理由は主に3つです。①対策が手薄で入りやすい、②取引先の大企業へ入り込む足がかりになる、③業務が止まると困るため、身代金を払わせやすいと見られる。IPAの10大脅威 2026でも、組織編2位に「サプライチェーンや委託先を狙った攻撃」が入っています。
①対策が手薄で入りやすい
専任の担当者がいない、VPN機器やパソコンの更新が後回しになっている、退職者のアカウントが残っている、といった「すき」を攻撃者は自動で探しています。規模ではなく弱点があるかどうかで選ばれます。
②取引先への足がかり
大企業そのものは守りが固くても、取引先の中小企業からメールのやり取りや接続回線を経由して入り込めることがあります。自社が被害の入口になると、取引の継続にも影響します（サプライチェーン攻撃とは）。
③業務停止の打撃が大きい
受発注や会計のシステムが止まると、中小企業は事業そのものが止まります。攻撃者はそこにつけこみ、早く払わせようとします。
まずやる5つ：①OS・ソフト・VPN機器を更新、②ウイルス対策ソフト、③パスワードを強くし多要素認証、④共有設定の見直し、⑤脅威や手口を知る。IPAの「SECURITY ACTION」の一つ星で宣言する内容と同じで、費用をかけずに始められます（中小企業がまずやること）。