ランサム被害123件、復旧費1,000万円以上が6割｜中小企業の経営者が今月決める6項目

警察庁が2026年9月4日に公表した「令和8年上半期におけるサイバー空間をめぐる脅威の情勢等について」によると、2026年上半期に都道府県警察から報告を受けたランサムウェア被害は123件でした。2020年下半期に統計を取り始めて以降、半期として最多です。被害企業・団体へのアンケートでは、調査・復旧費用の総額が1,000万円以上だった回答が6割を占め、復旧まで1か月未満だった回答は5割弱にとどまりました。

経営者が見るべきなのは「123件」という件数だけではありません。侵入経路としてVPN機器が約半数を占めること、中小企業の被害が約6割であること、そして復旧費用と停止期間が経営に直接響くことです。情報システム担当者に「対策は大丈夫か」と聞いて「バックアップがあります」「ウイルス対策ソフトを入れています」という返事を得るだけでは、経営判断として不足します。

今月の経営会議で決めるべき項目は、外部公開資産、認証情報、バックアップ、ログ、事業復旧順位、事故時の連絡体制の六つです。本記事では各項目を0〜2点で評価する12点診断にし、「導入済み」ではなく、設定・復元・連絡が実際に機能する証拠まで確認します。

結論：バックアップの有無ではなく「何時間で、誰が、どこまで戻せるか」を決める

ランサムウェア対策の会議が「製品を入れるかどうか」から始まると、費用だけが増えて責任の空白が残ります。経営者が先に決めるべきことは、止められない業務、許容できる停止時間、復旧する順番、判断者、連絡先です。技術対策は、その経営判断を実現する手段として選びます。

最初に、次の六つへ一文で答えてください。

1. インターネットから接続できる機器とサービスを、会社は漏れなく把握しているか。
2. 管理者や遠隔接続の認証情報を、退職・異動・委託終了に合わせて失効できるか。
3. バックアップを本番環境から切り離し、定期的に復元できることを確認しているか。
4. 侵入経路と被害範囲を後から調べられる期間のログが残っているか。
5. 受注、出荷、請求、給与などの復旧順位と許容停止時間を経営が承認しているか。
6. 夜間や休日でも、社内・保守会社・保険会社・警察へ連絡する順番が決まっているか。

一つでも答えが「分からない」なら、製品選定より先に現状診断が必要です。「担当者なら知っているはず」は回答ではありません。担当者が休職・退職しても、経営者と代行者が資料を見て判断できる状態になって初めて、会社の対策になります。

123件、6割、約半数を同じ分母だと思わない

今回の公表資料には印象の強い数字が並びますが、分母は同じではありません。誤って組み合わせると、「123社の6割が1,000万円以上を支払った」など、資料が示していない説明になってしまいます。

特に費用と期間は、123件すべての確定値ではなく、被害企業・団体へのアンケート回答に基づきます。自社の予算を決めるときは、平均値だと決めつけず、「少なくとも1,000万円規模の突発費用と1か月規模の業務制約が起きても存続できるか」というストレステストに使うのが適切です。

なぜ「バックアップあり」だけでは復旧保証にならないのか

バックアップがあっても復旧できない会社には、共通する失敗があります。保存先が本番と同じ認証情報で操作でき、攻撃者に一緒に暗号化される。バックアップは毎日動いているが、復元テストをしていない。データは戻るが、アプリケーションの設定、証明書、外部連携、端末が戻らない。復旧手順を知る担当者が一人しかいない。何を先に戻すかを経営が決めていない。これらは製品の有無ではなく、設計と運用の欠陥です。

バックアップの確認では、復旧時点目標と復旧時間目標を分けます。前者は「どの時点のデータまで戻れればよいか」、後者は「停止後何時間で業務を再開するか」です。受注データを24時間失ってよい会社と、5分でも失えない会社では、必要な構成も費用も変わります。全システムを最短で戻す計画は高額になり、現実には実行できません。受注、出荷、請求、給与、顧客連絡など、売上と信用への影響で順位を付ける必要があります。

バックアップ設計の詳しい考え方は、中小企業のデータバックアップと災害復旧計画も参照してください。本記事ではランサムウェアを前提に、保管場所の分離、削除耐性、復元試験、代行者の四点までを証拠で確認します。

経営者向け12点診断

各項目を0点、1点、2点で採点してください。0点は未把握または口頭確認だけ、1点は一覧や設定があるが検証が古い状態、2点は責任者・証拠・検証日が揃っている状態です。合計点だけでなく、0点の項目を放置しないことが重要です。

