チップス
どんぐり大学卒、一般企業の情報システム部で働く若手エンジニア。
入社1〜3年目らしい悩みを抱えつつ、日々の運用やセキュリティ対応に奮闘中。慌てんぼうだが素直で吸収力が高く、ボスに鍛えられながら着実に成長している。
ボス
セキュリティ、インフラ、運用の修羅場をくぐってきた歴戦のエンジニア。サイバーセキュリティラボの所長でボスと呼ばれている。
現場視点と経営視点の両方から、本当に使えるセキュリティとキャリア戦略を叩き込む。口は悪いが面倒見はよく、若手育成と実践的な情報発信に力を注いでいる。
@boss_sec_labo
「ランサムの被害件数が過去最多なのに、身代金は減っているってどういうこと？」
「中小企業を経由して大企業が狙われるって、自社では何を見直せばいいの？」
チップスボス、ランサムの被害が日本で過去最多って報道があったでしゅ。それなのに身代金は減っているって、なんだか矛盾してるでしゅ…
ボスふふふ、いい疑問だ。
件数が増えるなか身代金総額が減っているのは、攻撃者の標的が大企業だけでなく支払い能力の低い中小にまで広がっている裏返しだな。
中小企業を踏み台にしてサプライチェーンの先にある大企業を狙う手法が定着しつつある。
サプライチェーン全体を視野に入れた防衛が必要な時代になっています。
本記事では2026年の最新動向と、自社で着手できる委託先対応のポイントを整理しました。
記事を読むことで、委託先評価とインシデント対応の優先順位が短時間で見えてきます。
オススメ求人・フリーランス案件
【脆弱性管理・診断基盤の内製化推進】東京都（フルリモート）／ツール導入・セキュリティ運用
【セキュリティ企画推進・コンサルタント】大阪（リモート併用）／セキュリティ戦略・ポリシー策定
【セキュリティ基準準拠・運用改善支援（NIST・ISMS）】豊洲（リモート併用）／PMO
【社内セキュリティ技術コンサルティング】東京・渋谷（常駐）／インフラ全般・設計レビュー・最新技術調査
【セキュリティサービス基盤の環境改善支援】東京・武蔵小杉（フルリモート）／AWS・マルチクラウド・構成改善
【インフラセキュリティ・脅威検知構築】東京・六本木（常駐）／Azure・ゼロトラスト・AD
【Zscalerゼロトラストネットワーク運用】東京・調布（リモート併用）／設計・構築・運用
【特権ID管理システム導入支援（Secret Server）】東京・京橋（常駐）／要件定義・設計・構築
【Splunk CloudおよびSplunk ES環境におけるSOC運用】全国（フルリモート）／セキュリティログ解析・監視
【銀行向けサイバーセキュリティチーム支援】中野（原則オンサイト）／AI悪用対策・SOC・CSIRT・インシデント対応
社内SE【年収700～1500万円】セキュリティ・インフラの構築・運用
【東証プライム】情報セキュリティマネージャー候補・事業成長支援（850～1100万円）
【年収500〜800万円】日立グループ｜自動車サイバーセキュリティコンサルタント（横浜・在宅可）
【三菱地所グループ】セキュリティエンジニア（マネジメント・エンジニアリング）年収628〜1200万円
【社内セキュリティ推進室長】800〜1100万円｜人材大手ディップ・リモートOK
KADOKAWAグループ向けセキュリティコンサルタント｜個人情報管理・相談対応（テレワーク）
【年収750〜1200万円】グローバル7拠点・プロダクトセキュリティエンジニア（東京）
情報セキュリティ・プライバシーガバナンス スペシャリスト【900～1300万】
セキュリティ・プライバシー基盤構築【600～1000万円】
【1000～2400万円】EDR/エンドポイントセキュリティ領域のリード採用
2026年に入り、日本国内のランサムウェア被害件数は過去最高水準を更新しています。
同時に、攻撃者が中小企業を起点にサプライチェーン全体を狙う構図がはっきりしてきました。
ボス件数が増えても支払総額が減るのは、被害企業が支払いを拒む流れが定着してきた一面もあるな。
2025年のランサム関連の暗号資産送金額は2,000万ドルにとどまり、2024年の9,200万ドルから大きく減少しました。
一方で被害報告件数は過去最高を更新し、攻撃の発生頻度は明らかに増えています。
身代金を払わずに復旧する企業が増えた結果でもあり、攻撃者は数を稼ぐ方向にシフトしています。
結果として狙いやすい中小企業や委託先の被害が目立つ流れになっています。
