- 警察庁へのランサムウェア被害報告は令和7年（2025年）に226件。前年の222件に続き、令和4年以降の高止まりが続いています。報告ベースの統計なので実数はさらに多いと考えるのが自然です。
- 被害組織の約6割は中小企業。令和7年上半期は77件で約3分の2を占め、件数・割合ともに過去最多でした。「うちは小さいから狙われない」は、データの上では成り立ちません。
- 侵入経路の最多はVPN機器。リモートデスクトップと合わせるとネットワーク境界の機器からの侵入が大半を占めます。守るべき最前線は「怪しいメール」よりも「境界の機器」です。
- 被害後の調査・復旧費用が1,000万円以上に及んだ組織は59%（前年50%から増加・令和7年上半期）。この数字は、対策の優先順位と「残るリスク」の大きさを測る物差しになります。
ランサムウェア（データを暗号化するなどして身代金を要求する攻撃）は、IPA「情報セキュリティ10大脅威 2026」の組織向け1位に選ばれ続けている脅威です。ただ、この種の話題は「怖い」で終わってしまいがちです。本記事の目的は逆で、警察庁が公表した統計を怖がるためでなく、自社の対策の優先順位を決めるために読むことです。数字は正しく読めば、不安のもとではなく打ち手のリストになります。
依拠するのは、警察庁「令和7年におけるサイバー空間をめぐる脅威の情勢等について」（2026年3月公表）と、同「令和7年上半期」版（2025年9月公表）です。
226件という数字の読み方——「氷山の一角」でも傾向は明確
警察庁に報告されたランサムウェア被害は、令和7年（2025年）通年で226件。令和6年の222件からわずかに増え、令和4年以降、高い水準での横ばいが続いています。
まず押さえたいのは、これが「報告された件数」だという点です。被害に遭っても、取引先への影響や信用を考えて警察に報告しない企業は一定数存在すると考えられます。つまり226件は氷山の一角であり、実際の被害はこれより多い。一方で、報告ベースであっても4年連続の高止まりという傾向そのものは明確です。一過性の流行ではなく、常在化した脅威として扱うべき段階にある——これが件数から読み取るべき結論です。
「うちは小さいから狙われない」がデータ上成り立たない理由
被害組織の内訳を見ると、約6割が中小企業です。令和7年上半期に至っては、半期116件のうち中小企業が77件と約3分の2を占め、件数・割合ともに過去最多を更新しました。
なぜ大企業ではなく中小企業に被害が集中するのか。警察庁の分析が挙げる背景のひとつがRaaS（Ransomware as a Service）です。ランサムウェアの開発者が攻撃ツールを実行役に提供し、身代金の一部を受け取る分業モデルが広がった結果、高度な技術を持たない攻撃者でも攻撃に参入できるようになりました。攻撃の「数」が増えれば、狙いは有名企業に絞られません。攻撃者が選ぶのは「価値のある会社」ではなく「入りやすい会社」です。防御の手薄な組織から順に被害に遭う——中小企業の割合が高いのは、その帰結と読むのが自然です。
「うちには盗まれて困る情報などない」という声をよく聞きます。しかしランサムウェアが人質に取るのは機密情報だけではなく、業務そのものです。受発注データ、顧客台帳、図面、勤怠——それが暗号化されて使えなくなれば、情報の希少価値と関係なく事業は止まります。狙われる理由は「持っているもの」ではなく「止まると困ること」。これはどの規模の会社にもあります。
どこから入られているのか——最前線は「メール」より「境界の機器」
感染経路の統計は、対策の優先順位に直結する情報です。令和7年上半期の報告では、VPN機器からの侵入が約6割で最多。リモートデスクトップを合わせると、社内と社外の境界にあるネットワーク機器経由の侵入が8割以上を占めます。
これは対策の常識を更新する数字です。「怪しいメールを開かない」訓練はもちろん大切ですが、現実の侵入の主流は、テレワーク等のために設置したVPN装置やリモート接続の「入り口」そのもの——特に、修正プログラムが適用されないまま放置された機器の脆弱性です。機器を設置した当時の設定のまま、更新を業者任せにして何年も経っていないでしょうか。自社にどんな境界機器があり、誰が更新の責任を持っているのか。まずここを把握することが、統計が示す最優先の打ち手です。
なお、前回までに紹介した国のSCS評価制度でも、この統計と同じ問題意識が制度設計に反映されています。★4の技術検証（脆弱性検査)は、まさにVPN装置やルータなど「脆弱性を悪用されると内部に侵入されるリスクが高い機器」を対象とすると整理されています（SCS評価制度の解説はこちら）。国の制度と警察庁の統計が、同じ場所を指差しているのです。
被害に遭うといくらかかるのか——「残るリスク」の物差し
令和7年上半期の報告では、被害組織のうち調査・復旧費用の合計が1,000万円以上に及んだ割合は59%。前年の50%から増加しました。しかもこれは調査・復旧の直接費用であり、事業停止中の逸失利益、取引先対応、信用への影響といった間接的な損害は含まれていません。
