「うちは小さい会社だから狙われない」。サイバー攻撃の話になると、中小企業の経営者からよく聞く言葉です。しかし、警察庁が公表した統計は、この認識が危ういことを示しています。ランサムウェア対策は、いまや大企業だけの課題ではなく、中小企業が事業を守るための経営課題になっています。
当協会のDX支援の現場でも、「クラウドを導入したいが、セキュリティが不安で進められない」「バックアップはあるが、本当に戻せるかは試したことがない」という声を頻繁に伺います。この記事では、ランサムウェアとは何かという基本から、公的統計が示す被害の実態、感染経路、予算と人手が限られた中小企業でも実践できる7つの備え、被害にあったときの初動対応までを網羅的に解説します。
※統計や制度は更新されます。最新の情報は、警察庁・IPA（情報処理推進機構）・内閣サイバーセキュリティセンター（NISC）などの公式サイトでご確認ください。
ランサムウェアとは｜データを人質に身代金を要求する攻撃
ランサムウェアの仕組み
ランサムウェアとは、パソコンやサーバーのデータを暗号化して使えなくし、元に戻す代わりに身代金（ランサム）を要求する不正プログラムです。近年は、データを暗号化するだけでなく、事前に情報を盗み出し、「支払わなければ公開する」と脅す手口（二重恐喝）が広がっています。
被害にあうとどうなるか
被害を受けると、業務システムやファイルサーバーが使えなくなり、受発注、出荷、請求、顧客対応が止まります。復旧までの期間は事業が停止するため、直接の復旧費用だけでなく、売上の損失、取引先への信用低下、顧客情報の漏洩による賠償といった二次被害が生じるのが特徴です。
他のサイバー攻撃との違い
標的型攻撃やなりすましメールは「情報を盗む」ことが主な目的ですが、ランサムウェアは「事業を止めて金銭を得る」ことが目的です。そのため、被害が直接的で、短時間で経営に深刻な影響を与えます。
公的統計が示す被害の実態｜中小企業が約6割
警察庁の統計（令和7年）
警察庁が公表した「令和7年におけるサイバー空間をめぐる脅威の情勢等」によると、2025年のランサムウェアの被害報告件数は226件でした。そのうち、組織規模別では中小企業が143件で約6割を占めています。（出典：警察庁「令和7年におけるサイバー空間をめぐる脅威の情勢等」、2026年公表。報道記事による引用）
業種別の傾向
業種別では、製造業が91件で約4割と最多、次いで卸売・小売業が34件、サービス業が24件、情報通信業が24件でした。製造業は、生産ラインが止まる影響が大きく、攻撃者に狙われやすい傾向があります。
復旧費用と期間
復旧に要した費用の総額が「1,000万円以上」だった組織は5割を超え、前年から高額化が続いているとされています。また、復旧期間が「1か月未満」だった組織は5割強にとどまり、被害が長期化する傾向がうかがえます。中小企業にとって、1,000万円の費用と1か月の業務停止は、事業継続を左右する水準です。
数字から読み取れること
被害の約6割が中小企業という事実は、「規模が小さいから狙われない」という考えが当てはまらないことを意味します。むしろ、セキュリティ対策が手薄な企業ほど、攻撃者にとって狙いやすい存在になり得ます。サプライチェーンの一員として、取引先の信頼を守る観点からも、対策は避けて通れません。
復旧費用に含まれるもの
被害時の費用は、「システムの復旧作業費」だけではありません。原因を調べるフォレンジック調査、専門業者への依頼費用、機器の入れ替え、弁護士への相談、取引先や顧客への通知、事業停止による売上の損失など、複数の項目が積み重なります。復旧費用が1,000万円以上になる組織が5割を超えるのは、こうした費用が重なるためと考えられます。事前の対策費用は、被害時の費用に比べれば、はるかに小さな投資です。
ランサムウェアの主な感染経路
VPN・リモート機器の脆弱性
テレワークや拠点間通信に使うVPN装置などの、ネットワーク機器の脆弱性（修正されていない弱点）が侵入口になる例が、近年の被害の中心的な経路のひとつとされています。機器のファームウェア更新を怠っていると、そこから侵入されます。
不正なメールの添付ファイル・リンク
取引先を装ったメールの添付ファイルを開く、リンクをクリックするといった、人の操作がきっかけになる経路です。最近は、文面が自然な日本語で巧妙化しており、見分けるのが難しくなっています。
弱いパスワードと使い回し、多要素認証の未設定
推測されやすいパスワードや、複数のサービスでの使い回しがあると、流出した認証情報を悪用して侵入されます。多要素認証を設定していないことが、被害を拡大させる要因になります。
委託先・取引先を経由した侵入
