「対策はしているつもり。でも、実際どれくらいのダメージになるのか、正直ピンと来ていない」。そう感じている経営者や総務担当の方は、少なくないはずです。
被害に遭った企業の多くも、被害の前は同じように考えていました。実感が湧かないまま、対策の優先順位をつけられずにいるだけなのです。
この記事では、警察庁の最新データをもとに中小企業の被害の実態を数字で示します。感染後に何が起きるか、復旧費用の相場、そして今日から着手できる備えの優先順位まで、順番に見ていきましょう。
中小企業の被害は「他人事」ではない──最新データで見る実態
警察庁サイバー警察局が2026年3月に公表した「令和7年におけるサイバー空間をめぐる脅威の情勢等について」によると、令和7年中に報告されたランサムウェア被害は226件でした（2026年9月4日、同資料の統計データにて確認）。
このうち、中小企業からの被害報告は143件。226件中の約63%を占めています。大企業からの報告は64件、団体等は19件でした。
ランサムウェアがIPA「情報セキュリティ10大脅威」で11年連続1位に選ばれている理由は、中小企業のセキュリティ対策5選で詳しく書いたとおり。ここでは繰り返さず、実際の被害規模の話に進みましょう。
意外に思われるかもしれませんが、侵入経路の内訳を見ると「怪しいメールさえ開かなければ大丈夫」という思い込みが崩れます。侵入経路が判明した92件のうち、VPN機器（社外から社内ネットワークへ安全に接続するための機器）経由が61件で約66%、リモートデスクトップ経由が19件で約21%。合わせて約87%が、この2つのルートから侵入されていたことになります。不審なメールの添付ファイルが原因だったのは、わずか2件です。
入口が絞られているという事実は、悪い話ではありません。むしろ、どこを優先して守ればいいかがはっきりしているという意味です。
感染すると何が起きるのか──時系列で見る「動けなくなる期間」
ランサムウェアに感染すると、パソコンやサーバーの中のファイルが暗号化され、開けなくなります。多くの場合、画面に表示されるのは「元に戻したければ金を払え」という趣旨のメッセージ。
そこから先の流れは、おおむね「検知→業務停止→原因調査→復旧」の順番です。ここで問題になるのが、復旧までにかかる時間の長さ。
復旧に要した期間が判明した107件のデータでは、1週間未満で復旧できたのが29件、1週間〜1か月未満が31件。合わせて1か月未満で復旧できた割合は約56%です。残りの47件のうち、1か月〜2か月未満だったのが15件、2か月以上を要したのが7件。さらに25件（全体の約23%）は、調査時点でもまだ復旧できていませんでした。
数週間、長ければ数か月。この間、何が止まるのか具体的に想像してみてください。
- 受発注システムが使えず、注文を受けられない
- 請求書が出せず、入金が遅れる
- 取引先への状況説明に、人手を割かれる
売上が止まっている間も、家賃や人件費は動き続けます。
復旧費用はいくらかかるのか
止まっている期間の長さは、そのまま費用にはね返ります。調査・復旧に要した費用の総額が判明した89件のデータでは、1,000万円以上が46件、約52%。半数以上の会社が、桁違いの出費を強いられている計算です。
ここでいう「調査・復旧に要した費用の総額」は警察庁の統計上のラベルであり、身代金の額そのものではない点に注意してください。原因調査の費用、システムの復旧費用、営業できない間の逸失利益などを含んだ合計です。
参考までに、2021年に徳島県のつるぎ町立半田病院が受けたランサムウェア被害では、約2億円をかけて新システムに切り替え、復旧まで約2か月を要したと、ITmediaエンタープライズや日経クロステックなどが報じています。病院側は身代金を支払っていないと説明しており、この記事でもその説明に沿って記載しますが、実際の支払い有無については報道によって見方が分かれる部分もあります。これは規模の大きい病院のケースで、一般的な中小企業の被害額をそのまま表すものではありませんが、「対応を誤るとここまで膨らみうる」という一つの目安にはなるでしょう。
なお、身代金を支払っても復旧が保証されるわけではないというのが一般的な見解です。支払っても暗号化が解除されなかった、支払ったことで再び標的にされた、といった事例も指摘されています。
数字だけ見ると気が滅入りますが、ここからが本題。被害を防ぐ、あるいは小さくする方法はちゃんとあります。
「バックアップがあれば安心」の落とし穴
「うちはバックアップを取っているから大丈夫」。そう考えている担当者は多いはずです。ですが、今回のデータでいちばん衝撃的だったのが、この項目。
