2026年10月、大阪公立大学と「焼肉きんぐ」を運営する物語コーポレーションという、業種もまったく違う二つの組織が、ほぼ同じタイミングでサイバー攻撃の被害を公表しました。どちらも大企業・大規模組織の出来事ではありますが、ニュースの中身を分解すると、人手も予算も限られた中小企業にこそ刺さる教訓が詰まっています。「うちは大学や大手チェーンほど大きくないから狙われない」と考えている経営者ほど、今回の2件は読んでおく価値があります。
何が起きたのか①：大阪公立大学のランサムウェア被害
大阪公立大学では10月2日、学内のシステムに大規模な障害が発生し、調査の結果、ランサムウェアによるサイバー攻撃を受けたとみられることが4日の記者会見で明らかになりました。攻撃者は、各種システムが稼働する基盤部分（仮想化基盤）に侵入し、約500台のサーバーを停止させ、さらに復旧の生命線であるはずのバックアップデータの多くまで暗号化してしまったと報じられています。
在学生・卒業生・教職員など少なくとも13万人分の氏名・住所・メールアドレス・携帯電話番号・学生証の写真などが保存されており、これらの情報が流出した可能性があるとして、大学は大阪府警と文部科学省に報告、個人情報保護委員会にも連絡した上で調査を続けています。影響は大学運営そのものにも及び、10月8日まで全学部が休講となり、9日からは代替のネットワークとデータ共有システムを使って対面授業を再開する予定だと発表されました。
何が起きたのか②：焼肉きんぐ（物語コーポレーション）の不正アクセス
一方、人気焼肉チェーン「焼肉きんぐ」を展開する物語コーポレーションは10月5日、公式アプリの会員管理システムが第三者から不正アクセスを受け、会員情報1,078万8,963件が流出したと発表しました。アプリの登録者数は約1,080万8,784件とされており、ほぼ全会員分に相当する規模です。
不正アクセスが確認されたのは10月2日。同社はすぐに通信遮断などの防御措置を取りましたが、翌3日には会員情報の流出が確認されました。流出した情報は会員番号・氏名（アプリ登録名）・メールアドレス・電話番号で、幸いログインパスワードや生年月日、性別、郵便番号、店舗利用履歴、保有ポイントは対象外、クレジットカードなどの決済情報もそもそも保有していなかったとされています。現時点で情報が不特定多数に公開されたり、不正に利用された事実は確認されていないとのことです。侵入の原因や経路については、両社・大学とも現在も調査中で、詳細は明らかになっていません。
二つの事件から見える共通パターン
業種も規模も異なる2件ですが、並べてみると共通点が見えてきます。
1. 「気づいた時には止められない」スピード感
どちらも攻撃の発生から被害の確定まで、わずか数日というスピードで進んでいます。侵入してから被害が広がるまでの時間は短く、気づいてから対策を考えるのでは遅いという現実を示しています。
2. バックアップも無事ではない
大阪公立大学のケースで特に注目すべきは、バックアップデータの多くまで暗号化されていた点です。「バックアップを取っているから安心」という発想は、そのバックアップが本番環境と同じネットワーク上にあり、攻撃者が同じ経路でアクセスできる状態だと、まったく機能しません。
3. 自社の対策だけでは防げない範囲がある
焼肉きんぐの事件は、顧客が直接触れる「アプリ」という接点を通じて、裏側の会員管理システムが突かれた形です。自社で開発・運用していないシステムであっても、個人情報を扱っている以上は自社の管理責任から逃れられません。
4. 止まった後の負担が本業を圧迫する
大阪公立大学では全学部が1週間近く休講になりました。中小企業であれば、同じような停止が起きれば、受注・納品・請求といった日常業務そのものが止まり、売上に直結するダメージになります。
「うちは関係ない」と言えない理由
大企業や有名大学が被害に遭うと、むしろ中小企業の経営者は「自分たちは狙われるほどの規模ではない」と安心してしまいがちです。しかし実際の攻撃者の多くは、狙う対象を「有名かどうか」では選んでいません。
- 攻撃は自動化されている：ランサムウェアの多くは、インターネット上で脆弱なVPN機器やサーバーを無差別にスキャンして侵入口を探す仕組みで広がります。会社の規模や知名度は関係なく、「穴が開いている」ことが狙われる条件になります。
- 中小企業は踏み台にされやすい：取引先である中小企業のシステムを経由して、大企業側のネットワークに侵入する「サプライチェーン攻撃」も一般的な手口です。自社が直接狙われていなくても、取引先への入り口として利用される可能性があります。
- 個人情報を持たない会社はほとんどない：顧客リスト、従業員の情報、取引先の連絡先など、業種を問わずほとんどの会社が何らかの個人情報を保有しています。情報量が少なくても、漏洩すれば取引先からの信用やブランドイメージへの打撃は避けられません。