自社の対策が万全でも、保守を委託している業者や取引先が侵害され、そこから入り込まれる場合もあります。契約時に、委託先のセキュリティ水準を確認することが重要です。
生成AIの普及で変わる注意点
生成AIの普及により、不審メールの文面は自然な日本語で作られるようになり、「日本語が不自然だから見分けられる」という従来の目安は通用しなくなっています。また、社員が業務データを外部のAIサービスに入力する際の情報管理も、新しいリスクです。メールの真偽は「文面」ではなく「送信元への別経路での確認」で判断し、AIサービスの利用ルールも併せて整備しましょう。
支援現場で多い「対策しているつもり」の落とし穴
当協会がDX支援でお会いする中小企業では、「ウイルス対策ソフトは入れている」「バックアップも取っている」という声を多く伺います。しかし、詳しく確認すると、ソフトの更新が止まっていたり、バックアップ先が同じネットワーク内にあったり、退職者のアカウントが残っていたりするケースが珍しくありません。対策が「ある」ことと、「機能している」ことは別です。年に一度、棚卸しとして、機器の一覧、アカウントの一覧、バックアップの復元可否を確認するだけで、リスクは大きく下がります。
中小企業が今すぐ実践できる7つの備え
備え1：OS・ソフトウェア・機器を最新の状態に保つ
WindowsなどのOS、業務ソフト、そしてVPN装置やルーターなどの機器の更新を、定期的に実施します。「誰がいつ更新するか」を決めていないことが、放置の最大の原因です。サポートが終了した古いOSや機器は、早期に入れ替えてください。
備え2：多要素認証（MFA）を設定する
メール、クラウドサービス、VPNなど、外部からアクセスできる全てのサービスで多要素認証を有効にします。パスワードが漏れても、第2の認証要素があれば不正ログインを防げる可能性が高まります。Google WorkspaceやMicrosoft 365には標準で設定できる機能があります。
備え3：バックアップを「3-2-1」で取り、復元テストを行う
データのコピーを3つ持ち、2種類の異なる媒体に保存し、1つは社外・ネットワークから切り離した場所に置くという考え方です。ランサムウェアは、ネットワークでつながったバックアップも暗号化することがあるため、切り離したバックアップが重要です。さらに、実際に元に戻せるかを年に1〜2回はテストしてください。
備え4：セキュリティソフト（EDRなど）を導入する
従来のウイルス対策ソフトに加え、不審な挙動を検知・隔離するEDR（Endpoint Detection and Response）などを検討します。専任の担当者がいない場合は、監視を代行するサービスの利用も選択肢になります。
備え5：メール対策と社員教育を行う
怪しいメールを開かない、添付ファイルは送信元に別の手段で確認する、といった基本ルールを全員で共有します。年に数回、疑似的な不審メールを送る訓練を実施すると、意識の定着に効果的です。
備え6：アクセス権限を最小限にし、ネットワークを分ける
全員が全てのフォルダにアクセスできる状態では、感染した端末から被害が一気に広がります。業務に必要な範囲に権限を絞り、重要なサーバーは他のネットワークと分離しておきます。退職者のアカウントはすぐに停止してください。
備え7：インシデント対応計画を作る
被害にあったときの連絡先、判断者、初動の手順を紙1枚にまとめておきます。IPAなどが公開しているガイドを参考に、自社版を作成しましょう。平常時に作っておかないと、発生時には必ず混乱します。
経営者が決めておくべき3つのこと
セキュリティは、情報システム担当者だけの課題ではありません。経営者が、少なくとも次の3点を決めておくことが重要です。1つ目は、事業が止まったときに「何日まで耐えられるか」という許容停止期間。2つ目は、セキュリティ対策に毎年かけられる予算の枠。3つ目は、被害が起きたときの最終判断者と、取引先・顧客への連絡方針です。これらが決まっていれば、現場は迷わず動けます。
取引先から求められるセキュリティ水準への備え
大手企業や官公庁との取引では、サプライチェーン全体のセキュリティ水準を確認される場面が増えています。セキュリティ対策のチェックシートへの回答を求められることもあるため、自社の取り組みを説明できる状態にしておくことは、取引の継続や新規受注の面でも有利に働きます。IPAが公開している「SECURITY ACTION」などの自己宣言制度を活用すると、取り組みの意思を対外的に示しやすくなります。
被害にあったときの初動対応
最初の30分でやること
感染が疑われる端末は、LANケーブルを抜き、Wi-Fiを切ってネットワークから切り離します。電源は、原因調査のために必要な情報が失われることがあるため、専門家の指示があるまで落とさないのが一般的です。同じネットワークにつながっている他の端末にも、被害が及んでいないか確認します。
