Moshiru
会社情報記事一覧無料スキャン

会社のセキュリティ教科書　第2部 2-13

DoS・DDoS攻撃とは｜サイトが急に開かなくなったときの切り分けと中小企業の備え

公開：2026年10月15日／最終更新：同／Moshiru 岡﨑 悠太

こんなときに役立ちます

  • 自社サイトやECサイトが急に開かなくなったとき
  • 「払わなければDDoS攻撃をする」という脅迫メールが届いたとき
  • ホスティング会社やクラウドのDDoS対策で、何を確かめればいいか知りたいとき

読み終えたあと、社内でこう言えます

「サイトが開かなくなったときの切り分けと連絡先を整理しました」

結論：DoS攻撃は、大量の通信や処理の要求を送りつけてサイトやサービスを使えなくする攻撃です。たくさんの機器から一斉に送るものをDDoS攻撃と呼びます。情報を盗むのではなく、可用性（使いたいときに使えること）を奪うのが目的です。中小企業が自前で大量の通信を受け止めるのは難しいため、備えの軸はCDN・WAFなど外部のサービスと、ホスティング会社への連絡手順です。開かなくなったら、まずDDoS以外の原因と切り分け、ホスティング会社に文面で連絡します。脅迫メールが来ても、支払いは勧められていません。

DDoS攻撃はサイトを使えなくする攻撃。CDNとWAFで受け止め、ホスティング会社への連絡先と告知ページを準備し、平常時の通信量を記録し、自社の機器が踏み台にならないよう更新する

DoSとDDoS：何が起きているのか

お店にたとえると、DoS攻撃は、買う気のない客が一人で入口をふさぐ状態です。DDoS攻撃（分散型サービス妨害攻撃）は、何千人もの客が一斉に押し寄せる状態です。送り元が多いと、一つずつ止めることが難しくなります。

型たとえ狙う所
量で埋める店の前の道を車で埋める回線の太さ。大量のデータで道をふさぎます。
処理を使い切るレジに大量の客を並ばせるサーバーの処理能力。ページの表示や検索を大量に求めます。
他人に送らせる他人の名前で大量の出前を頼む設定の甘い機器に問い合わせ、返事を標的に向けさせます（踏み台）。

大量の通信を送る機器の多くは、乗っ取られたルーターやネットワークカメラなどのIoT機器です。乗っ取られた機器の集まりを「ボットネット」と呼びます。DDoS攻撃は、自社が被害者になるだけでなく、自社の機器が知らないうちに加害側に回ることもある攻撃です。

最近の状況：国の注意喚起が出ている

IPAの「情報セキュリティ10大脅威 2026」では、組織向けの9位に「DDoS攻撃（分散型サービス妨害攻撃）」が入りました。国内でも、実際に大きな影響が出ています。

大きな組織の話に見えますが、中小企業のサイトは回線もサーバーも小さく、少ない量でも止まりやすいことに注意します。同じサーバーを共有する別のサイトが狙われ、巻き込まれて止まることもあります。

サイトが開かなくなったとき：まず切り分ける

開かない原因はDDoSとは限りません。サーバーの故障、ドメインやSSL証明書の期限切れ、改ざんによる停止などもあります。たとえば社員15人の食品メーカー（架空の例）で、通販サイトが朝から開かないとします。次の順に確かめます。

  1. ほかの回線で見る：社内のWi-Fiとスマートフォンの回線の両方で開きます。社内だけ開かないなら、社内のネットワークの問題です。
  2. 契約先の障害情報を見る：ホスティング会社やクラウドの障害情報のページ、管理画面のお知らせを確かめます。
  3. 期限と表示を確かめる：ドメインと証明書の期限切れの通知が来ていないか、画面が書き換えられていないかを見ます。改ざんならサイトが改ざんされたらに進みます。
  4. 通信量を見る：管理画面のアクセス数や通信量のグラフが、普段より極端に増えていないかを見ます。画面を保存し、時刻を記録します。
  5. ホスティング会社に文面で連絡する：開かなくなった時刻、試した回線、見えている数字を送ります。攻撃なら、遮断できるのは回線やサーバーを持っている事業者です。
  6. お客様に知らせる：SNSやメールで「つながりにくい状態」と、注文や問い合わせの代わりの窓口を伝えます。

