【IPA・警察庁データ】ランサムウェア被害の実態｜2023年度に中小企業の8.3%が感染、2024年の件数と手口の傾向

「ランサムウェアは危ない」と言われても、実際にどれくらい起きているのかまでは説明しづらいですよね。中小企業のひとり情シスの方からは、こんな声をよく聞きます。

• 実際どれくらい起きているのか、増えているのか分からない
• うちみたいな規模の会社でも本当に狙われるのか判断できない
• 経営層に予算を頼みたいが、根拠になる材料が見つからない

先に結論です。ランサムウェアの被害報告は、2024年の半期ごとに100件を超える水準で続いています。そして2023年度には中小企業の8.3%、約12社に1社がランサムウェア感染を経験していました。

さらに侵入経路は年々偏っています。件数の増減を追うより、この偏りを見たほうが対策の順番を決めやすくなります。

---

ランサムウェアの被害報告は2024年に半期100件超が続き、高止まりしている

まず、実数から確認しましょう。企業・団体等からのランサムウェア被害の報告件数は、2024年の上半期が114件、下半期が108件でした。合計すると222件（114+108）になります。

半期ごとに見ると大きな増減はなく、高止まりが続いています。注目してほしいのは、件数そのものよりも侵入経路の偏り方です。

2024年の被害報告は上半期114件・下半期108件でほぼ横ばい

2024年のランサムウェア被害報告は、上半期114件、下半期108件でした。半期あたり100件を超える水準が続いており、収束の兆しは見えません。

ただし、この数字の母集団には注意が必要です。これは警察庁に報告された件数であり、報告されていない被害や、被害に気づいていない組織は含まれません。

数値の出どころも押さえておきましょう。IPA「情報セキュリティ白書2025」に掲載されている件数は、IPA自身の調査ではなく、警察庁の集計をもとにIPAが編集したものです。

侵入経路の87.0%はVPN機器・リモートデスクトップ経由に集中している

侵入経路は年々一点に寄っています。VPN機器とリモートデスクトップ経由が感染経路に占める割合は、次のように推移しました。

調査年	VPN機器・リモートデスクトップ経由の合計割合
2022年	80.4%
2023年	81.7%
2024年	86.0%
2025年	87.0%

出典: IPA「情報セキュリティ10大脅威 2026」解説書［組織編］（原データ: 警察庁「サイバー空間をめぐる脅威の情勢等について」）

4年間で6.6ポイント上昇し、2025年時点で87.0%に達しています。ランサムウェアの基本的な仕組みや感染経路の詳細は、ランサムウェアとは何かを整理した記事で解説しています。

この推移から読み取れるのは、攻撃の総量が急増しているというより、攻撃者が確実に成果の出る侵入手段に手口を収れんさせているという状態です。件数が横ばいのまま経路だけが一点に寄っているためです。守る対象を絞り込める一方、その一点を破られると他の対策が機能しにくくなります。

ランサム攻撃は11年連続で10大脅威に選ばれ、2026年も1位が続いている

件数（量）とランキング（位置づけ）は、別々の指標です。IPA「情報セキュリティ10大脅威」の組織編では、ランサム攻撃による被害が2016年以降11年連続で選出されています。2026年版では同項目が1位、「サプライチェーンや委託先を狙った攻撃」が2位で、この並びは4年連続です。

1位という位置づけは、件数の急増を意味するものではなく、専門家が脅威の深刻さを評価した結果です。委託先経由の被害は、後半で2024年の実例を取り上げます。

出典: IPA「情報セキュリティ白書2025」第1章／IPA「情報セキュリティ10大脅威 2026」解説書［組織編］

---

手口は侵入型に移行し、暗号化を伴わないノーウェアランサムが約9%を占める

手口も変わってきています。IPA「情報セキュリティ白書2025」によると、かつて主流だったのは不特定多数へのばらまき型でした。近年は、事前にネットワークへ侵入して侵害範囲を広げ、大量のデータを暗号化する「侵入型ランサムウェア攻撃」が中心になっています。

