中小企業のサイバーリスク
「うちは小さいから狙われない」は通用しません。公的なデータで現状を確認します。
情報確認日：2026年11月12日
中小企業もサイバー攻撃の標的になりますか？
なります。警察庁によると、2025年のランサムウェア被害の報告226件のうち約6割が中小企業でした。業種別では製造業が約4割を占めています。
ランサムウェア被害の現状（2025年）
復旧までの期間も長くなる傾向で、「1か月未満」で復旧できた組織は5割強にとどまります。止まっている間は受注・出荷・請求が滞り、取引先にも影響が広がります。
情報セキュリティ10大脅威 2026（組織）
IPA（独立行政法人情報処理推進機構）が毎年公表しているランキングです。2026年版では「AIの利用をめぐるサイバーリスク」が初めて3位に入りました。
| 順位 | 脅威 |
|---|---|
| 1位 | ランサム攻撃による被害 |
| 2位 | サプライチェーンや委託先を狙った攻撃 |
| 3位 | AIの利用をめぐるサイバーリスク |
| 4位 | システムの脆弱性を悪用した攻撃 |
| 5位 | 機密情報を狙った標的型攻撃 |
| 6位 | 地政学的リスクに起因するサイバー攻撃（情報戦を含む） |
| 7位 | 内部不正による情報漏えい等 |
| 8位 | リモートワーク等の環境や仕組みを狙った攻撃 |
| 9位 | DDoS攻撃（分散型サービス妨害攻撃） |
| 10位 | ビジネスメール詐欺 |
中小企業でよくある被害の形
ランサムウェア
社内のデータやサーバーが暗号化され、業務が止まります。バックアップまで暗号化されることもあります。身代金を払っても復旧できる保証はありません。
取引先経由の攻撃
セキュリティの弱い会社を踏み台に、大企業の取引先へ侵入する「サプライチェーン攻撃」。取引先から対策の状況を聞かれる場面が増えています。
ビジネスメール詐欺
取引先になりすました「振込先変更」のメールで代金をだまし取る手口。保険によっては特約で資金の損害を補償できます。
中小企業の事故例と費用（保険会社の想定例）
売上高1億〜10億円規模の会社でも、1回の事故で800万〜1,800万円ほどの費用が想定されています。
| 想定事例 | きっかけ | 主な費用 | 合計 |
|---|---|---|---|
| 製造業・売上高1億円 | 取引先を装ったメールの添付ファイルを開きマルウェアに感染。踏み台にされ取引先にも被害が拡大 | 原因・影響調査500万円、復旧50万円、再発防止80万円、賠償対応1,000万円、問い合わせ対応など200万円 | 1,830万円 |
| 小売業・売上高10億円 | VPN機器の管理パスワードが初期設定のままで不正侵入され、サーバがランサムウェアで暗号化 | 原因・影響調査600万円、復旧50万円、再発防止70万円、問い合わせ対応など100万円（身代金は補償対象外） | 820万円 |
| サービス業・売上高3億円 | 取引先のホームページ閲覧でPCが感染し、生徒・保護者の個人情報が流出 | 原因・影響調査500万円、被害拡大防止150万円、復旧50万円、再発防止50万円、対外公表50万円、問い合わせ対応など200万円 | 1,000万円 |
出典：日新火災「ビジサポ サイバー・情報漏えい事故補償特約」チラシ（RQ767-1 2025.10）（事例と費用は事故の一例です）
原因を調べるデジタル・フォレンジック調査は、PC1台あたり100万円、サーバ1台あたり300万円が目安とされ、PC3台・サーバ1台の初期対応で約700万円という試算もあります。
出典：AIG損保「ALL STARs 事業賠償・費用総合保険 サイバーリスクの補償」パンフレット（2026年7月版 5A1-773）
個人情報が漏れたら「報告」と「本人への通知」が義務
2022年4月1日から、次のいずれかにあたる個人データの漏えい等が起きた場合、個人情報保護委員会への報告と本人への通知が義務になっています。
- 要配慮個人情報（病歴など）が含まれる
- 財産的被害が生じるおそれがある（クレジットカード番号など）
- 不正の目的をもって行われた（サイバー攻撃による漏えいなど）
- 1,000人を超える漏えい等
委員会への報告は、速やか（概ね3〜5日以内）に行うよう求められています。調査、通知、問い合わせ対応には専門家と費用が必要になります。