- share :
サイバー攻撃を受けた後、パッチ適用とシステム再起動が終われば復旧は完了したと感じてしまいがちです。しかし現在、世界のセキュリティ当局が発している警告は、その感覚を根本から揺さぶっています。
米国CISAはMicrosoft SharePoint Serverのゼロデイ脆弱性について、修正プログラム適用の後にマシンキーのローテーションを行わなければ、正規の利用者を装った侵入が続く可能性があると呼びかけました。この事実は、システムを直すことと安全な状態を取り戻すことが同じではなくなったことを意味します。
本記事では、中小企業の経営者と情報システム担当者に向けて、復旧の意味がどう変わっているのか、そしてサイバー攻撃を受けた企業が「復旧完了」と判断する前に何を確認すべきかを整理します。読み終えたときには、技術部門任せにしていた復旧を、経営判断として捉え直すための視点を得られるはずです。
【本記事の要点】
- サイバー攻撃後の復旧は「システム復旧」で終わらず、「事業復旧」と「信頼の再構築」まで含めた3層で捉える必要がある
- SharePointの脆弱性が示したように、暗号鍵やトークンが盗まれた場合、パッチ適用後も攻撃者が正規利用者として活動できる
- 中小企業のサイバー被害は取引先の約7割へ波及するとされ、復旧は経営判断であり広報判断でもある
- 平時のうちに「復旧完了の判断基準」「外部専門事業者との接点」「関係者への説明順序」を決めておくことが、事後の混乱を最小化する
サイバー攻撃後の「復旧」に起きている根本的な変化
これまで「復旧」という言葉は、壊れた箇所を修理し、停止した業務を再開することを指してきました。しかし近年の攻撃手口は、システムの正常稼働と安全性の一致を崩しつつあります。
この章では、CISAの警告が示した「認証情報の窃取」が復旧の意味をどう変えたのかを整理します。
システムが動くことと安全であることは違う
結論から言えば、現在は「システムが動作していても安全とは限らない」といった状況が現実になっています。理由は、攻撃者が脆弱性を悪用する過程で、認証に使われる暗号鍵、セッショントークン、管理者アカウントの情報を持ち出す事例が増えているためです。
たとえばCISAが2025年7月に警告したMicrosoft SharePoint Serverの複数のゼロデイ脆弱性では、パッチ適用前に攻撃者がマシンキーを取得していた場合、脆弱性を修正した後も正規の署名済みリクエストを偽造できる可能性が示されました。これは、修理は済んでも、鍵の複製を持った第三者が屋内に残っている状態と同じです。復旧を「動くかどうか」で判断していた企業は、この前提を見直す時期に来ています。
認証情報の窃取が意味すること
認証情報が盗まれるということは、デジタル上の「本人確認」の仕組みそのものが破られることを意味します。パスワードが盗まれた場合は変更すれば足りますが、マシンキーやAPIトークンが盗まれた場合、それらを発行し直し、既存の認証情報を無効化する作業が必要です。
この作業は影響範囲が広く、社員のログイン時に使用するパスワードだけに留まりません。
- 外部システムとの連携
- 取引先との自動連携
- クラウドサービスとの接続
こうした、自社のシステムが少しでも接点を持つあらゆる方向にまで波及します。中小企業にとって、この規模の再設定は業務停止時間の長期化と、取引先への追加説明を伴う経営判断となります。
出典・参照：
中小企業を襲うサイバー被害の現実
復旧の意味が変わっていると聞いても、自社にどこまで関係するのか実感が湧きにくいかもしれません。この章では、国内統計から中小企業のサイバー被害の実態を確認し、平均値の裏に隠れている取引停止や信用毀損のコストを見ていきます。
平均被害額と復旧期間の統計
IPAが2025年2月に公表した『2024年度中小企業等実態調査結果（速報版）』によれば、過去3期でサイバーインシデントが発生した企業の被害額平均は73万円、復旧までの平均は5.8日でした。ただし、被害額が100万円以上の企業は9.4%、復旧に50日以上を要した企業は2.1%存在します。平均値だけを見れば軽微に見えますが、その数字の影には事業継続を揺るがす被害が確実に存在しているのです。
さらに警察庁の令和6年統計では、ランサムウェア被害からの復旧費用が1,000万円以上に達した企業が全体の約37%を占めたと報告されました。企業としては、平均値がそれほどではないからと安心せず、「自社が被害を受けた場合に耐えられるか」で備えを設計する視点が求められるのです。
出典・参照：
サイバードミノ：取引先への波及
経済産業省は2025年2月19日、中小企業へのサイバー攻撃被害の約7割が取引先にも影響する「サイバードミノ」の実態を公表しました。サイバードミノとは、攻撃を受けた中小企業がサプライチェーンの中で部品供給や受発注データ連携を担っている場合、自社の停止が取引先の生産や物流へ連鎖するといったまさに「ドミノ倒し」のような被害を刺しています。
サイバードミノの結果、被害を受けた企業は単なる被害者ではなく、取引先に迷惑をかけた当事者としても説明責任を負う立場になってしまうのです。つまり、復旧の完了を宣言する前に、取引先に対して「何が起き、どこまで安全が確認されたか」を伝えられる状態を整えることが、事業継続そのものに直結します。
出典・参照：
SharePoint脆弱性が示した「暗号鍵ローテーション」の意味
本記事の主役ニュースであるCISAのSharePoint脆弱性警告は、技術的な話題として片付けられがちです。しかし、この事例が示したのは特定製品の欠陥ではなく、復旧手順の設計思想そのものへの問いかけでした。
この章では、パッチ適用の後に暗号鍵ローテーションが必要になる理由と、その考え方がVPN機器などにも広がっている現状を整理します。
パッチだけでは終わらない理由
パッチ適用は脆弱性という「扉の鍵穴の欠陥」を修理する作業です。しかし攻撃者がすでに侵入し、扉を通るための「鍵そのもの」を複製していた場合、鍵穴を直しても複製された鍵はそのまま使えてしまいます。
SharePointのマシンキーは、サーバーが利用者や他システムからのリクエストを正規のものと判断するために使う署名鍵です。この鍵が盗まれると、攻撃者は正規の署名を持つリクエストを作成でき、システムから見れば区別がつきません。
CISAはこのため、パッチ適用に加えてマシンキーのローテーション、つまり鍵の入れ替えと無効化を運用手順に組み込むよう求めています。
VPN機器も安全な入口ではなくなった
補強となる事例として、CISAはSonicWall SMA 1000などのVPN製品についても、実際に悪用されているゼロデイ脆弱性を警告しました。VPNは社外から社内ネットワークへ接続する利用者を信頼するための入口です。その入口自体が攻撃対象になっているという事実は、境界機器を「安全な前提」として扱えなくなっていることを示しています。
中小企業ではリモートワークや取引先接続にVPNを使っている場合が多く、この認識の転換は現場運用に直接影響します。ゼロトラストという言葉を全社的に導入する必要はありませんが、少なくとも「入口を通ったから安全」という発想は改める段階に来ているのです。
出典・参照：
執筆者
DXportal®運営チーム
DXportal®編集部
DXportal®の企画・運営を担当。デジタルトランスフォーメーション（DX）について企業経営者・DX推進担当の方々が読みたくなるような記事を日々更新中です。掲載希望の方は遠慮なくお問い合わせください。掲載希望・その他お問い合わせも随時受付中。