判定基準

• 10〜12点：維持ではなく検証へ。 合格証拠の日付が古くないか、委託先変更やシステム追加が台帳へ反映されているかを四半期ごとに確認します。
• 6〜9点：事故時に止まる空白がある。 1点の項目を2点へ引き上げる90日計画を作り、経営会議で責任者と期限を決めます。
• 0〜5点：製品購入の前に全体診断が必要。 攻撃経路、復旧、連絡のどこから手を付けるかを第三者と整理し、緊急度が高い0点から塞ぎます。

合計が10点以上でも、バックアップか事故連絡が0点なら要注意です。侵入を完全に防ぐことはできません。復元できない、意思決定者へ連絡できないという状態は、一度の事故を事業停止へ拡大させます。

1. 外部公開資産：VPN機器だけでなく「会社につながる入口」を棚卸しする

警察庁資料で侵入経路の約半数をVPN機器が占めたことは、経営者にも分かりやすい警告です。ただし、「当社はVPNを使っていない」と答えて終えるのは危険です。ルーターの管理画面、リモートデスクトップ、クラウドの管理コンソール、保守ベンダー用の遠隔接続、退役したはずの検証サーバーも入口になり得ます。

棚卸し表には、機器名だけでなく、外部から見えるアドレス、製品名と版、用途、管理者、保守会社、最終更新日、停止可能な時間帯を書きます。「拠点のルーターは通信会社に任せている」場合も、製品と更新責任が契約書や保守仕様で確認できなければ0点です。委託は作業を外へ出す仕組みであり、経営責任を外へ出す仕組みではありません。

公開資産の見つけ方と管理の基本は、攻撃対象領域管理の実践ガイドで詳しく解説しています。重要なのは、診断当日だけ見つけるのではなく、新規設置と廃止が台帳に反映される申請手順を作ることです。

2. 認証情報：多要素認証の「導入率」ではなく例外を調べる

管理者アカウントの一部で多要素認証を使っていても、共用アカウント、保守用アカウント、非常用アカウントが例外になっていれば、攻撃者は例外を選びます。経営会議では「導入済みか」ではなく、「対象アカウント数、適用済み数、例外数、例外理由、解消期限」を確認してください。

さらに、退職者、異動者、委託先の契約終了者が残っていないかを確認します。人事台帳と認証台帳を月次で突き合わせられない会社では、知らない入口が増え続けます。特権IDは日常作業に使わず、利用時だけ昇格し、誰がいつ何をしたかを記録する設計が望まれます。

脆弱性対応も認証と同じく、件数ではなく期限と例外の管理が中心です。経営者向け脆弱性の基礎を使い、公開機器の更新が止まる理由を「業務を止められない」「保守対象外」「担当不明」に分類してください。理由ごとに、停止調整、更新契約、撤去という別の決定が必要です。

3. バックアップ：90日以内の復元試験を経営証拠にする

バックアップ画面の「成功」は、データのコピー処理が終わったことを示すだけです。復旧できることの証拠は、隔離した環境へ実際に戻し、アプリケーションを起動し、必要な業務データを確認した記録です。少なくとも重要システムについて、復元対象、復元した時点、開始・終了時刻、失敗箇所、手順の修正、次回試験日を残します。

復元試験では、通常の管理者アカウントが使えない前提も置きます。認証基盤が止まったとき、バックアップ管理画面へ入れるか。保守会社の担当者が不在でも代行できるか。暗号鍵や復旧用コードが暗号化されたサーバーの中だけに保存されていないか。この条件を入れると、平時の成功通知では見えない弱点が出ます。

4. ログ：侵入を防げなかった後の「判定能力」を買う

ログは事故後の技術調査のためだけではありません。顧客へ何を説明できるか、個人情報の漏えい等のおそれとして報告が必要か、どの端末と認証情報を無効化すべきかを判断する経営資産です。ログが不足すると、安全とも危険とも断定できない範囲が増え、広い顧客通知、長い監視、追加調査が必要になります。

保存期間は一律に決めず、攻撃の潜伏期間、契約・法令、調査に必要な費用を考慮します。少なくともVPNと認証、端末、重要サーバー、クラウド管理操作について、誰が、どこから、いつ、何をしたかを同じ時刻基準で追えるようにします。容量を節約するために短期間で消すなら、その判断により何か月前までしか調べられないかを経営が承認すべきです。