この数字の使い道は、恐怖ではなく経営判断の材料です。リスクマネジメントでは、リスクの大きさを「起こりやすさ×影響度」で評価します（ISO 31000の基礎）。警察庁の統計は、この両方に実データを与えてくれます。起こりやすさ＝中小企業が約6割・4年連続高止まり。影響度＝復旧だけで1,000万円超が6割弱。この規模の損失を自己資金で受け止められるか（保有できるか）、受け止められないなら何で手当てするか。数字があって初めて、この議論が具体的になります。
ISO 31000で数字を「打ち手」に変える
統計の読み取りを、リスクへの4つの対応（回避・低減・移転・保有）に落とすと、優先順位はこう整理できます。
第一に低減。侵入経路の統計が示すとおり、境界機器の把握と更新、ID・パスワード管理、バックアップといった基礎対策が最優先です。特別な投資の前に、まず現在地の把握から——その道具が前回紹介したIPAの自社診断（25項目）であり、その先にSCS評価制度★3の26要求事項が続きます。第二に、どれだけ低減しても攻撃を完全には防げない前提で、残余リスクの扱いを決めること。1,000万円超という復旧費用の実データを見ながら、保有するのか、サイバー関連の保険等での移転を組み合わせるのかを判断します。順序は常に「まず減らす、それでも残る分をどうするか」です。減らす前に移転から考えるのは、順番が逆です。
まとめ——数字は不安のためでなく、優先順位のためにある
警察庁の統計が教えてくれるのは、「怖い時代になった」ではありません。誰が狙われ（中小企業が約6割）、どこから入られ（境界の機器）、いくらかかるのか（復旧1,000万円超が59%）——つまり、限られた予算と時間をどこに割くべきかです。データの指差す場所から、ひとつずつ。それが「知って備える」ということだと、キールは考えています。
「自社の境界機器や対策の現在地を、一度整理して把握したい」
「復旧費用のデータを踏まえて、保有と移転のバランスを相談したい」
そんなときは、ISO 31000ベースのリスクコンサルティングを行うキールにご相談ください。
よくあるご質問
従業員数名の会社でも本当に狙われるのですか？
警察庁の統計では被害組織の約6割が中小企業で、令和7年上半期は約3分の2と過去最多でした。RaaSにより攻撃の参入障壁が下がった結果、攻撃者は企業の知名度でなく「入りやすさ」で対象を選ぶ傾向にあります。規模の小ささは守りにはなりません。一方で、狙われやすさは対策状況で変えられます。
まず何から対策すればよいですか？
統計上、侵入経路の最多はVPN機器などネットワーク境界の機器です。①自社にどんな境界機器・リモート接続があるかの棚卸し、②その修正プログラム（アップデート）適用状況の確認、③ID・パスワード管理の見直し、④バックアップの確認——ここが出発点です。全体像の把握にはIPAの「5分でできる！情報セキュリティ自社診断」（25項目・無料）が使えます。
身代金は払えば解決するのですか？
支払ってもデータが復元される保証はなく、窃取された情報の公開を続けて脅迫される事例や、支払いが次の攻撃の資金源になる問題も指摘されています。警察庁は被害に遭った場合の警察への相談・通報を呼びかけています。支払いを前提にせず、バックアップと復旧手順という「払わずに済む備え」を先に整えることが基本です。
被害額1,000万円というのは大企業の話ではないのですか？
警察庁の令和7年上半期の報告では、被害組織のうち調査・復旧費用が1,000万円以上に及んだ割合は59%で、被害組織の約3分の2は中小企業です。つまりこの費用水準は中小企業を多く含む実態です。さらにこの金額は調査・復旧の直接費用であり、事業停止中の損失や取引先対応などの間接損害は含まれていません。
サイバー保険に入れば対策は不要ですか？
いいえ。保険はISO 31000でいう「移転」、すなわち低減してもなお残るリスクに対する手当てのひとつであり、対策の代わりにはなりません。まず境界機器の管理やバックアップなどの低減策を講じ、それでも残る損失の大きさを見積もったうえで、保有するか移転するかを検討する——この順序が基本です。キールでは対策の整理からご相談を承ります。
出典（一次資料）
- 警察庁「令和7年におけるサイバー空間をめぐる脅威の情勢等について」（2026年3月）
https://www.npa.go.jp/publications/statistics/cybersecurity/data/R7/R07_cyber_jousei.pdf - 警察庁「令和7年上半期におけるサイバー空間をめぐる脅威の情勢等について」（2025年9月）
https://www.npa.go.jp/publications/statistics/cybersecurity/data/R7kami/R07_kami_cyber_jyosei.pdf - IPA「情報セキュリティ10大脅威 2026」
本記事は2026年7月23日時点の公表情報に基づく一般的な情報提供であり、特定の保険商品の推奨・勧誘を目的とするものではありません。統計の数値は出典資料の公表時点のものです。最新情報は警察庁・IPAの公表資料をご確認ください。