脅迫の形も多重化しました。同白書では、暗号化に加えて窃取データの暴露予告、DDoS攻撃の予告、取引先や顧客への直接連絡までを重ねる手口が整理されています。

このセクションで詳しく見たいのは、そのなかでも量的な位置づけが分かりにくい「ノーウェアランサム」です。

ノーウェアランサムの被害は2024年に上半期14件・下半期8件

ノーウェアランサムは、データを暗号化せずに窃取だけを行い、対価を要求する手口です。2024年の被害報告は上半期14件、下半期8件でした。

比率を出してみます。2024年のランサムウェア被害222件（114+108）と、ノーウェアランサム被害の22件（14+8）を合わせると244件です。このうち22件なので、ノーウェアランサムは約9%を占めます。

ただし、この手口の統計は2023年に始まったばかりで、経年比較の蓄積がありません。上半期14件から下半期8件へ動いていますが、2点だけで増減の傾向を語ることはできません。

バックアップ前提の対策ではノーウェアランサムを抑止できない

ここから読み取れるのは、対策の定石が通用しない領域が1割弱残っている点です。ノーウェアランサムでは暗号化が行われないため、バックアップからの復旧が抑止力になりません。

「バックアップを取っていれば身代金を払う必要はない」という説明は、この類型には当てはまりません。盗まれたデータの公開は、復旧手順では止められないからです。

なお、約9%という比率は下限値と考えるのが妥当でしょう。暗号化を伴わない窃取は被害組織が気づきにくく、統計に表れにくい性質があります。

出典: IPA「情報セキュリティ白書2025」第1章（原データ: 警察庁「令和6年におけるサイバー空間をめぐる脅威の情勢等について」）

---

2023年度に中小企業の8.3%がランサムウェア感染を経験している

ここからが本題です。「中小企業も狙われます」という言い方はよく見かけますが、中小企業だけを母集団にした数値はあまり出てきません。

その数値がIPAの実態調査にあります。2023年度にランサムウェア感染被害を受けた中小企業等は8.3%でした。有効回答4,191件、2024年10月から11月に実施された調査の結果です。

サイバーインシデントの被害を受けた中小企業は23.3%、うちランサムウェアは8.3%

まず全体像です。同じ調査で、2023年度にサイバーインシデントの被害を受けていない中小企業等は76.7%でした。裏返すと、23.3%（100−76.7）が何らかの被害を経験しています。

内訳は次のとおりです。

被害の種別	2023年度に被害を受けた中小企業等の割合
コンピュータウイルス感染	14.8%
不正アクセス	10.0%
ランサムウェア感染	8.3%

出典: IPA「2024年度 中小企業における情報セキュリティ対策に関する実態調査」報告書（有効回答4,191件）

ランサムウェア感染の8.3%は、約12社に1社の水準です。まれな事故とは言いにくい数字ではないでしょうか。

なお、この調査は企業の自己申告によるアンケートです。検知できていない被害があれば実態より低く出ますし、回答企業の偏りによって上下する可能性もあります。

被害の影響はデータの破壊35.7%・個人情報の漏えい35.1%が突出している

被害に遭うと何が起きるのかも、同じ調査で確認できます。ここでの母集団は全体ではなく、2023年度に被害を経験した企業（n=975）です。

影響として最も多かったのは「データの破壊」で35.7%、次いで「個人情報の漏えい」が35.1%でした。この2項目が突出しています。

つまり、業務が止まる事態と、個人情報の漏えい対応が同時に発生しうるということです。ひとり情シスにとっては、復旧作業と社外への説明を並行して抱えることを意味します。

規模別データを「中小企業は狙われにくい」と読むのは誤り

規模別のデータを見ると、別の印象を受けるかもしれません。総務省の令和6年（2024年）通信利用動向調査では、過去1年間に何らかのセキュリティ被害を受けた企業の割合は、従業者100〜299人で44.2%でした。2,000人以上では69.5%で、規模が大きいほど高くなっています。

