半期で過去最多、狙われるのは中小企業
警察庁は2026年9月、「令和8年上半期におけるサイバー空間をめぐる脅威の情勢等について」を公表しました。ランサムウェアの被害報告は123件で、統計を取り始めた2020年下半期以降、半期として最多です。前年同期の116件から7件増えました。
ランサムウェアとは、会社のデータを暗号化して使えなくし、元に戻す代わりに金銭を求める不正プログラムです。最近はデータを盗んだうえで「払わなければ公開する」と脅す二重恐喝が中心です。
被害に遭った組織の内訳は、中小企業79件、大企業31件、団体等13件でした。中小企業が約6割を占める傾向は前年と変わりません。業種別では製造業が37件で最も多く、卸売・小売業15件が続きます。
AIが広げた「攻撃できる人」の裾野
同じ報告書には「ＡＩの悪用」という節があります。そこでは、「高度な技術を持ち合わせない者であっても、サイバー攻撃を実行することが容易になる」と明記しています。
実際の検挙例も載っています。19歳の会社員が2026年2月、AIに書かせた部品のようなプログラムを組み合わせてランサムウェアを作り、6月に逮捕されました。15歳の高校生が生成AIで手直しした攻撃プログラムを使い、動画配信サービスの約4万6,800件の会員登録を勝手に解除させた事件もあります。
もともと犯罪組織は、攻撃の道具一式を貸し出して分け前を受け取る仕組みを広げていました。そこへAIが加わり、狙う側の人数が増える構図です。「技術のある犯人が大企業を狙う」という見立ては、もう前提になりません。
入口はメールより「VPN機器」
「怪しいメールを開かなければ大丈夫」と考えている会社は多いはずです。ところが侵入経路が分かった36件のうち、VPN機器からの侵入が18件で半数、リモートデスクトップが9件でした。VPN機器とは、社外から社内のネットワークにつなぐための装置です。
過去5年の合計でも、侵入経路485件のうち不審メールや添付ファイルは24件で、約5％にとどまります。攻撃者は更新されていない機器や、漏れたパスワードを使って外から入ってきます。
パッチの適用状況に回答した29件では、17件に未適用の更新があったと報告されています。まず確かめたいのは、自社のVPN機器の型番と、最後に更新した日付です。テレワーク用に入れたまま誰も触っていない機器が、いちばん危ない入口になります。
バックアップがあっても戻せない
バックアップの有無に回答した50件のうち、取得していたのは44件でした。ほとんどの被害組織は備えていたことになります。
ところが、バックアップから復元を試みた40件のうち、復元できたのは11件だけでした。できなかった29件の理由は、バックアップ自体の暗号化・消去が14件、運用の不備が8件です。攻撃者は侵入後に社内を探し回り、バックアップを先に壊します。
警察庁の「ランサムウェア被害防止対策」も、ネットワークから切り離してオフラインで保存するよう勧めています。「取っている」と「戻せる」は別物です。年に1回は、実際に戻してみる日を決めてください。
復旧は高額化し、長引く
調査・復旧費用に回答した35件のうち、1,000万円以上かかった組織は21件で6割でした。1億円以上も4件あります。金額は、原因の調査と復旧にかかった費用を合わせた総額です。
時間もかかります。復旧期間に回答した48件のうち、1か月未満で戻れたのは23件で5割弱。13件は回答時点でもまだ復旧中でした。受注も請求も止まる期間が、月単位で続くと考えておく必要があります。
それなのに、サイバー攻撃を想定した業務継続計画を作っていた組織は、回答45件のうち6件だけでした。地震を想定した計画はあっても、データが全部使えなくなる事態は想定から漏れている会社が多いのが実情です。
中小企業の備えはどこまで進んだか
被害に遭う前の中小企業の状況は、IPA（情報処理推進機構）の「2024年度 中小企業における情報セキュリティ対策に関する実態調査」で分かります。4,191社の回答をまとめた調査で、2025年5月に公表されました。