5. 復旧優先順位：売上、資金、信用の順に依存関係を書く

「基幹システムを最優先で戻す」という計画も、まだ粗すぎます。基幹システムが起動しても、認証、端末、ネットワーク、取引先接続、プリンター、銀行連携が戻らなければ業務は再開しません。受注から出荷、請求、入金までを一つの流れにし、各工程に必要なシステムと代替手段を書きます。

経営者は、許容停止時間を「できるだけ早く」ではなく、4時間、24時間、3日、1週間のように選びます。その時間を超えたときの売上逸失、違約金、残業、顧客離反を概算すれば、復旧投資へ使える上限が見えてきます。技術担当者だけでは、どの顧客と業務を優先するかは決められません。ここが経営の仕事です。

6. 事故連絡：夜間・休日の最初の60分を台本にする

事故の最初の60分で、端末やサーバーを慌てて再起動すると証拠が失われることがあります。反対に、感染拡大中なのに社内承認を待ち続ければ被害が広がります。現場が迷わないよう、「ネットワークを切る」「電源は調査担当の指示まで落とさない」「記録を写真で残す」など、初動の条件を台本にします。

連絡網には、社長、情報システム、事業責任者、広報・法務、保守会社、サイバー保険、警察、個人情報保護委員会等の監督機関を含めます。全社一斉連絡の前に、誰が事故認定し、誰が顧客公表を承認するかも決めます。外部の相談先をまだ決めていない場合は、中小企業のセキュリティはどこに相談するかで、監視、事故対応、診断、保険の役割を整理できます。

7日、30日、90日の実行計画

7日以内：0点を見つけ、止血する

• インターネット公開資産と管理者アカウントを一覧化する。
• 初期パスワード、共有ID、多要素認証の例外を洗い出す。
• バックアップの保存先と削除権限を確認する。
• 事故時の社内責任者と外部連絡先を一枚にする。
• 保守会社へ、緊急連絡先、対応時間、調査データの提供条件を確認する。

ここでは完成した規程を作る必要はありません。分からない箇所を分からないまま可視化し、直ちに悪用される入口だけを閉じます。緊急更新で業務停止が必要なら、経営者が停止時間を決めます。

30日以内：復元と初動を実際に試す

• 重要システムを一つ選び、隔離環境で復元する。
• 夜間に感染を発見した想定で、連絡訓練を行う。
• 認証、VPN、端末、サーバーのログを同じ時刻で検索する。
• 受注から入金までの依存関係を一枚にする。
• 12点診断の1点を2点へ上げる責任者と期限を決める。

訓練は失敗して構いません。復元時間が目標を超えた、連絡先が不通だった、ログの時刻がずれていたという結果こそ、実害が出る前に得られる価値ある発見です。

90日以内：契約と予算へ反映する

• 保守契約へ脆弱性対応期限、ログ提供、事故時の役割を追加する。
• 復旧順位と許容停止時間をBCPに反映する。
• 重大事故の調査・復旧費用と運転資金を試算する。
• 四半期ごとの復元試験と権限棚卸しを年間予定へ入れる。
• 経営会議へ12点診断の推移と未解決リスクを報告する。

ベンダーへ確認する10の質問

提案書の製品名だけを比較せず、次の質問への回答と証拠を比較してください。

1. 当社の外部公開資産をどの方法で発見し、追加・廃止をどう追跡しますか。
2. VPN機器や境界機器の重大な脆弱性を、誰が何日以内に判断しますか。
3. 多要素認証を適用できない例外は何件あり、代替策は何ですか。
4. バックアップを本番の管理者権限からどう隔離しますか。
5. 復元試験は何をもって成功とし、結果をどの形式で提出しますか。
6. ログはどの機器から何日分を集め、事故時に何時間で提示できますか。
7. 夜間・休日の一次対応は契約に含まれますか。含まれない作業は何ですか。
8. 事故調査、再構築、顧客説明の責任分界はどうなっていますか。
9. 当社担当者が不在でも復旧できる手順と代行者はいますか。
10. 解約時に設定、ログ、手順書、管理権限をどの形式で返却しますか。

「対応します」という回答だけでは合格にしません。対応時間、対象範囲、追加費用、成果物、除外条件が契約書または仕様書に書かれているかを確認します。監視サービスが通知までで、封じ込めや復旧は別契約ということもあります。名前が似たサービスでも責任範囲は異なります。

