ランサムウェア対策、中小企業の制作会社は「自社が入口」になる前に──多要素認証、権限、退職者、端末の4点で、顧客サイトへの踏み台を断つ

この記事は、ランサムウェアの被害が中小企業に広がるなかで、Web制作会社が自社の端末とアカウントを守り、顧客サイトへの入口にならないための対策を扱います。

止まるのは、自社の仕事だけではない

ある朝、社員のパソコンのファイルが開けなくなります。
共有フォルダには、顧客ごとのサーバーと管理画面のログイン情報をまとめた一覧がありました。

社長が最初にすることは、復旧の手配ではありません。
すべての顧客に連絡し、パスワードの変更をお願いすることです。

制作会社のランサムウェア被害は、自社が止まるだけでは終わりません。
預かっていた鍵が、まとめて持ち出されたかもしれないからです。

制作会社のランサムウェア対策とは、自社が止まることと、預かった鍵が持ち出されることを、同時に防ぐことである

黒字化の外科医です。中小の制作会社が、顧客への踏み台にならないための守り方を解剖します。

この二つを同時に考える理由は、三つあります。

第一に、被害の中心は中小企業だから。
警察庁「令和7年におけるサイバー空間をめぐる脅威の情勢等について」（令和8年3月）では、令和7年のランサムウェアの被害報告件数は226件で、規模別では中小企業が約6割を占めています。

第二に、入口は「外から入れる機器とアカウント」だから。
同じ資料では、被害組織へのアンケートで侵入経路はVPN機器が6割以上とされ、攻撃者は未修正のぜい弱性、漏えいした認証情報や簡易なパスワード、設定の不備を悪用すると説明されています。

第三に、止まったときの損失が大きいから。
同じアンケートでは、復旧に総額1,000万円以上を要した組織が5割を超え、サイバー攻撃を想定した業務継続計画（BCP）を策定済みの組織は約18%でした。

今すぐ試せる：自社のアカウントと端末を棚卸しするプロンプト

私はWeb制作会社の経営者です。ランサムウェアとアカウント乗っ取りに備えて、自社の弱い所を洗い出してください。

【前提】
・社員と外注先の人数：〔　〕
・使っているサービス（メール、チャット、ファイル共有、クラウドの開発環境など）：〔　〕
・各サービスの多要素認証の設定状況：〔　〕
・社外から社内に入る方法（VPN、リモートデスクトップなど）：〔　〕
・顧客のログイン情報の保管場所：〔　〕

1. 乗っ取られたときに、顧客サイトまで被害が広がるサービスを順に並べる。
2. 多要素認証が設定されていないものを、優先順に挙げる。
3. 退職者・契約が終わった外注先のアカウントが残っていそうな所を挙げる。
4. 今週できる対策と、来月までにやる対策に分ける。

乗っ取り対策工場：多要素認証、権限、退職者、端末

4点チェック

【多要素認証】
□ メール、チャット、ファイル共有に、全員分の多要素認証を設定した
□ 顧客のサーバー・ドメインの管理画面も、設定できるものは設定した
□ パスワードは長く、複雑にし、使い回さない（IPAの呼びかけのとおり）

【権限】
□ 顧客ごとのログイン情報を、担当者だけが見られる場所に分けた
□ 管理者の権限を持つ人を、2〜3人に絞った
□ 外注先には、案件ごとに必要な範囲だけを渡した

【退職者・外注先】
□ 退職・契約終了の当日に止めるアカウントの一覧がある
□ その人が触れた顧客サイトのパスワード変更を、顧客に依頼する手順がある

【端末】
□ OSとソフトの更新を、本人任せにせず月1回確かめている
□ VPN機器など、外から入る入口の機器も更新の対象に入れている
□ バックアップを、社内のネットワークから切り離した場所にも持っている

退職のときの引き継ぎとアカウントの整理は、こちらで扱っています。

▶ 【引き継ぎ設計キット】制作会社の「1人しか知らない」をなくす──案件・顧客・アカウント・判断基準を、退職の前から仕組みにする台帳とプロンプト

止まった1日の損失の計算（例）

制作スタッフ：8人（例）
時間単価：7,000円（例）
1日の損失 ＝ 8人 × 8時間 × 7,000円 ＝ 448,000円
5営業日止まった場合 ＝ 448,000円 × 5日 ＝ 2,240,000円

これは、作業が止まった時間の値段だけです。
調査の費用、顧客への連絡、納期の遅れは含みません。対策の費用は、この数字と比べて決めます。

おかしいと気づいたときの最初の一手

1. 感染が疑われる端末を、ネットワークから切り離す
2. 慌てて電源を切らない（ログなどの痕跡が失われるおそれ）
3. 警察（各都道府県警察のサイバー犯罪の相談窓口）に連絡する
4. 顧客のログイン情報が保管場所にあったかを確認する
5. 影響があり得る顧客の一覧を作り、連絡の文面を用意する

1と2は、警察庁の同じ資料が、被害に遭ったときの対応として示しているものです。

構造的なリスク

逆説を指摘しておきます。

多要素認証や権限の絞り込みは、作業を確実に遅くします。
現場から「急ぎの修正なのに、ログインに手間取る」という声が必ず出ます。

ここで例外を認めると、例外の一つが入口になります。
共有のアカウントを減らし、担当者ごとのアカウントに切り替えることで、手間を「一人一回」に収めてください。

よくあるQ&A

Q. 10人に満たない会社でも、ここまで必要か？

人数が少ないほど、1人のアカウントで見られる顧客が多くなります。4点チェックの多要素認証と退職者の2つだけでも、今月中に始めてください。

Q. 身代金を払えば、データは戻るのか？

警察庁の同じ資料は、支払っても「復号が保証されるわけではない」と説明しています。払う前提ではなく、戻せるバックアップを持つ前提で備えてください。

Q. 顧客に、自社の対策を伝えるべきか？

伝えてください。顧客から見れば、制作会社は委託先です。対策を説明できること自体が、保守を任される理由になります。

最後に

制作会社のランサムウェア対策は、自社を守る話であり、預かった鍵を守る話です。

多要素認証、権限、退職者、端末の4点を自社から固めた会社だけが、顧客に安心して鍵を預けてもらえるのです。

顧客のID・パスワードの受け取り方と保管のルールは、こちらにまとめました。

▶ パスワード管理、顧客から預かるIDで事故を起こさない制作会社のルール──FTP・管理画面・サーバー・ドメインの受け取り、保管、返却と依頼文

これまでの記事は、メンバーシップ「黒字化オペ室」でまとめて読めます。月額1,980円、記事2本分の金額です。詳しくはプロフィールから。

#Web制作会社 #ランサムウェア #中小企業 #多要素認証 #セキュリティ対策 #アカウント管理 #退職者対応 #情報漏えい #制作会社経営 #サイバー攻撃