ただし、これを「中小企業は狙われにくい」と読むのは誤りです。総務省の数値はランサムウェア単体ではなく、標的型メールやウイルス感染なども含む被害全般の指標だからです。

規模による差には、被害を検知して報告できる体制の差も含まれている可能性があります。中小企業の8.3%という数値は、規模の比較ではなく、中小企業単独で見た絶対量として受け止めてください。

出典: IPA「2024年度 中小企業における情報セキュリティ対策に関する実態調査」報告書／総務省「令和6年通信利用動向調査報告書」

---

中小企業の約7割がセキュリティ投資額を把握しておらず、被害額とは桁が釣り合っていない

経営層に予算を頼むとき、何を材料にすればよいでしょうか。おすすめは、被害が起きたときの損失規模と、自社の現在の投資状況を並べて見せる方法です。

先に他社の実態を確認しておきましょう。中小企業では、セキュリティ投資の状況と被害額の桁が噛み合っていない状態が見えてきます。

投資額が「投資していない・わからない」が約7割、教育未実施が63.6%

まず、投資の実態です。IPAの2024年時点の調査では、情報セキュリティ対策の投資額を把握していない企業が目立ちます。投資額を「投資していない」または「わからない」と回答した中小企業等は、全体の約7割でした。

従業員向けの教育も進んでいません。同じ2024年の調査で、従業員に対する情報セキュリティ教育を特に実施していないと回答した企業は63.6%です。

ここで見ておきたいのは「わからない」という回答の意味です。費用を惜しむという判断ですらなく、リスクを金額に換算する作業そのものが行われていない状態がうかがえます。

JNSAの調査ではランサムウェア被害組織の被害額は平均2,386万円

では、被害が起きるといくらかかるのでしょうか。JNSA（日本ネットワークセキュリティ協会）の調査によると、ランサムウェア感染被害を受けた組織の被害額は平均2,386万円でした。調査対象期間は2017年1月から2022年6月です。

一方、備える側の実態が、先ほどの数字です。自社の投資額を把握していない中小企業が、2024年時点で約7割を占めています。

ここから読み取れるのは、金額の大小そのものではなく、判断の土台が噛み合っていないという点です。一度起きれば千万円単位になりうる損失に対し、投資額を把握していない企業が多数派を占めています。なお、これは投資額と被害額の因果関係を示すデータではありません。

出典: IPA「2024年度 中小企業における情報セキュリティ対策に関する実態調査」概要説明資料／同 報告書（被害額はJNSA「インシデント損害額調査レポート 別紙『被害組織調査』」を同報告書が引用）

---

2024年の国内事例では復旧に3〜6か月を要し、委託先1社の被害が約100団体に波及した

事例を見ると、被害の実感がつかみやすくなります。IPA「情報セキュリティ白書2025」に掲載された2024年の国内事例から、3件を取り上げます。

ここで注目したいのは、統計上「1件」として数えられる被害が、どこまで広がるかという点です。

KADOKAWAグループは25万4,241人分が漏えいし、基幹IDの復旧に約6か月かかった

1件目はKADOKAWAグループの事例です。ランサムウェア攻撃により、合計25万4,241人分の情報が漏えいしました。

復旧にも時間がかかっています。KADOKAWA-IDの復旧までに要した期間は約6か月でした。2024年6月8日未明にサービスが利用できない事象が発生し、同社が9日に攻撃を受けた可能性が高いと公表、復旧は12月11日です。

半年にわたってサービスや業務が影響を受けるという時間軸を、自社に置き換えて考えてみてください。中小企業であれば、資金繰りへの影響も無視できない長さになります。

印刷受託会社イセトーの被害は委託元・再委託元あわせて約100団体に波及した

2件目は、2024年に発生した印刷受託会社イセトー社の事例です。VPN機器への不正アクセスを起点にランサムウェア攻撃を受け、情報漏えいは委託元と、その委託元にさらに業務を委託していた再委託元へ広がりました。

