2026年7月10日に成立、7月17日に公布。課徴金の対象行為の詳細は、個人情報保護委員会の公表資料でご確認ください ↩

9. Directive (EU) 2022/2555 (NIS2) Article 34 — EUR-Lex ↩

10. 令和８年上半期におけるサイバー空間をめぐる脅威の情勢等について — 警察庁 — 2026年9月。中小企業の割合は、報告の件数から筆者が計算しました ↩

11. LockBit: How an international operation seized control of the world's most harmful cybercrime group — World Economic Forum — 2024年2月。復号鍵の数は、2024年2月の発表時点の「1,000以上」です ↩

12. 令和8年版 情報通信白書 ICT分野の輸出入 — 総務省、令和7年版 情報通信白書 デジタル関連項目のサービス収支の動向 — 総務省 ↩