「うちみたいな小さな会社が狙われるわけがない」そう感じている経営者や担当者は少なくありません。ですが、公的機関が公表している最新のデータでは、その認識が危ういことを示しています。
ある朝出社したら全社の共有ファイルが一切開かず、画面には「データを元に戻したければ金を払え」という英語のメッセージだけが残っていた——。こうしたランサムウェア（身代金要求型ウイルス）の被害は、従業員数十名規模の会社でも珍しくなくなりました。
ランサムウェアは、もはや大企業だけの問題ではありません。むしろ、対策が後回しになりがちな中小企業こそが、いま最も狙われている層です。この記事では、公的機関の最新データをもとに「なぜ中小企業が狙われるのか」「何から手をつければいいのか」を、現場目線で具体的に整理します。
結論：やるべきは「入口・バックアップ・体制」の3点セット
結論からお伝えすると、ランサムウェア対策で中小企業がまず押さえるべきは、次の3つです。
- 入口を塞ぐ
VPN機器やリモートデスクトップのID・パスワードを見直し、多要素認証をかける - 戻せる状態をつくる
バックアップをオフライン（ネットから切り離した場所）でも保管する - 決めておく
被害に遭ったときの連絡先と初動手順を、紙で1枚にまとめておく
高価な製品を導入する前に、この3点だけでも被害に遭う確率と、遭ったときの深刻さは大きく変わります。その理由は、実際の感染経路と被害データを見るとはっきりします。
なぜ今、中小企業がランサムウェアに狙われるのか
IPA（情報処理推進機構）が毎年公表する「情報セキュリティ10大脅威 2026」でも、組織向けの脅威の第1位は「ランサム攻撃による被害」でした。これは11年連続で選出されており、企業にとって最大級の脅威であり続けています。
さらに深刻なのが、被害の矛先が中小企業に向いているという事実です。警察庁が2025年3月に公表した「令和6年におけるサイバー空間をめぐる脅威の情勢等について」によると、2024年（令和6年）のランサムウェア被害報告件数は222件と高水準で推移しました。
組織規模別に前年と比べると、大企業の被害が減少する一方で、中小企業の被害件数は37%増加しています。警察庁は、この背景に「対策が比較的手薄な中小企業」が狙われやすくなっている点を挙げています。
「攻撃する側のハードルが下がった」という構造変化
なぜ小さな会社まで狙われるのか。カギは RaaS（Ransomware as a Service） という仕組みです。ランサムウェアを開発する側が、攻撃の実行役に“道具”を貸し出し、奪った身代金の一部を受け取る——という分業体制が広がっています。
この結果、高度な技術を持たない攻撃者でも参入できるようになり、「数を撃てば当たる」式に、規模を問わず手当たり次第に狙われるようになりました。つまり「小さいから狙われない」のではなく、「小さくても・小さいからこそ狙われる」時代になっているのです。
データが示す「感染経路」と「被害の重さ」
実際の被害はどのように起きているのでしょうか。感染の「入口」と、その後に待っている「代償」を、データで具体的に見ていきましょう。
8割以上がVPN・リモート機器から侵入している
同じ警察庁の報告書では、感染経路のうちVPNやリモートデスクトップ用の機器からの侵入が、全体の8割以上を占めていました。原因として挙げられているのは、ID・パスワードが非常に安易だったことや、使われていないアカウントが管理されずに放置されていたことです。
テレワーク導入時に慌てて開けたVPN、退職者が使っていたまま消し忘れたアカウント——こうした“開けっぱなしの窓”が、そのまま侵入口になっています。
実際の報告書では、「試験的に作成したアカウントの安易な認証情報を利用されて侵入された」「海外支社の機器を管理できておらず、そこから侵入されて国内本社が被害に遭った」といったケースが紹介されています。（参照：警察庁「令和6年におけるサイバー空間をめぐる脅威の情勢等について」）
復旧は「長期化・高額化」している
被害の重さも増しています。同報告書のアンケートでは、調査・復旧に1か月以上かかった組織は44%から49%へ、費用が1,000万円以上に達した組織は37%から50%へと、いずれも前年から増加しました。
事業を止められたうえに、復旧に1か月・1,000万円超。中小企業にとっては、会社の存続に関わる打撃です。
大手企業でも20億円超の損失
