中小企業のランサムウェア事例に学ぶ　公表された被害と復旧の実態を整理

公的資料で確かめられる中小企業のランサムウェア事例を読むと、分かれ目は、バックアップから戻せたかと、システムなしで業務を回せたかの2つです。ランサムウェアは、データを暗号化するなどして金銭を要求する不正なプログラムです。戻せた会社でも、データの補正と取引先への説明は残ります。

今日やることは、社長、総務、現場の責任者で次の3つ⁠を書き出すことです。

1. 受注から出荷までの工程のうち、システムが止まると手で回せないもの
2. VPN機器とリモートデスクトップの有無、最後に更新した日
3. 社内のネットワークから切り離したバックアップの有無、最後に戻す試験をした日

全体の対策はランサムウェア対策のカテゴリ⁠にまとめています。この記事は、事例と復旧の実態に絞ります。

この記事で扱う事例の範囲は？

事例は、IPAと警察庁の資料で確かめられるものに限りました。報道や製品会社の記事に出てくる事例は入れていません。私たちが調べた範囲では、社名を出した公式発表は上場企業とそのグループが中心で、中小企業かどうかを確かめられる例は多くありませんでした。

そのため、会社は社名ではなく、資料にある所在地、業種、従業員規模で示します。年の古い事例が含まれるので、年も添えます。

被害の広がりは、警察庁の令和8年上半期の報告⁠が示しています。被害報告は123件で、半期では統計を取り始めた令和2年下半期以降で最多でした。同じ報告の統計データ⁠によると、中小企業は79件⁠、製造業は37件です。

公的資料で確かめられる中小企業の事例は？

IPAが2017年⁠に公表した中小企業の事例集には、ランサムウェアの被害が具体的に載っています。いずれも当時の被害で、範囲はパソコンや共有フォルダまでです。

並べると、どの会社にも、戻す元になるデータがありました。手間の差は、その元がどれだけ新しく、そろっていたかで出ています。東京都の会社はバックアップを取らず、発注元の控えを使うと決めていました。これも、戻す元を先に決めていた例です。

新潟県の会社は被害のあと、「ソフトウェアの最新化」⁠と「バックアップの徹底」⁠の2点⁠を重点対策に定めました。あわせて、重要な情報を定期的に外付けHDDへ保存しています。規模に合わせて絞った対策として、参考になります。

いまの被害は当時とどう違う？

当時の事例をそのまま今に当てはめることはできません。警察庁の報告は、近年はインターネットに露出した箇所から遠隔操作で侵入する手口が多く、メールの添付ファイルによる感染は少なくなっていると書いています。侵入したあとに、管理者権限の奪取や内部の探索を行い、バックアップも狙います。

被害の姿に近いものとして、経産省とIPAが2026年3月⁠に公表した事例集⁠の製造業の例があります。事業に参加した中小企業の被害を紹介したものですが、モデルケースとして積算しており、シナリオや被害額には一部想定を含むと明記されています。

会社の姿は、中国四国の製造業、従業員80名⁠、売上約10億円⁠、端末80台です。情報システムの担当は兼任の2名で、ウイルス対策ソフトとオンラインのバックアップを整え、セキュリティ予算は年間100万円程度でした。VPN装置の脆弱性を悪用されて設計データと経理データが暗号化され、クラウドのバックアップも暗号化されました。一部の業務が止まり、納期遅延が出たとされています。

想定被害額は4,600万円で、内訳は次のとおりです。

目を引くのは、復旧より初期対応の額が大きいことです。これはモデルケースの積算ですが、見積もりを考えるときに、サーバーの再構築だけを見ていると全体を読み違えることが分かります。利益の損失や賠償は、この額の外に別途かかる可能性があるとも書かれています。

復旧にかかる期間と費用の実態は？

警察庁の令和8年上半期の統計データから、回答のあった分を示します。大企業と団体を含む合算で、中小企業だけの数字ではありません。回答数も少ないので、幅を見るために使ってください。

1週間未満で戻る例と、2か月⁠を超える例が並んでいます。費用も、100万円未満から1億円以上まで開きがあります。業務への影響は、回答52件⁠のうち全業務の停止が9件⁠、一部の業務に影響が出たのが41件でした。