影響を受けた団体は、民間事業者32団体、行政機関等9団体、再委託元等が約60団体にのぼります。合わせると約100団体規模です。

漏えい人数も大きく、民間事業者からの委託分が約250万人、行政機関等からの委託分が約56.6万人でした。合算すると約306万人（250万＋56.6万）になります。ただし、これは委託元ごとの延べ数であり、同一人物が重複して計上されている可能性があります。

岡山県精神科医療センターは身代金を支払わず約3か月で完全復旧した

3件目は、2024年に被害を受けた岡山県精神科医療センターです。地域医療を担う中規模の医療機関であり、大企業だけの問題ではないことを示す事例といえます。

電子カルテの完全復旧までに要した期間は約3か月でした。漏えいの可能性がある個人情報は最大4万人分と公表されています。同センターは身代金を支払わず、自力で復旧しています。

侵入原因は、保守用VPN装置の脆弱性が放置されていたことと、推測可能なID・パスワードが使われていたことでした。院内に被害が広がった原因は、そのID・パスワードが使い回されていた点にあります。いずれも、ひとり情シスがそのまま自社の点検項目に置き換えられる教訓です。

1件として集計される被害の射程は、攻撃された組織の規模では測れない

3件を並べると、被害の広がり方に違いが見えます。イセトー社の事例では、委託先1社への攻撃で約306万人規模の漏えいが生じました。自社が直接攻撃されたKADOKAWAグループの25万4,241人と比べると、桁が一つ大きい規模です。

ここから読み取れるのは、「1件」として集計される被害の射程が、攻撃された組織の規模では測れないという点です。IPAの10大脅威2026でランサム攻撃とサプライチェーン・委託先を狙った攻撃が4年連続で1位・2位に並んでいることとも符合します。

ただし、これは個別事例2件の比較であり、一般化はできません。イセトー社は多数の委託元を抱える業態で、被害が広範に波及しやすい構造を持っていました。

それでも、委託先の選定と管理を自社の対策と同じ列に置くべきだ、という示唆は残ります。次のセクションで、対策の優先順位を整理します。

出典: IPA「情報セキュリティ白書2025」第1章（イセトー社の影響団体数の原データは個人情報保護委員会「株式会社イセトーに対する個人情報の保護に関する法律に基づく行政上の対応について」）／IPA「情報セキュリティ10大脅威 2026」解説書［組織編］

---

件数の増減ではなく、手口の集中度から対策の優先順位を決める

最後に、優先順位の決め方を整理します。結論から言うと、被害件数の増減を追うより、手口側のデータを見たほうが判断しやすくなります。件数のデータでは、中小企業の状況を追えないためです。

本記事で確認できた範囲では、中小企業のランサムウェア被害の増減に直接答える公的な時系列データは見当たりませんでした。

中小企業の被害の増減を示す時系列データは、本記事で確認できた範囲では存在しない

なぜ追えないのか、データの構造を確認しましょう。中小企業のランサムウェア被害率8.3%と被害なし76.7%は、いずれも2023年度の単年調査の結果で、同一設問での過去比較ができません。

一方、2024年の上半期114件・下半期108件という報告件数は、企業規模別の内訳を伴わない全体の数字です。中小企業分だけを取り出せません。

身代金の支払い率も同様です。平均被害額2,386万円の出典であるJNSA調査は、対象期間が2017年1月から2022年6月です。回答が得られた一部組織の集計にとどまり、日本全体の支払い率を示す統計ではありません。だからこそ、手口側のデータで優先度を決める必要があります。

