1. ランサムウェア被害の「今」—数字で見る現状

警察庁の最新資料によると、2025年上半期のランサムウェア被害は、組織規模別では中小企業が全体の約3分の2を占め、件数・割合ともに過去最多となっています。中小企業向けメディアでも、直近の被害の約66％が中小企業との指摘があり、「大企業ばかりが狙われている」というイメージはすでに現実とかけ離れています。

また、ランサムウェアの特徴として、次のような点が挙げられます。

• データを暗号化して業務を止める
• 盗んだデータを「ばらまく」と脅して二重に金銭を要求する（二重恐喝）

といった悪質な手口が増えています。単に「システムが止まる」というレベルを超え、ビジネスそのものの継続に関わる問題になっています。

2. なぜ中小企業が狙われるのか

中小企業が狙われる理由は、技術的に高度な話ではなく、とてもシンプルです。

• 基本的な対策が手薄になりがち
  • VPN機器のソフトウェア更新が放置されている
  • パスワードが弱い、使い回している
  • バックアップやログの取得が不十分
• 「自分たちは標的にならない」という思い込み
  • 攻撃者は「狙い撃ち」だけでなく、自動ツールで広くスキャンしています
  • たまたま見つかった弱点から侵入するケースが多数報告されています。
• 攻撃が“ビジネス化”している
  • 「ランサムウェア・アズ・ア・サービス（RaaS）」と呼ばれる、攻撃手口を売り買いする仕組みが広がっています。
  • 技術力の低い攻撃者でも、ツールを利用して中小企業を狙える時代になっています。

要するに、「守りの薄い会社が、効率よくお金を取れるターゲット」として中小企業が見られている、ということです。

3. 経営にとってのダメージ—売上・信用・人の観点

ランサムウェア被害は、ITの問題に見えますが、影響が出るのはむしろ経営数字と信用です。

• 売上・キャッシュフローへの影響
  • 生産ラインや受注システムが止まると、数日〜数週間の売上が失われる
  • 納期遅延による違約金や、追加残業・復旧費用が発生する
• 取引先との関係・信用
  • 個人情報や取引情報が流出すれば、報告・謝罪・再発防止策の説明が必要になる
  • 「セキュリティの甘い会社」という印象は、今後の入札や新規取引にも響きます
• 社内の雰囲気・人材
  • 従業員の残業や復旧対応が長期化すると、離職リスクも高まる
  • 「IT担当のせい」にしてしまうと、組織としての信頼が崩れます

被害額は、復旧コストや売上の落ち込みなどを含めると、中小企業でも数千万〜億単位になる可能性があると指摘されています。

4. まず押さえるべき「3つの問い」

Day1では、細かい対策よりも、経営として以下の3つの問いを押さえておくことが大切です。

1. 「うちも狙われている可能性がある」と前提を変えられるか
2. 被害に遭ったとき、止まっては困る業務はどこか
3. 現状、どこまで基本的な対策ができているのか把握できているか

この3つを経営会議や幹部会で共有し、「IT担当任せ」から一歩進んで、経営としてのサイバーリスク管理に位置づけることが、最初の一歩になります。