報告と相談の窓口
社内の責任者に報告し、警察（サイバー犯罪の相談窓口）、IPAの相談窓口、契約しているセキュリティ事業者や保険会社に連絡します。個人情報が漏れた可能性がある場合は、個人情報保護委員会への報告が必要になることがあります。
身代金の支払いについて
支払っても、データが戻る保証はなく、再び攻撃を受けるおそれもあります。公的機関も、支払いを推奨していません。バックアップからの復旧を基本とし、判断は必ず専門家や警察と相談してください。
復旧後の振り返り
原因を調査し、再発防止策を講じます。取引先や顧客への説明も、事実を整理したうえで誠実に行います。
中小企業の対策事例
事例1：製造業（従業員50名規模）｜バックアップの隔離と復元テストを実施
ファイルサーバーのバックアップが、同じネットワーク内に置かれていた製造業のお客様です。当協会との相談を経て、ネットワークから切り離した外部ストレージへのバックアップを追加し、年2回の復元テストを実施するようにしました。実際に戻せる時間を把握できたことで、事業継続の計画も具体化しました。
事例2：卸売業（従業員20名規模）｜VPN機器の更新と多要素認証
テレワーク用のVPN装置が長期間更新されていないことが判明しました。ファームウェアを更新し、全ての外部アクセスに多要素認証を設定した結果、リスクを大きく下げることができました。機器の管理台帳をつくり、更新担当者を決めたことも定着の鍵でした。
事例3：サービス業（従業員10名規模）｜クラウド移行でバックアップ負担を軽減
社内サーバーの運用を担当者一人に任せていた事業所で、ファイルをクラウドへ移行しました。バージョン履歴や削除データの復元機能を活用し、運用負担を減らしながら、復旧のしやすさも高めています。ただし、クラウド側の設定ミスによる共有範囲の事故には、引き続き注意が必要です。
デメリット・注意点｜対策を進める際の落とし穴
対策にはコストと運用の負担がかかる
EDRの導入、機器の更新、監視サービスなどには費用がかかります。全てを一度に実施するのは現実的でないため、リスクの大きさと費用対効果をふまえて、優先順位をつけて進めてください。
セキュリティと利便性のトレードオフ
多要素認証やアクセス制限は、使い勝手を多少下げます。現場の反発を避けるために、なぜ必要なのかを説明し、負担の少ない方法（スマートフォンの認証アプリなど）を選びましょう。
ツールを入れても万全にはならない
どれだけ対策をしても、リスクをゼロにはできません。「侵入されること」を前提に、被害を小さくし、早く復旧する体制を整える考え方が重要です。
支援サービス・保険の内容を確認する必要がある
サイバー保険や監視サービスは、補償や対応の範囲が商品ごとに異なります。契約前に、何が対象で、何が対象外かを確認してください。
補助金の活用は最新条件の確認が必須
デジタル化・AI導入補助金には、セキュリティ対策推進枠など、サイバーセキュリティ対策に使える枠が設けられることがあります。ただし、要件や期間は変更されるため、必ず公式サイトで最新情報を確認してください。
よくある失敗パターンと対策
失敗1：バックアップを取っているが、復元したことがない
いざというときに戻せなかった、というケースは珍しくありません。復元テストを定期的に行い、かかる時間を記録しておきましょう。
失敗2：セキュリティの担当者が決まっていない
責任者が不在だと、更新も教育も後回しになります。兼任でもよいので、社内の窓口を決めてください。
失敗3：テレワークを始めたときの設定が放置されている
急いで導入したVPNや共有設定を、そのまま使い続けていると、危険な状態になります。棚卸しを年に1回行いましょう。
失敗4：被害時の連絡先が分からない
初動の遅れは被害を広げます。連絡先リストを作り、全員の目に触れる場所に置いておくことが大切です。
失敗5：「うちは大丈夫」という思い込み
統計が示す通り、被害の約6割は中小企業です。まず現状を診断し、課題を見える化することから始めましょう。
まとめ｜完璧を目指さず、順番に備える
警察庁の統計では、2025年のランサムウェア被害226件のうち、中小企業が143件と約6割を占めました。復旧費用が1,000万円以上かかった組織も5割を超えています。中小企業にとって、ランサムウェア対策は経営課題そのものです。まずは、機器・ソフトの更新、多要素認証、切り離したバックアップと復元テストの3点から着手し、メール教育、権限管理、インシデント対応計画へと広げてください。
当協会では、DX推進とあわせたセキュリティの考え方についてのご相談も受け付けています。DXの全体像は、当協会のDX・AI情報サイトの関連記事もあわせてご覧ください。