チップスうちは大企業じゃないから狙われない、っていうのは通用しないんでしゅ？
NRIセキュアが2026年2月に公表した調査では、75.4%の組織が複雑化するサイバー脅威に対し何らかの対応準備を進めていると回答しました。
同時に、対応の進捗を把握できないことや人員・予算不足が課題として挙げられています。
委託先のフォーマットの違いや評価基準のばらつきも、リスクを見えにくくする要因です。
実際の攻撃では、認証情報の窃取やVPN・ファイルサーバの悪用を起点に本社環境まで侵入する事例が報告されています。
中小企業を踏み台にしたサプライチェーン攻撃には、典型的な手口と被害パターンがあります。
ボス取引先のVPNから本社に潜り込まれるパターンが特に厄介だな。
典型的な侵入経路と被害の流れは以下のように整理できます。
| 段階 | 典型的な手口 |
|---|---|
| 初期侵入 | 中小企業や委託先の認証情報窃取、フィッシング、未パッチVPNの悪用 |
| 横展開 | 共有ファイルサーバや管理用VPN経由で取引先・本社環境へ侵入 |
| 被害拡大 | 業務システム停止、設計データや個人情報の窃取、二重恐喝 |
1社の弱点が、結果的にサプライチェーン全体の停止につながる構造です。
ボス業界として情報を共有しようという動きが出てきた。
これは前向きな兆候だな。
2026年4月には流通BMS推進協議会、トライアル・ホールディングス、OKI食品が「流通ISAC」の設立を発表しました。
流通業界の事業者がインシデントや脅威情報を共有し、協調して防御力を上げる仕組みです。
金融・電力分野で先行していたISACモデルが流通にも広がり、業界横断の連携防御が現実的な選択肢になってきました。
同様の枠組みを自社の業界・取引網に当てはめて準備しておくと、有事の対応速度が大きく変わります。
ボスサプライチェーンを守るには、自社単独の防御から一歩踏み出す必要があるな。
件数増・身代金減という数字の裏側には、攻撃者の戦術転換と中小企業の苦境があります。
自社対応に加え、委託先の状況把握と業界連携への参画を視野に入れた多層防御が求められます。
明日から手を打てる施策は以下の通りです。
チップスうちと取引先と業界、3つの視点で見直すんでしゅね。早速委託先リストの棚卸しから始めるでしゅ！
オススメ求人・フリーランス案件
【脆弱性管理・診断基盤の内製化推進】東京都（フルリモート）／ツール導入・セキュリティ運用
【セキュリティ企画推進・コンサルタント】大阪（リモート併用）／セキュリティ戦略・ポリシー策定
【セキュリティ基準準拠・運用改善支援（NIST・ISMS）】豊洲（リモート併用）／PMO
【社内セキュリティ技術コンサルティング】東京・渋谷（常駐）／インフラ全般・設計レビュー・最新技術調査
【セキュリティサービス基盤の環境改善支援】東京・武蔵小杉（フルリモート）／AWS・マルチクラウド・構成改善
【インフラセキュリティ・脅威検知構築】東京・六本木（常駐）／Azure・ゼロトラスト・AD
【Zscalerゼロトラストネットワーク運用】東京・調布（リモート併用）／設計・構築・運用
【特権ID管理システム導入支援（Secret Server）】東京・京橋（常駐）／要件定義・設計・構築
【Splunk CloudおよびSplunk ES環境におけるSOC運用】全国（フルリモート）／セキュリティログ解析・監視
【銀行向けサイバーセキュリティチーム支援】中野（原則オンサイト）／AI悪用対策・SOC・CSIRT・インシデント対応
社内SE【年収700～1500万円】セキュリティ・インフラの構築・運用
【東証プライム】情報セキュリティマネージャー候補・事業成長支援（850～1100万円）
【年収500〜800万円】日立グループ｜自動車サイバーセキュリティコンサルタント（横浜・在宅可）
【三菱地所グループ】セキュリティエンジニア（マネジメント・エンジニアリング）年収628〜1200万円
【社内セキュリティ推進室長】800〜1100万円｜人材大手ディップ・リモートOK
KADOKAWAグループ向けセキュリティコンサルタント｜個人情報管理・相談対応（テレワーク）
【年収750〜1200万円】グローバル7拠点・プロダクトセキュリティエンジニア（東京）
情報セキュリティ・プライバシーガバナンス スペシャリスト【900～1300万】
セキュリティ・プライバシー基盤構築【600～1000万円】
【1000～2400万円】EDR/エンドポイントセキュリティ領域のリード採用