復旧の現場では何が詰まる？

IPAが被害組織への聞き取りをまとめた教訓集（2026年9月、第1.2版）⁠と統計から、詰まりやすい場所を4つ挙げます。教訓集は中小企業に限らない調査です。

バックアップから戻せない

警察庁の統計では、回答50件⁠のうち44件⁠がバックアップを取っていました。ただし、復元結果の回答40件⁠のうち、復元できたのは11件です。できなかった29件⁠の理由は、バックアップの暗号化や消去が14件⁠、運用の不備が8件でした。

IPAの2022年下半期の届出事例にも近い例があります。企業の規模は書かれていませんが、クラウドにバックアップがあった分は戻せて、取っていなかった一部は戻せなかった届出があります。NASが暗号化された別の届出では、業者に依頼して大部分を戻したものの、約2週間は過去のバックアップで縮退営業を続けました。

戻したあとに手作業が残る

教訓集は、バックアップの時点まで戻ると、その後の入力分をどう補正するかが問題になると書いています。システム上は短い巻き戻しでも、業務では大規模な補正が要ることがあり、手作業が現場の疲弊につながった組織がありました。何日分の入力なら補正できるかは、現場に聞かないと分かりません。

対応が担当者1人⁠に集まる

教訓集には、情報システム部門が警察への相談、個人情報保護委員会への報告、取引先への説明、復旧作業まで全部を抱えた例が載っています。支援会社から分担を求められたものの、事前の取り決めがなく、復旧に集中できませんでした。担当が兼任1人⁠の会社なら、なおさら先に分担を決めておく必要があります。

取引先に説明しきれない

教訓集は、「情報漏えいがなかったこと」⁠の証明は極めて困難だとしています。説明できるのは、調査で分かった事実と経過です。その土台になるログについて、統計では回答48件⁠のうち全て保全できていたのは10件でした。

身代金については、ヒアリング対象のほとんどの組織で、経営層が早い段階で払わないと決めていました。払ってもデータの回復や暴露の中止は保証されないためです。JIPDECの2026年1月の調査でも、被害経験のある507件⁠のうち139件⁠が「払ったが復旧できなかった」⁠と答えています。

製造業では、どこで止まる？

教訓集は、製造業では生産管理システムが止まると、在庫があっても納品できない事態になると書いています。たとえば、受注の確認から出荷ラベルの発行までを生産管理システムで行う部品工場の場合、機械が動いても、何をどこへ出すかが分からなくなります。

このとき要るのは、システムの知識より現場の手順です。教訓集には、サイバー攻撃を想定していなくても、自然災害に備えて手作業の手順を整えていた組織は、実効的に対応できていたとあります。統計では、回答45件⁠のうちサイバー攻撃を想定した事業継続計画があったのは6件でした。地震用の手順がある会社は、それを見直すところから始められます。

東京都の部品メーカーのように、発注元に控えがあるデータもあります。誰が控えを持っているかを整理すると、自社で守るデータと、再送してもらえるデータを分けられます。

事例から逆算すると、何から備える？

順番は、入口、戻し方、見つけ方、お金の4つ⁠で考えます。

入口は、外とつながる機器の更新です。令和8年上半期の統計では、侵入経路の回答36件⁠のうちVPN機器が18件⁠、リモートデスクトップが9件でした。VPN機器の確認にはファイアウォール機器の比較⁠も手がかりになります。

戻し方は、切り離した保管と戻す試験です。法人向けバックアップの製品比較を見るときは、保管の分離と、戻すのにかかる時間を確かめます。IPAの中小企業の情報セキュリティ対策ガイドライン第4.0⁠版も、はじめに取り組む項目に「バックアップを取ろう！」⁠を加えました。同じページの「5分⁠でできる！情報セキュリティ自社診断」⁠で⁠、抜けている項目を確かめられます。

見つけ方は、社内に入られたあとの検知です。統計では、ウイルス対策ソフトの検出状況の回答33件⁠のうち、検出がなかったのは23件でした。EDRの製品比較⁠で機能と運用の負担を比べ、社内で見る人がいないなら、サイバーセキュリティお助け隊サービスのように、見守りや駆けつけをまとめた民間のサービスも検討します。

お金は、先ほどの費目を自社に当てはめて考えます。初期対応の費用、止まった間の利益、取引先への賠償のどこを自社で負えるかを見てから、サイバー保険の比較⁠で補償の範囲を確かめます。

被害に遭った場合の連絡先も、今日の一覧に書き足します。警察庁は、被害に遭ったら警察へ通報と相談をするよう呼びかけています。IPAの不正アクセス特別相談窓口は、被害を受けている企業や組織、その可能性がある企業や組織を対象に、初動の助言や専門業者の一覧の紹介を行っています。