ランサムウェア ── BCPはあっても、サイバー攻撃の想定はない

この記事で分かること

バックアップは取っています。事業継続計画（BCP）もあります。

そこにサイバー攻撃は書かれているでしょうか。

被害の6割は中小企業で、入口はメールではない

警察庁が、令和7年（2025年）に報告されたランサムウェア被害をまとめています。報告件数は226件（警察庁、令和7年におけるサイバー空間をめぐる脅威の情勢等について、2026年3月公表、p.13）。

この件数は5年ほど動いていません。令和3年146件、令和4年230件、令和5年197件、令和6年222件、そして令和7年が226件です（同資料の統計データ、ランサムウェア被害報告件数の推移）。

規模別では、中小企業が143件で63.3%。大企業が64件、団体等が19件でした（同統計データ、ランサムウェア被害の企業・団体等の規模別報告件数を当社が計算）。

感染経路が分かっているのは92件です（同統計データ、感染経路）。

VPN機器が61件、リモートデスクトップが19件。合わせて80件で87.0%です（同統計データ、感染経路の件数を当社が計算）。

不審メールやその添付ファイルは2件でした（同表）。従業員がメールに気をつけることでは、この87.0%は止まりません。

被害に遭った組織へのアンケートで、BCPの策定状況を聞いています。答えたのは111件です（同統計データ、図表11）。

BCPを策定していたのは64件です。そのうちサイバー攻撃を想定に含んでいたのは20件でした（同統計データ、図表11の件数を当社が計算）。

原典の本文は「BCPを策定済の組織の割合は約18%」と書いています（同資料、p.16）。この18%は、サイバー攻撃を想定に含む20件のことです。

同じアンケートで、バックアップの取得状況にも答えています。116件のうち、取得していたのは105件、90.5%でした（同統計データ、バックアップの取得状況の件数を当社が計算）。

それでも止まっています。原典は手口をこう書いています。「復旧を妨害するため、バックアップも一緒に暗号化される場合が多い」（同資料、p.15〜16）。

もう一つ、バックアップでは足りない理由があります。手口が分かっている153件のうち、二重恐喝型が136件、88.9%でした（同統計データ、ランサムウェア被害の手口別報告件数を当社が計算）。データを暗号化するだけでなく、対価を払わなければ公開すると要求する手口です（同資料、p.13）。

バックアップから戻せば、業務は再開できます。ただし、持ち出されたデータは戻ってきません。

復旧に要した期間に答えたのは107件です。1か月未満で戻せたのが60件、1か月以上かかったのが22件。そして集計の時点でまだ復旧中だったのが25件、23.4%ありました（同統計データ、復旧等に要した期間の件数を当社が計算）。

費用のほうは、89件が答えています。調査費用の総額が1,000万円以上だったのは46件、51.7%です（同統計データ、調査費用の総額の件数を当社が計算）。

ここまでの数字は、設問ごとに答えた数が違います（226件、92件、111件、116件、107件、89件）。226件すべてが答えたものではありません（同統計データの各表）。

被害に遭った組織も、やってはいました。9割がバックアップを取っていて、6割近くがBCPを策定していました。それでも止まっています。

まず確認するのは、自社のBCPにサイバー攻撃の項目があるかです。

無ければ、二つ書きます。

BCPそのものが無い会社もあります。この調査では47件でした（同統計データ、図表11）。その場合も、書くのは同じ二つです。それがBCPの一行目になります。

どちらも金額と日数で、止まってから決めると遅くなります。半分の組織で、調査費用が1,000万円を超えています（同統計データ、調査費用の総額）。その決裁は、止まっている最中に回ることになります。

そして入口はVPN機器とリモートデスクトップです。その機器を持っているのが自社か、委託先か。まずそこから確かめます。