被害件数は過去最多に
警察庁が2026年9月10日に公表した資料によると、2026年1月から6月までに警察へ報告されたランサムウェアの被害は123件でした。統計を取り始めた2020年下半期以降、半期の件数としては最も多い数字です[警察庁]。
ランサムウェアとは、会社のパソコンやサーバーに保存されたデータを使えない状態にし、元に戻す代わりにお金を要求する不正なプログラムです。最近は、データを盗んだうえで「払わなければインターネット上に公開する」と脅す手口が被害の多くを占めています。
被害を受けた企業の約6割は中小企業です。業種別では製造業が約3割で最も多く、卸売・小売業、情報通信業、不動産・物品賃貸業が続きます[警察庁]。「小さい会社だから狙われない」という考えは、数字を見る限り通用しません。
IPA（情報処理推進機構）が毎年発表している「情報セキュリティ10大脅威」の2026年版でも、組織向けの1位は「ランサム攻撃による被害」でした。11年連続の選出です。2位は「サプライチェーンや委託先を狙った攻撃」が入っています[IPA]。
1社が止まると取引先も止まる
2025年秋には、大手企業で大きな被害が続きました。
アサヒグループホールディングスでは2025年9月29日にランサムウェアによるシステム障害が発生し、受注と出荷ができなくなりました。1か月たった10月末の時点でも、アサヒビールの出荷品目は通常の約1割にとどまっていました[秋田魁新報]。
10月19日にはアスクルが感染を公表し、「ASKUL」「ソロエルアリーナ」「LOHACO」の受注と出荷を停止しました[LOGISTICS TODAY]。アスクルの物流を使っていた無印良品のネットストアなど、取引先にも影響が広がっています[コマースピック]。
この2つの例が示しているのは、攻撃を受けた会社だけでなく、その会社と取引している会社の仕事も止まるという点です。反対に、対策が手薄な中小企業が入口として狙われ、そこから取引先の大企業へ侵入される例もあります。IPAの10大脅威で委託先を狙った攻撃が2位に入っているのは、こうした事情があるためです。
いま多い攻撃の手口
VPN機器からの侵入
被害を受けた組織へのアンケートでは、侵入経路の約5割がVPN機器でした[警察庁]。VPNは、社外から社内のネットワークに接続するための仕組みです。テレワークや拠点間の接続で使っている会社も多いと思います。
攻撃者は、更新されていないVPN機器の弱点や、どこかで漏れたIDとパスワードを使って社内に入ります。そのあと管理者の権限を奪い、重要なデータとバックアップの場所を調べます。データを外部に持ち出してから暗号化し、最後に作業の記録（ログ）を消して立ち去る、という流れです。以前多かったメールの添付ファイルからの感染は、少なくなっています。
電話から始まるネットバンキングの不正送金
2026年5月から、新しい手口の被害が急増しました。犯人が銀行などを名乗って会社に電話をかけ、遠隔操作ソフトをインストールさせます。そして会社のパソコンを外から操作しながら、偽サイトでネットバンキングのIDとパスワードを盗み、送金します[警察庁]。いつも使っているパソコンから送金されるので、銀行の不正検知に引っかかりにくいのが特徴です。
社長になりすましたメール（ニセ社長詐欺）
2026年1月ごろからは、社長などになりすましたメールが、ホームページに載せている会社のメールアドレスに届く被害が出ています。「新しいプロジェクトのため」などと言ってSNSのグループを作らせ、そこで口座の残高を聞き出し、指定した口座へ送金させます。
2026年1月から6月までの被害は127件、被害額は約38億8,000万円でした。1件あたりでは約3,100万円になります[警察庁]。実在する社長の名前と会社名が使われるため、気づきにくくなっています。
見分けにくくなったフィッシングメール
2026年上半期にフィッシング対策協議会へ報告されたフィッシングは約73万件です。AIの発達によって文章が自然になり、偽物と見抜くのが以前より難しくなっています[警察庁]。
被害を受けるとどうなるか
警察庁の2026年上半期のアンケートでは、復旧に1,000万円以上かかった組織が全体の6割でした。1か月以内に復旧できた組織は5割に届いていません[警察庁]。
JIPDEC（日本情報経済社会推進協会）が2026年1月に行った調査では、ランサムウェアの被害を受けたあと復旧できなかった企業の割合が、前回の10.5%から13.0%に上がりました[DXマガジン]。お金も時間もかかり、最悪の場合はデータが戻りません。
今日からできる簡単な対策
専門的な機器を入れなくても、次の6つは今日から始められます。
1. VPN機器とルーターのソフトウェアを最新にする 会社で使っているVPN機器やルーターのメーカー名と型番を確認し、最新のソフトウェアになっているかを、保守を頼んでいる業者に問い合わせてください。メーカーのサポートが終わった機種は、交換を検討します。退職者のアカウントなど、使っていないVPNのアカウントも削除しておきます。
2. 多要素認証を設定する VPN、メール、ネットバンキング、クラウドサービスには、パスワードに加えてスマートフォンのアプリなどで確認する「多要素認証」を設定します。パスワードの使い回しもやめましょう。
3. バックアップをネットワークから切り離して保管する 社内のネットワークにつながったままのバックアップは、本体と一緒に暗号化されることがあります。たとえば週に1回外付けのハードディスクにバックアップを取り、終わったら取り外して保管する、といった運用にします。年に1回は、そのバックアップから実際にデータを戻せるか試してください。
4. お金に関する確認ルールを決める 振込先の変更や急ぎの送金を、メールやSNSだけで指示されたときは、前から登録している電話番号で本人に確認する。このルールを社内で決めて、経理担当者に伝えておきます。また、銀行や業者を名乗る電話で「このソフトを入れてください」と言われても、その場では入れないようにします。
5. メールのリンクからログインしない 銀行や取引先からのメールに書かれたリンクは開かず、ブックマークしてある公式サイトや公式アプリからログインします。
6. 被害を受けたときの連絡先を決めておく 警察のサイバー犯罪相談窓口、保守を頼んでいるIT業者、加入している保険会社の連絡先を一覧にしておきます。警察庁はランサムウェアで暗号化されたデータを元に戻すツールを開発しており、これまでに国内41社で約2,011万件のデータを復元しています[警察庁]。早く相談するほど、取れる手段は増えます。
おわりに
企業を狙う攻撃は、件数も被害額も増え続けています。一方で、侵入経路の半分がVPN機器であることや、詐欺の多くが「電話やメールの指示どおりに動いてしまう」ことから始まっている点を見ると、基本的な対策で防げる被害も少なくありません。上の6つのうち、まだ手をつけていないものから一つずつ進めてみてください。
株式会社Prevail Lab 長岡