「サイバー攻撃」と聞いて、どんな場面を思い浮かべるでしょうか。
黒い画面に緑の文字が流れて、ハッカーと技術者がキーボードを叩き合う。バトル漫画の打ち合いみたいな攻防戦です。
先に答えを言うと、あの打ち合いは、ほぼ起きていません。実際の攻撃は2種類あって、どちらも映画のような剣の打ち合いではありません。1つは、そもそも戦いですらない。もう1つは、むしろ驚くほどゆっくりです。
サイトを持っている会社・お店の方で、「うちのサイトは大丈夫なのか不安」「誰に相談すればいいか分からない」という方のために、無料点検のご案内があります。サイトのURLだけで、外から見える範囲を点検します。
無料点検のご案内を見る →1. 時間の単位が3回変わる
攻撃の始まりから終わりまでを時計で追うと、時間の単位が途中で3回変わります。先に全体を1枚にしておきます。
攻撃の流れと時間の単位（当社作成）
2. 秒：戦いですらない。ドアノブを回しているだけ
1つ目の主役は、人間ではありません。ネットにつながっている機械を片っ端から訪ねて回るプログラムです。ここでは「ボット」と呼びます。
ボットがやっているのは、家で言えば、世界中の家のドアノブを24時間回して歩くことです。「この鍵は古い型か」「開けっぱなしになっていないか」を、住所の順に確かめていきます。表札は見ていません。会社の名前も、大きさも、業種も関係ありません。
その回数が、とんでもなく多いのです。警察庁は、日本のインターネット上に観測用の機械を置いて、こうした「弱いところを探すアクセス」がどれだけ来るかを数えています。ネット上の住所（IPアドレス）1つは、家で言えば1軒です。1軒あたりに直すと、2026年の上半期はこうでした。
同じ割合なら、この記事を読んでいる数分のあいだに、ドアノブは数十回回されることになります。それ自体は、ほとんどの場合なにも起きません。鍵が閉まっていれば、ボットは次の家に行くだけです。
開いていたら、話は数秒で終わります。古いままのPHP、誰でも開ける管理画面、最初に設定されたままのパスワード。こういうドアを見つけたら、ボットは人間を呼ばずに、そのまま入ります。
ここに「攻撃きたー！守れー！」の場面はありません。天才ハッカーに一瞬でやられたのではなく、ドアが開いていたから、自動で入られただけです。勝負は、攻撃が来る前に鍵を閉めていたかどうかで、もう決まっています。
3. 週〜月：S級は、むしろ遅い
2つ目は、本気の相手です。ここではS級と呼びます。バトル漫画なら、いきなり必殺技を撃ってくる相手を想像しそうですが、実際のS級はその逆です。入ったあと、気配を消して、ゆっくり動きます。大きな音を立てたら見つかるからです。
やることは、泥棒が家の中に何週間も住み着くのに近いです。
- 下見どの部屋に何があるか、誰がどの鍵を持っているかを、そっと見て回る。
- 奥へ移る入った部屋から、隣の部屋、その奥の部屋へと、少しずつ移っていく。
- 合い鍵を増やす管理者の鍵（何でも開けられる権限）を手に入れる。
- じっと待つ大事なデータと、予備のコピーの場所を確かめてから、動くときを待つ。
入口も、ドアを壊して入るとは限りません。合う鍵で開けて入ってきます。警察庁の調べでは、データを人質に取られて身代金を求められる被害のうち、入口の約5割は、社外から会社のネットにつなぐための機械（VPN機器）でした。直していない弱点や、漏れたパスワードが使われています。
では、どれくらい潜んでいるのか。海外のセキュリティ会社の2025年の年次調査では、入られてから見つかるまでの日数は、真ん中の値で11日でした。自分たちでは気づけず、外から知らされて分かった場合は26日です。そのあいだ、会社の中の人はふだんどおり働いています。
4. 分：「攻めろー！守れー！」は、バレた後にしか起きない
ここまでの「秒」にも「週〜月」にも、攻める側と守る側がぶつかる場面は一度も出てきませんでした。ボットは24時間、勝手にドアノブを回して開いていれば入るだけ。S級はこっそり潜むだけ。どちらも、守る側がまだ何も知らないうちに進んでいるからです。
映画で見るあの場面が出てくるのは、侵入がバレて警報が鳴った瞬間からです。そこから数分〜数時間の追いかけっこが始まります。