復旧費用1,000万円に備える資金計画

調査・復旧費用には、フォレンジック調査、端末やサーバーの再構築、外部専門家、法律相談、顧客窓口、広報、残業、代替業務、監視強化などが含まれ得ます。さらに、売上停止、納期遅延、取引停止は「調査・復旧費用」と別に発生します。したがって、1,000万円だけを保険で用意すれば十分とは限りません。

資金計画では、直接費用、売上・粗利の減少、追加人件費、契約上の損害、再発防止投資を分けます。サイバー保険は有力な移転手段ですが、補償範囲、免責、事故通知期限、指定業者、セキュリティ要件を確認しなければ、想定した費用が支払われない可能性があります。保険加入と技術対策のどちらか一方ではなく、復旧できる運用と資金繰りを組み合わせます。

GXOのセキュリティ優先順位診断

「全部必要」と言われても、予算と担当者が限られる中小企業は動けません。GXOのセキュリティ優先順位診断では、本記事の六領域を起点に、外部公開資産、認証、バックアップ、ログ、復旧順位、連絡体制の現状証拠を確認します。そのうえで、今すぐ塞ぐ項目、90日以内に検証する項目、次回更新時に契約へ入れる項目へ分けます。

相談時に、ネットワーク構成図や規程が完成している必要はありません。保守契約書、機器一覧、バックアップ画面、直近の訓練記録など、手元にある資料から「分かっていること」と「確認できないこと」を分けます。製品ありきではなく、事業停止と復旧費用を減らす順序を経営者と一緒に決めるための診断です。

よくある質問

Q. 123件は日本国内で発生したすべてのランサムウェア被害ですか。 A. いいえ。警察庁資料は都道府県警察から報告を受けた被害件数です。未報告・未把握の事案を含む国内総数ではありません。一方、同じ基準で集計した半期データとして、統計開始後最多という傾向は重要です。

Q. 中小企業の被害が約6割なら、中小企業ほど攻撃されやすいと証明されたのですか。 A. 被害内訳の約6割が中小企業だったことは確認できますが、企業数や露出機器数を分母にした被害率までは本資料から判断できません。「大企業だけの問題ではない」「専任担当が少ない会社も具体的な復旧設計が必要」と読むのが妥当です。

Q. VPNを廃止すれば安全ですか。 A. VPN機器は重要な確認対象ですが、入口はクラウド管理画面、遠隔保守、公開サーバーなどにもあります。単に別製品へ替えるだけでは、未更新、弱い認証、放置アカウントという運用上の問題が残ります。公開資産全体を棚卸ししてください。

Q. バックアップは毎日成功しています。復元試験も必要ですか。 A. 必要です。成功通知はコピー処理の完了を示しますが、必要な時間内に業務を再開できる証拠ではありません。本番と切り離した環境で、データ、設定、認証、外部連携を含めて戻し、所要時間を記録します。

Q. 身代金を払えば早く戻せますか。 A. 支払っても復号や削除が保証されるわけではなく、犯罪組織への資金提供、制裁、再攻撃など複数の論点があります。本記事は支払いの可否を助言するものではありません。事故時は警察、法律・セキュリティの専門家、保険会社と連携し、証拠と事業継続を踏まえて判断してください。

この記事の確認範囲

本記事は、警察庁の2026年9月4日公表資料「令和8年上半期におけるサイバー空間をめぐる脅威の情勢等について」と、同庁のサイバー空間をめぐる脅威の情勢等の掲載ページを2026年9月11日に確認して執筆しました。123件は警察が報告を受けた件数です。中小企業約6割は規模別内訳、VPN機器約半数は侵入経路に関する回答、費用1,000万円以上が6割と復旧1か月未満が5割弱は被害企業・団体へのアンケート結果であり、分母を混同していません。

本記事の12点診断、7日・30日・90日計画、資金計画、ベンダーへの質問は、一次資料の対策項目をGXOが中小企業の経営判断向けに再構成したものです。各社の法的義務、保険適用、個別の事故対応は、契約条件と専門家の判断を確認してください。公表後の訂正や追加資料がないか、実際の経営会議で使う前に一次資料を再確認してください。

参考資料

• サイバー空間をめぐる脅威の情勢等（警察庁）
• 令和8年上半期におけるサイバー空間をめぐる脅威の情勢等について（警察庁・PDF）