脅迫メールが届いていた場合、JPCERT/CCは支払いを勧めていません。支払っても攻撃が止まる保証はないためです。メールは消さずに保存し、警察の相談窓口やJPCERT/CCに相談します。相談先の選び方はどこに相談すればいいかにあります。

中小企業の備え：外のサービスと連絡の段取り

NISCの注意喚起は、対策を「被害を抑える」「被害を想定する」「踏み台にならない」の3つに分けています。中小企業向けに読み替えると、次のようになります。

NISCの対策中小企業での形
CDNを使い、元のサーバーの住所を隠すCDN（世界中の配信拠点でページを肩代わりする仕組み）を通します。攻撃が配信拠点で受け止められ、元のサーバーに届きにくくなります。
WAFや専用の対策を入れる。同じ所からの過剰な要求を止めるWAF（Webサイト向けの防御の仕組み）で、短時間に大量に来る要求を制限します。ホスティング会社のオプションにあるか確かめます。
回線事業者・クラウド事業者の遮断サービスを使う契約先にDDoS対策があるか、攻撃時にどこまで対応するかを、契約前に文面で確かめます。
平常時の通信量を記録し、異常時に知らせる管理画面のアクセス数を月に一度保存し、普段の量を知っておきます。急増の通知を設定できれば設定します。
告知用のページを用意する「ただいまつながりにくくなっています」の文面と、代わりの連絡先を先に作っておきます。
連絡先を一覧にし、手順を決めるホスティング会社、制作会社、ドメインの管理会社、相談先の連絡方法を一枚にまとめます。
踏み台にならない社内のルーターやネットワークカメラを更新し、初期パスワードを変えます。

サイトが止まったときの業務の回し方は、クラウドの障害と同じ考え方で決められます。クラウドが止まったときに備えるも合わせて見てください。

AWSを使っている場合

AWSの説明では、すべての利用者に「AWS Shield Standard」が追加料金なしで自動的に適用されます。よくあるネットワーク層・トランスポート層（通信の土台の部分）のDDoS攻撃を防ぐもので、CloudFrontやRoute 53を使うとより効果的とされています。ページの表示を大量に求める型には、AWS WAFの「レートベースのルール」で、速すぎる要求を数えて制限できます。さらに手厚い有料の「Shield Advanced」もあります。

チェックシートではこう聞かれる

よくある設問答え方の例
公開しているWebサービスに、DoS/DDoS攻撃への対策を行っていますか。はい。CDNとWAFを経由して公開し、短時間の大量の要求を制限しています。
サービスが停止したときの連絡体制と、利用者への告知方法を定めていますか。はい。ホスティング会社・制作会社の連絡先と告知文面を手順書にまとめています。
委託先（ホスティング事業者等）のセキュリティ対策を確認していますか。はい。DDoS対策の有無と攻撃時の対応範囲を、契約前に文書で確認しています。

試験ではここが問われる

SG・支援士・Security+ 2・AWS 3・CISSP 4

  • DoS攻撃が損なうのは可用性：機密性（漏れない）や完全性（改ざんされない）ではない点を区別する。
  • DoSとDDoSの違い：送り元が1か所か、多数（ボットネットなど）か。DDoSは送り元を一つずつ止めにくい。
  • リフレクション（反射）型：送信元を標的に偽って、設定の甘いサーバーに問い合わせ、返事を標的に集中させる。オープンリゾルバの停止と、送信元を偽ったパケットを出さないフィルタリングが対策。
  • 対策の組み合わせ：CDN（分散して受け止める）、WAF・レート制限（過剰な要求を止める）、冗長化、事業者の遮断サービス、平常時の監視。
  • AWS：Shield Standardは全利用者に追加料金なしで自動適用。アプリケーション層の大量の要求にはAWS WAFのレートベースのルール。