取得状況が判明した116件のうち105件（約91%）がバックアップを取得していました。一方、復元結果が判明した99件のうち、被害前の水準まで戻せたのはわずか20件（約20%）。取得状況を聞いた116件と、復元結果を聞いた99件は別の質問への回答なので、単純な足し引きはできません。それでも「取っていたのに戻せなかった」ケースが多いことは、この2つの数字からうかがえます。
なぜ戻せなかったのか。理由が判明した72件のうち、最も多かったのが「バックアップも一緒に暗号化されていた」で48件、約67%。次いで「運用の不備」が19件、約26%でした。
つまり、バックアップ用の外付けHDDやサーバーが社内ネットワークにつながったままだと、本体と一緒に暗号化されてしまうということ。これは私が現場で設定を確認するとき、実際によく見かける構成でもあります。「バックアップを取っているか」だけでなく「そのバックアップ先はネットワークから切り離されているか」まで確認しないと、意味がありません。
中小企業のセキュリティ対策5選で紹介している「3-2-1ルール」──コピーを3つ、2種類の媒体に、1つは別の場所に保存する──のうち、「別の場所」が単なる社内の別フォルダでは足りない理由が、この数字からも裏づけられます。
今日からできる備え──事例から逆算した優先順位
ここまでのデータを踏まえると、優先順位はおのずと見えてきます。中小企業のセキュリティ対策5選で紹介している対策を、今回のデータのどこに効くかという視点で並べ直すとこうなります。
| 対策 | 効く場所 |
|---|---|
| VPN機器・リモートデスクトップの設定見直しと更新 | 侵入経路の約87%に対応 |
| バックアップの「切り離し」運用 | 復元率約20%問題に対応 |
| 多要素認証・アクセス権限の棚卸し | 侵入後の被害拡大を防止 |
特にVPN機器は、ファームウェア（機器を動かす基本ソフト）の更新が後回しにされがちな設備です。古いWindows 10のパソコンを社内に残しておく問題と、根っこは同じ。「動いているから」という理由で放置している機器がないか、この機会に確認してください。Windows 10のサポート終了についてはWindows10サポート終了、ESUで2027年10月まで延長で詳しく書きました。
もし感染してしまったら、初動が被害の大きさを左右します。
- パソコンやサーバーをネットワークから切り離す（LANケーブルを抜く、Wi-Fiをオフにする）
- 電源は落とさず、警察やIPAなどの専門機関に相談する
- 身代金は支払わないことが一般的に推奨されています
在宅ワークが多い個人事業主の方は、会社とは少し違う観点での備えが必要です。この点はESET vs ノートンにまとめました。
まとめ：今週やるべきことは2つだけ
今回の内容を整理すると、次の3点になります。
- 中小企業の被害は226件中143件、約63%を占める（他人事ではない）
- 復旧には数週間〜数か月、費用は1,000万円以上が89件中46件、約52%
- バックアップ取得状況は116件中105件（約91%）が「取得あり」。一方、復元結果は99件中20件（約20%）しか被害前の水準まで戻せなかった
やることは、今週中にこの2つで十分です。自社のVPN機器・リモートデスクトップの設定を見直すこと。そして、バックアップが本当に「ネットワークから切り離されているか」を確かめること。この2つだけでも、被害に遭う確率と被害の大きさは大きく変わります。
「うちの設定が大丈夫か、自分では判断がつかない」という方も多いと思います。VPN機器の設定やバックアップの構成は、専門知識がないと見落としやすいポイントだらけです。
そんなときは、無料相談をご利用ください。IT業務歴30年、中小企業のインフラ構築を現場で数多く手がけてきました。神奈川・東京・山梨を中心に、点検や勉強会も承っています。まずは今週の2つを終わらせて、それから気軽にご相談ください。
合わせて読みたい記事
– 中小企業のセキュリティ対策5選（無料でできる5つの対策の全体像）
– Windows10サポート終了、ESUで2027年10月まで延長（サポート切れOSが侵入口になるリスク）
– ESET vs ノートン（個人事業主・在宅ワーカー向けの対策）
参考資料
– 警察庁サイバー警察局「令和7年におけるサイバー空間をめぐる脅威の情勢等について」（令和8年3月公表、統計データより。2026年9月4日確認）https://www.npa.go.jp/publications/statistics/cybersecurity/index.html
コメント