サイバー攻撃を受けると、会社は当日からメールや基幹システムが使えなくなり、調査、復旧、取引先への連絡に費用を払いながら仕事を続けることになります。大きさは攻撃の種類で変わります。ランサムウェアでは、警察庁の2026年上半期の資料によると、復旧に総額1,000万円以上を要した組織が6割を占め、1か月未満で復旧した組織は5割弱でした。
今日やることは2つです。システムがすべて止まった場合に、受注、出荷、請求を紙と電話で何日回せるかを現場に聞いてください。次に、調査会社、保険の代理店、警察の相談窓口の連絡先を紙にまとめます。パソコンが使えない日に見るものなので、印刷しておきます。
業務と費用は時系列でどう動く？
ランサムウェアで社内のシステムが止まった場合を例に、流れを表にしました。金額はJNSA（日本ネットワークセキュリティ協会）の2025年の講演資料に出ている外注費です。時期への割り振りは、公的資料の対応の順番をもとに私たちが整理したもので、実際は会社ごとに違います。
| 時期 |
止まりやすい業務 |
出ていく費用の例 |
| 当日〜1日 |
メール、共有フォルダ、基幹システム |
調査会社への依頼、社員の残業代 |
| 〜1週間 |
受注、出荷、請求の一部が手作業に |
調査300万〜400万円、法律相談は数十万円〜 |
| 〜1か月 |
部署ごとに順に再開、手作業は継続 |
システム復旧、お詫び状は封書1通130円〜 |
| 1か月以降 |
復旧できないシステムが残る場合も |
再発防止、損害賠償、売上の減少 |
問い合わせが多ければコールセンターも要ります。JNSAの資料は3か月の委託で700万〜1,000万円と試算しています。システム復旧と再発防止の費用は、規模によって大きく違うとして金額を示していません。
当日から1日目は何が起きる？
最初の仕事は、自分たちで通信を止めることです。IPAが2026年9月に公表したランサムウェア被害から学ぶ教訓集は、発覚は暗号化が実行された時点であることが多いとしたうえで、インターネット経路の切断と感染箇所の切り離しを初動に挙げています。攻撃で止まるだけでなく、守るために止めるので、この時点で動いていた業務も止まります。
この段階で、社長の判断が3つ要ります。
- どの業務を優先して戻すか
- 誰が取引先と社外への説明を担当するか
- 攻撃者の金銭要求にどう向き合うか
金銭の要求について、警察庁は犯罪グループの資金になる懸念があること、復号が保証されないことを説明しています。IPAの教訓集でも、ヒアリングしたほとんどの組織で経営層が早い段階で「払わない」と判断していました。
調査会社を当日に探すのは大変です。IPAの教訓集は、発覚後に短期間で信頼できる会社を確保するのは容易ではないとしています。警察庁は、通報しても公表を求めることはなく、発生直後はログの保存だけを頼むこともあるとしています。現場で触ってはいけない点はマルウェアに感染した時にやってはいけないことに分けました。
1週間以内に何が起きる？
急いでも、すぐには戻せない
いちばんの負担は「早く戻したいのに戻せない」時間です。JPCERT/CCのFAQは、復旧の前に、侵入経路として考えられる原因にすべて対処するよう求めています。塞がないまま戻すと、別の攻撃を受ける可能性があるためです。
バックアップも、あれば戻せるとは限りません。IPAの教訓集は、汚染された可能性のあるバックアップは復旧に使えず、侵入開始より前の時点なら安全だとしています。いつ入られたかが分かるまで、戻す時点を決めにくいわけです。この調査に、JNSAの資料では300万〜400万円かかるとされています。
製造業では、在庫があっても出せない
IPAの教訓集は、製造業では生産管理システムが止まると、在庫があっても納品できない事態になると指摘しています。たとえば、出荷指示と納品書を生産管理システムから出している部品工場の場合、製品が棚にあっても、どの客先へ何個出すかを紙で作り直すことになります。
手作業を支えるのは、システム化の前の仕事を知っている社員です。 教訓集のヒアリングでは、手作業での継続を可能にしたのは、そうした経験を持つ従業員だったと語られています。ベテランが1人で支えている工程は、先に手順を紙に残しておくと助かります。
個人情報と取引先への連絡
個人データの漏えいのおそれがある場合、個人情報保護委員会への速報の期限は発覚から3〜5日以内です。IPAの教訓集は、ランサムウェアで個人データが暗号化され復元できなくなった場合なども、報告の対象に含まれることに注意を促しています。
取引先への説明も同時に始まります。IPAの2024年度の中小企業調査では、インシデントのあった企業の約7割が取引先に影響があったと答えました。営業、情報システム、経営層が別々に説明すると話が食い違いやすいので、窓口を1つに決めます。
1か月後はどうなっている？
ランサムウェアの場合、1か月たっても復旧していない組織のほうが多くなります。警察庁の資料で1か月未満で復旧した割合は、2025年が5割強、2026年上半期が5割弱でした。
この時期に会社の負担になるのは、次の点です。
- 個人情報保護委員会への確報。発覚から30日以内、不正な目的のおそれがある場合は60日以内
- 順次再開した部署と、手作業を続ける部署の調整
- 問い合わせ対応と、お詫び状や公表文の用意
- 再発防止策の検討と実施
担当者の疲れも見落とせません。IPAの教訓集には、社員が業務の負担や責任追及で離職するのを懸念したと語る経営者が出てきます。外部機関への報告を情報システム担当に任せきりにせず、部署で分担するほうが復旧を進めやすいという指摘もあります。
総額はいくらになる？
公開された数字には大きな幅があります。対象が違うからです。
IPAの数字には、基幹業務まで止まらなかった事案も含まれると読むのが自然です。逆にJNSAの資料は、多くの組織が失った利益や超過した人件費を把握できておらず、実際の損害はもっと大きい可能性があるとしています。
見積もりから抜けやすいのは、止まっている間の利益です。JNSAの資料には、売上10億円、営業利益1億円の会社で売上が4割減ると、固定費は変わらないため営業損益がマイナス0.2億円となり、差し引き1.2億円の損失になるという計算例があります。
自社で計算するなら、1日の粗利に止まる日数を掛け、外注費を足します。粗利は経理の資料から、日数は冒頭で現場に聞いた「手作業で回せる日数」との差から出せます。
備えておくと何が違う？
被害を受けてから用意できないものが3つあります。
1つ目は、システムなしで業務を回す手順です。2025年の警察庁の資料によると、被害組織のうちサイバー攻撃を想定した業務継続計画を策定済みだったのは約18％です。IPAの教訓集には、サイバー攻撃を想定していなくても、災害に備えた手作業の手順があった組織は実際に対応できていたとあります。新しく作るより、災害用の手順を見直すほうが早いかもしれません。
2つ目は、ネットワークから切り離したバックアップです。警察庁の資料は、攻撃者がバックアップを探して復旧を妨害する流れを説明し、オフラインバックアップの管理を挙げています。製品を選ぶなら、法人向けバックアップの製品比較で、切り離しや書き換え防止の方式を確かめてください。
3つ目は、外部の依頼先です。インシデント対応・フォレンジックの比較で候補を2社ほど挙げ、平時に連絡先を確かめておくと、当日の負担が減ります。費用の備えはサイバー保険の比較で補償の範囲を見て、金額の決まり方はサイバー保険の価格と見積もりの取り方で確かめられます。
攻撃の種類や基本の対策は、サイバーセキュリティの基礎にまとめています。
