サイバー攻撃のニュースは、もはや大企業だけの話ではなくなりました。2026年に入り、国内で相次いで発表されたセキュリティ関連調査からは、ランサムウェア被害の「量」と「質」の両面で、これまでにない深刻化が進んでいることが読み取れます。被害額は平均3億4,800万円に達し、業務停止期間は1か月を超えるケースが珍しくなくなりました。本記事では、CIO LoungeとTrendAIによる共同調査「セキュリティ成熟度と被害の実態調査2026」をはじめ、JIPDEC、KPMGジャパン、Sophosなど複数の調査結果を照らし合わせながら、今まさに企業が向き合うべきリスクの輪郭を整理してまいります。
被害額3億4,800万円の衝撃――平均値の裏にある「二極化」
特定非営利活動法人CIO LoungeとTrendAIが2026年8月に公表した「セキュリティ成熟度と被害の実態調査2026」によりますと、過去3年間のランサムウェア攻撃による累計被害額の平均は約3億4,800万円となりました。これは2024年度調査における平均約2億2,000万円から、約1億3,000万円もの増加です。
注目すべきは、被害額の分布そのものが変化している点です。同調査では「5億円以上」と回答する割合が増加傾向にあり、とりわけ「5億円〜10億円未満」「10億円以上」の層が厚みを増しています。さらにKPMGジャパンが日本経済新聞と共同で実施した調査では、被害額「10億円以上」の事例が初めて確認されたことも報告されています。
一方で、ランサムウェア攻撃を含む過去3年間の被害額について「被害額はなかった」と回答する企業の割合も、2023年度の27.5%から2026年度には42.5%へと増加しています。つまり、被害を受けない企業が増える一方で、被害を受けた企業の損失規模はむしろ拡大しているという「二極化」が進んでいるのです。平均値だけを見て「自社は大丈夫」と安心することの危うさが、この数字にはっきりと表れています。
加えて、日本情報経済社会推進協会（JIPDEC）が2026年1月に実施した「企業IT利活用動向調査2026」では、国内企業の45.8%がランサムウェアの感染経験を持つと回答しており、製造業に限ると57%にまで達しています。身代金を支払わない企業が増えている一方で、システムやデータを復旧できなかった割合は前回調査の10.5%から13.0%へと上昇しました。被害に遭う確率そのものは業種を問わず誰にとっても他人事ではない水準にあることが、複数の調査から裏付けられています。
業務停止36日の長期化――止まった事業はなぜ戻らないのか
被害額と並んで深刻化しているのが、業務停止期間の長期化です。CIO Lounge・TrendAIの調査によれば、ランサムウェア攻撃からの復旧に要した平均業務停止時間は約862.9時間、日数に換算すると約36.0日に達しました。これは2024年度調査の平均244.9時間（約10.2日）と比較して、3倍以上への急伸です。
サイバー攻撃全般で見ても、最も被害額が大きかった攻撃による平均業務停止時間は約369.3時間（約15.4日）となり、2024年度の147.1時間（約6.1日）から2倍以上に拡大しています。同調査は、攻撃者が組織ネットワークへの侵入後、仮想化システムやデータセンターそのものを暗号化する手口が多発している点を、長期化の一因として指摘しています。企業のITシステムと業務の結びつきが深まるほど、一度の侵害がもたらす事業への影響も大きくなるという構造が見て取れます。
身代金の要求額にも上昇の動きが見られます。Sophosが2026年10月に公表した調査（被害組織152社対象）では、身代金要求額が1年間で75%上昇したことが報告されており、攻撃者側が「取れるところから、より多く取る」方向に戦術を変化させている可能性があります。被害額の増加と業務停止の長期化、身代金要求額の上昇は、互いに連動しながら企業の経営体力を確実に削っています。
さらに見逃せないのが、ビジネスメール詐欺（BEC）の増加です。CIO Lounge・TrendAIの調査では、過去3年間に外部から受けたサイバー攻撃のうちBEC被害が前回調査より10ポイント以上増加し、被害経験者の約7割を占めるに至りました。ランサムウェアだけでなく、金銭を直接狙う詐欺的手口も同時に拡大していることが、企業のサイバーリスクをより複雑にしています。
独自考察――データが示す「AI時代のサイバーリスク経営論」
なぜ「平均被害額」ではなく「分布の形」を見るべきなのか
ランサムウェア被害額の平均3億4,800万円という数字は、それ自体が独り歩きしやすい数字です。しかし本当に重要なのは、平均値の裏で何が起きているかという「分布の形」です。被害額ゼロの企業が増える一方で、一度被害に遭った企業は5億円超、10億円超という規模の損失を被るようになっています。これはいわば「無事故企業」と「壊滅的被害企業」への二極化であり、確率は下がっても期待損失は下がっていない、あるいはむしろ上がっているという解釈が成り立ちます。経営判断としては「自社が被害に遭う確率」だけでなく「被害に遭った場合の最大損失」をどこまで許容できるかという視点が、これまで以上に重要になっていると考えられます。
