午前3時30分、誰も見ていない――ランサムウェアが「発覚する時刻」から読み取るべきこと

「発覚の時刻」に注目すると浮かび上がるもの

ランサムウェア事案を語るとき、私たちはつい被害額や身代金の要求額、暗号化されたサーバー台数といった「大きな数字」に目を奪われがちだ。しかし、経営者が本当に見るべきなのは、その数字が生まれた「時刻」の方かもしれない。主なランサムウェア事案（およびその疑いのある事案）を、被害の中身ではなく「いつ気づいたか」で整理してみたい。

こうして並べると、共通する「風景」が浮かび上がる。多くの検知時刻が、深夜から早朝、あるいは始業直前に集中している。つまり、誰も見ていない時間、あるいは監視が薄くなる境目を、攻撃者は正確に選んでいる。

偶然ではない。ソフォスの2023年調査でも、ランサムウェア攻撃の検知の43％が金曜日または土曜日に集中していると伝える。攻撃者は、日本のカレンダーと勤務シフトを、企業の側よりも冷静に読んでいるのである。

時計の針が示す「構造の変化」

「発覚の時刻」は、単なる時計上の話ではない。そこには、いまサイバー攻撃の世界で進んでいる構造変化が凝縮されている。

攻撃はもはや「一夜の犯行」ではない。アスクルの報告書によれば、初期侵入は2025年6月5日、実際にファイルの暗号化が始まったのは10月19日。約4カ月、攻撃者は社内ネットワークの中で息をひそめていた。その間に、企業を守るはずのEDRは無効化され、バックアップまで暗号化された。つまり、犯行の「点」は10月19日でも、犯行の「線」は夏のあいだずっと引かれていたのだ。

また、狙われるのは「1社」ではなく「連なり」である。大阪急性期・総合医療センターへの攻撃の侵入経路は、病院そのものではなく、給食を提供する委託事業者のサーバーだった。攻撃者は正面玄関ではなく、裏口の、そのまた裏の、取引先の窓を狙う。中小企業にとっては、これが最も重い意味を持つ。自社が最終標的でなくとも、「取引先の踏み台」として利用され、大手の被害拡大の引き金になり得る、ということだ。

そして、攻撃者は「経営判断が下せない時間」を狙う。土曜日の午前3時30分に何が起きるか。情報システム担当は寝ている。役員は連絡がつかない。広報は動けない。法務は資料を持っていない。この、意思決定が最も遅くなる瞬間に、認証基盤を握られたらどうなるか——それがKADOKAWAで実際に起きたことだ。遠隔でサーバーを止めても、攻撃者は再起動を試みる。深夜の管制塔を、外部から奪い合う戦いになる。

技術投資よりも重要な「初動の設計図」

こうした構造変化を前に、経営者が最初に自問すべきは、技術投資の額ではない。「自社に、深夜と休日の緊急事態に耐えられる初動の設計図があるか」である。サイバー攻撃を防ぎ切ることは、残念ながら誰にもできない。だが、「気づいてから最初の3時間」に何が起きるかは、平時の準備でほぼ決まる。

具体的には、次のような問いへの答えが、口頭ではなく紙で用意されるかどうかだ。深夜2時に「基幹システムが動かない」と現場から連絡が入ったとき、誰が判断者になるのか。判断者が電話に出なかった場合の代理者は誰か。その代理者は、システムを止める判断、業務を止める判断、顧客への一次連絡の判断を、単独で下せる権限を持っているか。顧問弁護士、外部の専門機関、監督官庁への連絡先は、担当者個人のスマホの中ではなく、組織として共有された場所に、紙とデジタルの両方で置かれているか。これらは、投資判断ではなく、統治（ガバナンス）の設計そのものである。

アスクルが復旧に約2カ月を要したこと、KADOKAWAが個人情報流出の全容確定まで数カ月を費やしたこと。これらはいずれも、「事後の意思決定の重さ」を物語っている。事後の意思決定を軽くする唯一の方法は、事前の意思決定を済ませておくことだ。

見落とされやすい論点――「委託先」と「バックアップ」

私が現場に近い立場から見ていて、中堅・中小企業の経営者が最も見落としやすい論点は、大きく2つある。

1つ目は、委託先である。多くの企業が、自社のパソコンやサーバーの守りは意識しても、経理を任せている会計事務所、給与計算を任せている社労士事務所、受発注システムを預けているクラウド事業者、Webサイトを構築した制作会社、そして工場の設備保守を担う協力会社——こうした「業務の外側」のセキュリティレベルまでは、契約書に一行入っている程度で済ませていることが多い。大阪急性期の事案は、「委託先の給食サーバー」から入られた。これは、どの業界にも当てはまる警鐘である。自社の情報システムの外周は、契約書の枚数ではなく、実際に人と機器が動いている範囲で定義される。

2つ目は、バックアップだ。多くの経営者は「バックアップは取っている」と答える。しかし、アスクルの事案が示したのは、そのバックアップが同じデータセンター内にあれば、本体もろとも暗号化される、という現実である。バックアップは「取ってあること」ではなく、「攻撃者の手が届かない場所に、切り離して置いてあること」で意味を持つ。これは技術の話に見えるが、実際には「どこに、どう置くか」を決める経営判断の問題である。

「3時30分の役員会」のシミュレーション

そこで提案したいのは、「午前3時30分の役員会」というシナリオを走らせてみることだ。土曜日の午前3時30分に、「基幹システムに接続できない」と当番の担当者から一報が入った、と仮定する。そこから最初の3時間で、誰が、何を、どの順番で決めるか。顧客への公表はいつ、誰の名前で、どの範囲まで出すか。取引先への連絡は誰が担うか。従業員への一斉連絡の手段は、社内メールが使えないときに何を使うか。経営層がこの演習を1時間やるだけで、自社の統治の穴は驚くほど鮮明に見える。

そして重要なのは、この演習を情報システム部門だけで完結させないことだ。経営企画、法務、広報、人事、営業、財務——すべての機能が「3時30分の当事者」である。サイバー事案が最終的に経営を揺らすのは、技術の失敗ではなく、「発覚後の説明責任を誰も持てなかった」という統治の失敗によるものだからだ。

時計を攻撃者に合わせる必要はない

深夜3時30分、誰も見ていない。これは攻撃者にとっての好機であり、経営者にとっては課題である。守る側の時計を、攻撃者のリズムに合わせる必要はない。しかし、攻撃者がいつ時計を回してくるかは、知っておく必要がある。

自社で最も対応が遅れやすい時間帯——それは、いつだろうか。その時間に、最初に電話を受けるのは誰で、その人は判断を下せる立場にあるだろうか。もしその答えに一瞬でも詰まるなら、次の役員会の議題はもう決まっている。ニチレイの件の続報を待つ間に、自社の時計を確認しておきたい。