「うちは小さいから狙われない」は通じません｜ランサムウェア被害の約6割は中小企業

法人・事業の保険

被害企業の約6割は中小企業

警察庁が公表した令和7年の資料では、ランサムウェア攻撃の被害企業を組織の規模別に見ると、前年と同様に中小企業が約6割を占めています。業種別では製造業が約4割で最も多く、卸売・小売業、サービス業、情報通信業と続きますが、幅広い業種で被害が確認されています。

ランサムウェアは、社内のデータを勝手に暗号化して使えなくし、元に戻す代わりに金銭を要求する攻撃です。最近は、暗号化に加えて「払わなければ盗んだデータを公開する」と二重に迫る形も多く報告されています。

止まる期間と、かかるお金

同じ資料の、被害に遭った企業・団体へのアンケート結果が具体的です。

半数近くの会社は、復旧に1か月以上かかっています。その間、受注も出荷も止まる。費用のほうも1,000万円台が珍しくない水準です。しかも警察庁は、データの暗号化は地震のような物理的な災害とは被害の様子が違い、調査や復旧、お客さまへの説明の進め方も変わってくるため、サイバー攻撃を想定したBCPを別に用意しておく必要があると指摘しています。防災計画があるから大丈夫、とはならないところです。

小さいことは、狙われない理由になりません

情報処理推進機構（IPA）の「情報セキュリティ10大脅威 2026」でも、組織向けの脅威の1位はランサム攻撃による被害で、11年連続の選出です。2位はサプライチェーンや委託先を狙った攻撃で、こちらも8年連続。3位には「AIの利用をめぐるサイバーリスク」が初めて入りました。

2位が示しているのが、中小企業にとって現実的な入口です。大きな取引先を直接破るのは難しくても、そこにつながる会社を経由すれば入れる。自社が持っている情報の価値ではなく、取引先への通り道として狙われるという構図です。「うちには盗まれて困るものがない」は、理由になりません。

そして、取引先に被害が及べば、そこから責任を問われる立場にもなります。自社の復旧費用だけの話ではない、というのがこのリスクの厄介なところです。

保険で受け止められる部分

サイバーリスクを対象にした保険は、原因の調査にかかる費用、データやシステムの復旧費用、事業が止まったことによる損失、そして第三者から損害賠償を受けたときの賠償金といった範囲を組み合わせて備える形が一般的です。会社によって扱いは異なりますし、対象になる事故の範囲や、支払いの条件にも違いがあります。

保険は被害を防ぐものではありません。オフラインでのバックアップ、ログの取得、機器の更新といった手当てが先で、それでも残る部分をお金の面で受け止めるのが保険の役割です。順番を逆にしないことが大事だと思います。

出典

• 警察庁「令和7年におけるサイバー空間をめぐる脅威の情勢等について」（PDF）
• 警察庁 サイバー空間をめぐる脅威の情勢等
• 情報処理推進機構（IPA）「情報セキュリティ10大脅威 2026」

※本記事は2026年9月1日時点の一般的な情報提供です。統計は警察庁「令和7年におけるサイバー空間をめぐる脅威の情勢等について」およびIPA「情報セキュリティ10大脅威 2026」（2026年1月29日公開）によります。いずれも毎年更新されます。補償内容やご加入の判断は、各保険会社の契約概要・重要事項説明書等を必ずご確認ください。