ただしこれは、24時間体制で見張っていて、その瞬間に気づける組織の話です。見張る人がいなければ、警報は鳴りません。追いかけっこも始まりません。
相手がデータを持ち出す、あるいは全部のファイルを開けなくする。そのゴールにたどり着く前に、守る側が閉じ込めと追い出しを間に合わせられるか。最後は数分の全力ダッシュです。攻撃の始まりから終わりまでのうち、両方が同時に動いてせめぎ合うのは、バレてからのこの時間だけです。
そして、24時間見張る担当者を置けているのは、ごく一部の会社です。小さな会社では、この追いかけっこ自体が始まらないことがほとんどです。ある朝ファイルが開けなくなって、そこで初めて気づきます。ダッシュの号令がかかる前に、もう終わっています。
5. 開いていたのは、サボったからではない
ここまで読むと、「開けっぱなしにしていた会社が悪い」と思うかもしれません。そうではありません。鍵は、放っておくと勝手に古くなるからです。
2026年10月21日の夜、PHP（多くの会社のホームページを動かしているプログラムの言語）に深刻な弱点が見つかりました。その夜まできちんと運用していた会社も、修正が当たるまでは「開いている」側に回りました。昨日まで閉まっていた鍵が、ある日から合い鍵の出回った鍵になる。そういうことが、年に何度も起きます。
サイトの証明書やドメインにも期限があります。誰かが怠けなくても、日付が来れば切れます。
警察庁の調べでは、身代金を求められる被害に遭った会社の約6割が中小企業でした。小さな会社が特別に狙われているというより、ボットが会社の大きさを見ていないからです。数が多いぶん、開いていたドアの数も多くなります。
3つの段階のうち、守る側がいちばん手を打ちやすいのは
最初の「秒」です。
それだけで、ボットの大半は次の家に行きます。
6. 自分で見られる3つ
専門の道具が無くても、確かめられることがあります。
- サイトの住所が「https://」で始まっているかブラウザの住所の欄の左に、鍵のマークが出ているか見てください。出ていなければ、送られる情報が暗号になっていません。
- 毎年の請求書（サーバー代・ドメイン代）の差出人が分かるか鍵が古くなったときに直してくれるのは、この相手です。分からないなら、そこが一番の開けっぱなしです。
- サイトの管理画面のログインページが、誰でも開ける場所にあるかWordPressなら、サイトの住所の後ろに「/wp-admin/」を付けて開いてみてください。ログイン画面がそのまま出るなら、ボットにも同じように見えています。
PHPの件が気になる方は、PHPの脆弱性、うちのサイトは関係ある？に見分け方と、サーバー会社に送れる問い合わせ文をまとめています。
この3つより先は、外から見えるものを一つずつ確かめる作業になります。
株式会社Yamanaka JAPANでは、ボットが最初に確かめるような場所を、外から無料で点検しています。お預かりするのは、サイトのURLだけです。
無料点検を申し込む →サイトのURLを送っていただければ、ボットが最初に確かめるような場所を、外から見える範囲で点検します。ログイン情報はいただきません。
結果は項目ごとに、いまどうなっているか、放っておくと何が起きるか、どう直せばいいかまでまとめてお送りします。専門の言葉が分からなくても、制作会社様にそのままお渡しいただける形にしています。ここまでは無料です。
制作会社との契約が切れていて、誰に頼めばいいか分からない。そんなときは、当社で修正をお引き受けすることもできます。修正は有料になりますので、内容を拝見してからお見積りをお出しします。
無料点検を申し込む →この記事で使った数字の出典
- 警察庁「令和8年上半期におけるサイバー空間をめぐる脅威の情勢等について」（不審なアクセス件数、侵入経路、被害企業の規模）
https://www.npa.go.jp/publications/statistics/cybersecurity/data/R8kami/R08_kami_cyber_jousei.pdf - Google Cloud（Mandiant）「M-Trends 2025」（入られてから見つかるまでの日数）
https://cloud.google.com/blog/topics/threat-intelligence/m-trends-2025/