- 法的な報告義務がある：個人情報保護法では、一定規模以上の個人情報漏洩が発生した場合、個人情報保護委員会への報告と本人への通知が義務付けられています。「公表しない」という選択肢は、会社の規模にかかわらず基本的に取れません。
被害に遭うと、実際いくらかかるのか
「対策にお金をかけるより、何も起きない方に賭けたい」と考える経営者も少なくありません。しかし実際に被害が発生した場合のコストは、対策コストより大きくなるケースがほとんどです。
ランサムウェアの被害企業では、システムの復旧作業そのものに加えて、調査会社への依頼費用、取引先・顧客への通知対応、場合によっては身代金の検討、そして何より「システムが止まっている間の売上損失」が重くのしかかります。大阪公立大学のように1週間近く業務が止まれば、中小企業であれば受注が流れる、納期を守れない、取引先からの信用を失うといった形で、直接的な経営ダメージに跳ね返ります。
さらに見落とされがちなのが、復旧後に残る「風評」のコストです。焼肉きんぐのように大手チェーンであっても、ニュースで大きく報じられればブランドへの影響は避けられません。中小企業の場合、地域や業界内での信用がそのまま売上に直結している会社も多く、一度の情報漏洩が長期的な取引関係に影を落とすこともあります。対策費用は「保険」として考えると、優先順位の付け方が変わってくるはずです。
セキュリティも「棚卸し」の対象にする
経営者が忙しい中小企業ほど、セキュリティ対策は「気になっているけれど手が回っていない」領域になりがちです。ここで役に立つのは、セキュリティを特別な専門分野として身構えるのではなく、他の業務と同じように「何を自分でやり、何を人やサービスに任せ、何はもうやらなくていいのか」という棚卸しの対象として扱う発想です。
例えば、
– バックアップの管理は、専門知識がなくてもクラウドサービスの自動バックアップ機能に任せられないか
– VPN機器の管理やアップデートは、社内の誰かの「手が空いたときにやる」業務から、外部の保守契約に任せる業務に変えられないか
– 委託先のセキュリティ確認は、年1回のチェックリスト運用に仕組み化できないか
といった形で、セキュリティ対策を「経営者が常に気を張っていなければならないもの」から、「一度決めてしまえば回る仕組み」に変えていくことができます。これは、日々の”作業”を棚卸しして何を手放すかを考える発想そのものであり、セキュリティに限らず経営改善全般に通じる考え方です。
中小企業が今日からできる対策
専任の情報システム部門がない会社でも、優先順位をつければ着手できることは多くあります。
- バックアップを「切り離す」：バックアップは本番環境と同じネットワークに置かず、オフラインまたは書き換え不可能な形で保管する。これだけで、ランサムウェアに遭っても復旧の道が残ります。
- VPN・リモートアクセス機器の管理を徹底する：ファームウェアやソフトウェアを最新の状態に保ち、多要素認証（MFA）を必須にする。使っていない古い機器やアカウントを放置しない。
- 委託先・外部システムの管理責任を自社の範囲として扱う：アプリ開発や顧客管理システムを外部に委託している場合も、個人情報を扱う以上は委託先のセキュリティ体制を定期的に確認する。
- 「止まったらどうするか」を決めておく：システムが使えなくなった場合に、誰にどう報告し、どの業務を代替手段で続けるかを事前に決めておく。初動の遅れが被害を大きくします。
- 基本的な社員教育を続ける：不正アクセスの多くは、フィッシングメールや流出した認証情報の再利用から始まります。パスワードの使い回しをやめ、不審なメールへの注意を社内で定期的に共有する。
どれも大きな予算をかけなくても始められるものばかりです。むしろ重要なのは、「自社が今どこまで対策できていて、どこが手薄か」を一度棚卸ししておくことです。セキュリティも、経営者が日々の意思決定の中で見落としやすい領域の一つであり、気づいたときには手遅れになりやすい分野でもあります。
まとめ
大阪公立大学と焼肉きんぐの事件は、業種・規模を問わず、どの組織にも起こり得ることを改めて示しました。中小企業にとっての教訓は、「自分たちは狙われない」という思い込みを捨て、バックアップの取り方、リモートアクセスの管理、委託先の扱い、初動対応の決め方といった基本を、一度きちんと見直すことです。完璧な対策は難しくても、「何を優先して直すべきか」が分かるだけで、被害の規模は大きく変わります。
出典：大阪公立大学がランサムウェア被害、13万人分の個人情報流出を調査中(ライブドアニュース)、大阪公立大の大規模システム障害 原因は「ランサムウェアによるサイバー攻撃」か(Yahoo!ニュース)、大阪公立大学、ランサムウェア攻撃で約500台のサーバー停止(セキュリティ対策Lab)、焼肉きんぐに不正アクセス、1078万人分の情報流出(ASCII)、『焼肉きんぐ』公式アプリ会員管理システムへの第三者からの不正アクセスによる個人情報漏えいに関するお詫び(物語コーポレーション公式)