OSやソフトを最新にしている会社は、一部実施を含めて73.0％でした。一方、事故に備えた緊急時の体制や対応手順の準備は39.8％にとどまります。従業員へのセキュリティ教育を特に実施していない会社は63.6％でした。機械の対策は進み、人と手順の備えが遅れているという形です。
IPAの「情報セキュリティ10大脅威 2026」でも、組織向けの1位は「ランサム攻撃による被害」で、11年連続の選出です。
| 観点 | 狙われやすい状態 | 先に決めておく備え |
|---|---|---|
| 入口 | VPN機器の更新が止まっている | 型番と最終更新日を台帳に書き、担当を決める |
| パスワード | 初期設定や使い回しのまま | 長いパスワードと多要素認証に切り替える |
| バックアップ | 社内LANにつないだまま保管 | 切り離して保管し、年1回戻してみる |
| 初動 | 誰に連絡するか決まっていない | 隔離・連絡・通報の順番を1枚に書く |
画面に脅迫文が出たときの初動
最初にやるのは、感染したパソコンをネットワークから切り離すことです。LANケーブルを抜き、無線をオフにします。前掲の「ランサムウェア被害防止対策」は、調査に必要なログが消える場合があるとして「電源は落とさないでください」と明記しています。慌てて電源を切ると、原因を調べる手がかりが消えてしまいます。
次に社内の決めた相手へ連絡し、最寄りの警察署かサイバー犯罪相談窓口に通報します。同ページは、警察から被害の公表を求めることはないと説明しています。身代金を払っても、データが戻る保証はありません。
ここまでの手順を、紙1枚にして事務所に貼っておきます。被害の直後はネットワークもパソコンも使えないので、手順書を社内サーバだけに置くと読めなくなります。
AIを守りの下書きに使うプロンプト
攻撃側がAIを使うなら、守る側も使えます。機器の棚卸しと初動の手順書は、AIに下書きさせると早く形になります。角かっこを自社の情報に置き換えてください。
入力するのは型番や人数までにします。パスワードや社内の構成図は、AIに貼り付けないでください。できた下書きは、機器を入れた業者に一度見てもらうと確実です（AIに入力してはいけない情報一覧）。
よくある質問（Q&A）
うちは社員10人の会社なんですが、本当に狙われますか。
狙われます。2026年上半期の被害報告では、被害組織の過半数が中小企業でした。侵入の多くは、更新されていない機器や漏れたパスワードを突くもので、会社の規模は関係ありません。小さいことは安全の理由になりません。
バックアップは毎日取っているので、もう大丈夫ですよね。
取り方次第です。被害組織の多くはバックアップを取っていましたが、復元を試みた組織の7割以上が戻せませんでした。社内のネットワークにつながったままだと、一緒に暗号化されます。切り離して保管し、戻せるか一度試してください。
感染したら、警察に言うと会社の名前が出てしまいますか。
警察庁のページでは、警察から公表を求めることはなく、被害情報の保秘を徹底すると説明しています。通報すると、初動の支援や復号ツールの案内を受けられる場合があります。一人で抱えずに相談してください。
まとめ
- ランサムウェアの被害報告は2026年上半期に123件で半期の過去最多。被害組織の過半数は中小企業で、AIが攻撃の敷居を下げている。
- 入口の中心はメールではなくVPN機器。バックアップは44件が取得していたのに、戻せたのは試みた40件中11件だった。
- 先に決めるのは機器の更新担当、切り離したバックアップ、隔離・連絡・通報の順番の3つ。紙1枚にして事務所に貼っておく。
従業員20名ほどの設計事務所で、事務所の奥にあるVPN機器の話になったことがあります。コロナの時期にテレワーク用に入れたもので、設定した業者はもう付き合いがなく、管理画面のパスワードを知る人もいませんでした。
その日に決めたのは、機器の型番を控えて業者に更新を頼むことと、外付けのディスクを週1回つないで外すことの2つだけです。高価な製品を買う前に、誰が触るかを決めるほうが先でした。守りは、担当者の名前を書くところから始まります。ここまで読んでくださり、ありがとうございました。
── AutoAIPlatform編集部