確認問題

問1 DDoS攻撃によって主に損なわれる情報セキュリティの要素はどれですか。

  1. ア 機密性
  2. イ 完全性
  3. ウ 可用性
  4. エ 否認防止
答えと解説
正解：ウ　DDoS攻撃は、サービスを使いたいときに使えなくする攻撃です。情報が漏れる（ア）、改ざんされる（イ）、操作を否定できなくする仕組みが崩れる（エ）とは別の要素です。

問2 自社の機器がDDoS攻撃の踏み台に使われないための対策として、最も適切なものはどれですか。

  1. ア 社外からのDNSの問い合わせに答えないよう設定する
  2. イ Webサイトの画像を圧縮する
  3. ウ 社員のパスワードの文字数を増やす
  4. エ サイトの告知用ページを用意する
答えと解説
正解：ア　誰からの問い合わせにも答えるDNSサーバー（オープンリゾルバ）は、反射型の攻撃に悪用されます。エは被害を受けたときの備えで、踏み台対策ではありません。イ・ウは関係が薄い対策です。

問3 社員10人の雑貨のネットショップで、朝からサイトが開きません。スマートフォンの回線でも開かず、管理画面ではアクセス数が普段の数十倍になっています。最初の対応として、最も適切なものはどれですか。

  1. ア サーバーのデータをすべて消して、作り直す
  2. イ 時刻と画面を記録し、ホスティング会社に文面で連絡して、お客様に告知する
  3. ウ 攻撃元と思われる相手に、やめるようメールを送る
  4. エ 何もせず、自然に収まるのを待つ
答えと解説
正解：イ　大量の通信を止められるのは、回線やサーバーを持つ事業者です。記録を添えて連絡し、お客様には代わりの窓口を伝えます。アは原因の確認ができなくなり、ウは相手を刺激するだけで、エは被害を長引かせます。

よくある質問

小さな会社のサイトでも、DDoS攻撃に遭いますか？
狙われることは大企業より少ないとしても、同じサーバーを共有する別のサイトへの攻撃に巻き込まれることがあります。止まったときの連絡先と告知の段取りは、規模に関係なく決めておくと安心です。
DDoS攻撃で、情報が盗まれることはありますか？
DDoS攻撃そのものの目的は、サービスを止めることで、情報を盗む攻撃ではありません。ただ、対応に追われている間はほかの異変を見落としがちです。管理画面への不審なログインがないかも、合わせて確かめておくと安心です。
脅迫メールが来ましたが、まだ攻撃はありません。どうすればいいですか？
支払わず、メールを保存したうえで、ホスティング会社に共有し、攻撃が来たときの対応を確かめます。JPCERT/CCは、影響を受けるシステムの洗い出しと、検知・防御の対策や連絡体制の確認を勧めています。

切り分けと連絡文を受け取り、確かめて送るだけに

Moshiruは、打合せなしでテキストだけでお受けします。開かなくなった時刻と見えている画面を送っていただければ、DDoSかほかの原因かの切り分けと、ホスティング会社への連絡文面、お客様への告知文面を文字でお返しします。

インシデントが起きたら相談する24時間受付・30分以内に返信メニューにないことを頼む文面で合意するまで料金はかかりません

参考にした資料

  1. 内閣サイバーセキュリティセンター「DDoS攻撃への対策について（注意喚起）」（2025年2月4日）
  2. 警察庁「令和6年におけるサイバー空間をめぐる脅威の情勢等について」
  3. JPCERT/CC「DDoS攻撃を示唆して仮想通貨による送金を要求する脅迫行為（DDoS脅迫）について」（2020年9月、2020年10月更新）
  4. IPA「情報セキュリティ10大脅威 2026」（2026年1月）
  5. AWS「AWS Shield Standard overview」
  6. AWS「AWS Shield Advanced overview」
  7. AWS「Rate-based rule statement」
  8. 警察庁「サイバー事案に関する相談窓口」
  9. JPCERT/CC「インシデント対応依頼」