外部公開しているリモートアクセス機器の点検が最優先になる

優先順位の根拠になるのが、侵入経路の集中度です。VPN機器・リモートデスクトップ経由は2024年に86.0%、2025年には87.0%を占めています。ここを守れなければ、他の対策の効果が限定されます。

確認する観点は2つです。1つは、自社が使っているVPN機器のファームウェアが最新かどうかです。もう1つは、リモートデスクトップを必要以上に外部公開していないかどうかです。

先ほど紹介した岡山県精神科医療センターの侵入原因も、保守用VPN装置の脆弱性放置と、推測可能なID・パスワードの使用でした。点検の対象は特別なものではありません。

バックアップに加えて、データの持ち出しを検知する仕組みが要る

次に置くべきなのが、データの持ち出しへの備えです。ノーウェアランサムは2024年に上半期14件・下半期8件で、ランサムウェア被害と合わせた件数の約9%を占めています。

バックアップは復旧の備えとしては有効ですが、窃取だけを行う手口には抑止力が働きません。優先順位としては、リモートアクセス機器の点検の次に、持ち出しを検知・抑止する仕組みを置くのが現実的です。すでにバックアップ運用がある企業ほど、この差は見落としがちです。

経営層への説明は、被害額と自社の投資状況をセットで示す

経営層への説明では、順番が効きます。まず「いくら損をしうるか」を置き、次に「自社は今どうなっているか」を並べる形です。先に紹介した被害額と、投資・教育の実態を、この順で組み合わせてください。

数値を引くときは、出典組織と調査対象期間を必ず添えます。前提を省くと、社内で数字の信頼性を問われたときに説明できなくなります。

出典: IPA「情報セキュリティ白書2025」第1章／IPA「2024年度 中小企業における情報セキュリティ対策に関する実態調査」報告書／IPA「情報セキュリティ10大脅威 2026」解説書［組織編］

---

まとめ

ランサムウェアの被害実態を、公的データで整理してきました。押さえておきたい点は次の4つです。

• 2024年の企業・団体等の被害報告は上半期114件・下半期108件で、半期100件超が続いています
• 2023年度にランサムウェア感染被害を受けた中小企業等は8.3%で、約12社に1社の水準です
• 侵入経路は2025年時点で87.0%がVPN機器・リモートデスクトップ経由に集中しています
• 件数の増減ではなく、手口の集中度から対策の優先順位を決めるほうが判断しやすくなります

まずは自社のVPN機器とリモートデスクトップについて、公開状況と更新プログラムの適用状況を確認するところから始めてみてください。

出典: IPA「情報セキュリティ白書2025」第1章／IPA「2024年度 中小企業における情報セキュリティ対策に関する実態調査」報告書／IPA「情報セキュリティ10大脅威 2026」解説書［組織編］

---

新人・ひとり情シスの学習は情シスカレッジで

この記事で挙げたVPN機器の点検や委託先の管理、従業員教育は、担当者一人の知識と時間に左右されやすい領域です。教育に手が回らないまま被害に遭う、という流れは避けなければなりません。

情シスカレッジは、新人・ひとり情シスのためのマイクロラーニングLMSです。業務の合間に少しずつ学べる形で、情シスに必要な知識を積み上げられます。

導入は5名からです。請求書払いに対応し、初期設定は約10分で完了します。

情シスカレッジの詳細を見る

---

※出典

• IPA「情報セキュリティ白書2025」第1章（原データ: 警察庁「令和6年におけるサイバー空間をめぐる脅威の情勢等について」）
• IPA「2024年度 中小企業における情報セキュリティ対策に関する実態調査」報告書
• IPA「2024年度 中小企業における情報セキュリティ対策に関する実態調査」概要説明資料
• IPA「情報セキュリティ10大脅威 2026」解説書［組織編］
• 総務省「令和6年 通信利用動向調査報告書」
• JNSA「インシデント損害額調査レポート 別紙『被害組織調査』」（IPA「2024年度 中小企業における情報セキュリティ対策に関する実態調査」報告書経由で参照）