BEC急増の裏にある「AIによる偵察」という新しい脅威変数
BEC被害が急増した背景について、CIO Lounge・TrendAIの調査は、なりすましに使う組織構造や経営層の情報収集がAIなどによって行いやすくなっている可能性を指摘しています。これまで攻撃者にとって手間のかかる作業であった「標的企業の組織図や決裁フローの調査」が、生成AIや検索エージェントの活用によって大幅に効率化されているとすれば、攻撃の裾野は今後さらに広がることが予想されます。言い換えれば、ランサムウェアという「暗号化による脅迫」に加え、AIが後押しする「なりすましによる送金詐欺」という、質の異なる二つの脅威に同時に備える必要が生じているということです。防御側だけでなく攻撃側にもAIの恩恵が及んでいるという非対称性は、今後のセキュリティ投資の優先順位を考えるうえで無視できない論点になります。
セキュリティ成熟度「2.87」が意味する日本企業の及第点未満
同調査では、NIST CSF 2.0をベースとした独自の指標でセキュリティ成熟度を算出しており、2026年度の平均値は2.87（5段階評価とみられる水準）にとどまっています。そして同時に、業務停止時間が短い組織ほどセキュリティ成熟度が高いという相関関係も示されています。これは精神論ではなく、識別・防御・検知・対応・復旧・統治といった一連の体制が整っている組織ほど、実際に被害を受けた際の「止まる時間」を短縮できているということを意味します。セキュリティ対策を「コスト」としてではなく「事業停止日数を買い戻す保険」として捉え直す発想が、経営層に求められていると言えるでしょう。
「仮想化基盤」「データセンター」への攻撃シフトが示す復旧戦略の転換点
業務停止期間が36日にまで長期化した背景として、攻撃者が仮想化システムやデータセンターを標的にする手口が多発している点が挙げられています。従来のエンドポイント中心の防御だけでは、基幹システムを支える仮想化基盤そのものが暗号化されるリスクに十分対応しきれない可能性があります。バックアップの取得先や復旧手順が、攻撃対象となりうる基盤と同一の管理下に置かれていないか、平時のうちに点検しておく価値は高いと考えられます。復旧訓練（ランサムウェアを想定したリストア演習）を実施済みかどうかが、36日という長期停止を回避できるかどうかの分かれ目になる可能性があります。
SCS評価制度への対応29%が映すサプライチェーンの盲点
2026年度末の運用開始が見込まれる「サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）」について、同調査では対応に動き出していると回答した企業は約29%にとどまりました。約4割が情報収集中、1割強が他社の様子見、約14%が「何もしていない」と回答しており、委託先・取引先を経由した侵害リスクへの備えは、自社単体の対策に比べて明らかに遅れていることがうかがえます。ランサムウェア攻撃者が侵入経路として取引先や委託先を選ぶケースは珍しくなく、自社の成熟度を高めるだけでは不十分な局面に差し掛かっていると言えそうです。
2027年に向けて中堅・中小企業が着手すべき打ち手
大企業の調査結果とはいえ、ここで示された傾向は取引先である中堅・中小企業にも無関係ではありません。むしろ予算や専任人材が限られる企業ほど、一度の被害が致命傷になりやすいという構造があります。具体的には、(1)重要データのバックアップを本番環境と切り離された場所に保持すること、(2)ランサムウェアを想定した復旧演習を年1回は実施すること、(3)取引先からの依頼メールであっても振込先変更などの重要な指示は電話等の別経路で確認する社内ルールを徹底すること、といった対策から着手することが現実的と考えられます。被害報道を受けて約80%の企業が何らかのセキュリティ強化に動いているという調査結果もあり、業種・規模を問わず「対岸の火事ではない」という認識が広がりつつあることは、前向きな変化として捉えてよいでしょう。
まとめ
2026年の各種調査を総合すると、ランサムウェア被害は「遭遇する確率」こそ横ばいから微減の兆しがある一方で、「一度遭遇した場合の損失規模」は被害額・業務停止期間の両面で明確に拡大しています。背景には、仮想化基盤やデータセンターを狙う攻撃の高度化に加え、AIを活用したとみられる偵察によるビジネスメール詐欺の増加という、質的に異なる脅威の広がりも指摘されています。セキュリティ成熟度と業務停止時間の相関が示すとおり、備えの差がそのまま損失の差として表れる時代に入りつつあります。自社の対策状況はもちろん、取引先を含めたサプライチェーン全体の備えを点検することが、2027年に向けた経営課題の一つになりそうです。
コメント