規模の大きい事例では、2024年6月に大手出版企業がランサムウェアを含む攻撃を受け、25万人分を超える個人情報や企業情報が漏えいし、調査・復旧費用などとして20億円を超える損失を計上する見込みだと公表しました。
体力のある大企業でもこの規模です。同じ被害を中小企業が受ければ、影響はさらに深刻になりかねません。
中小企業がまずやるべき5つの対策
ここまでの被害データを踏まえ、優先度の高い順に5つの対策を紹介します。
1. VPN・リモート機器のID／パスワードを見直す
感染経路の8割がここです。初期パスワードのまま、あるいは推測されやすい文字列のままになっていないかを確認しましょう。特に管理者アカウントは、長く複雑なパスワードに変更しておくことが重要です。
2. 多要素認証（MFA）をかける
多要素認証とは、パスワードに加えてスマホの確認コードなど「もう一段の認証」を求める仕組みです。パスワードが漏れても、この一段があるだけで侵入は大きく防げます。VPNやクラウドサービスの管理画面には、最優先で設定しましょう。
この「パスワードだけに頼らない」「社内にいる相手も無条件には信頼しない」という発想は、社内ネットワーク全体の設計にも通じます。
考え方の土台については、ゼロトラストとは？従来のセキュリティとの違いを「空港の保安検査」に例えて解説 で、身近な例えを使って整理しています。よろしければ参考にしてください。
3. 使っていないアカウントを棚卸しする
退職者・試験用・外注先など、“今は使っていないアカウント”は侵入の温床です。定期的に一覧を出し、不要なものは無効化しましょう。「誰が・何のために持っているか説明できないアカウント」は、原則として消す方針が安全です。
4. バックアップをオフラインでも保管する
ランサムウェアは、ネットワーク上のバックアップごと暗号化・削除しにいきます。報告書でも、攻撃者がバックアップやログを消去する手口が確認されています。ネットから切り離した場所（外付けストレージや別媒体）にも保管しておくことが、“戻せる”ための生命線です。
5. ログを取得・保管しておく
侵入経路の調査や復旧には、通信のログが欠かせません。ログが残っていないと原因が特定できず、対策を打てないまま再び同じ穴から被害に遭う可能性があります。日頃からログを取得し、こちらもできればオフラインで保管しておきましょう。
対策する前に知っておきたい注意点
ここまでの対策に取り組む前提として、知っておきたい落とし穴があります。「やったつもり」で終わらないために押さえておきましょう。
「バックアップがあるから大丈夫」は半分正解
近年は、データを暗号化する前に盗み出し、「払わなければ公開する」と脅す二重恐喝が主流です。さらに、暗号化すらせずデータを盗んで脅す「ノーウェアランサム」という手口も出てきました。バックアップで復旧できても、情報漏えいそのものは別問題として残る——この点は押さえておく必要があります。
攻撃は「休みの隙」を突いてくる
報告書によると、土日が休みの企業を狙い、金曜の営業終了後に侵入して月曜の朝までに暗号化を終わらせる、という手口も確認されています。長期休暇や連休の前ほど、機器の状態やアカウントを確認しておきたいところです。
「防ぐ」だけでなく「起きた後」まで決めておく
警察庁の分析では、被害が大きかった組織（1,000万円以上かつ1か月以上を要した組織）のうち、サイバー攻撃を想定したBCP（事業継続計画）を策定していたのはわずか11.8%でした。一方、1週間未満で復旧できた組織では23.1%が同種のBCPを準備していました。
被害に遭った後にどう動くかをあらかじめ決めておくことが、復旧の早さに直結します。事業継続計画そのものの考え方や作り方は、【2025年版】BCP対策とは？BCP対策に取り組むべき理由と業界別の具体策を解説 で解説しています。ランサムウェア対策とセットで準備しておくと安心です。
まとめ：完璧を目指すより「狙われやすい穴」から塞ぐ
ランサムウェア対策は、いきなり高価な製品をそろえることではありません。
まずは、実際に狙われている「VPN・リモート機器の認証」「不要アカウント」「オフラインバックアップ」という、被害の8割につながっている穴から塞ぐことが、いちばん費用対効果の高い一歩です。
うちは狙われない」ではなく「うちも狙われる前提で、まず現状を知る」。そこから、すべての対策が始まります。
とはいえ、自社のネットワークやVPNのどこにリスクがあるのかを、社内だけで判断するのは簡単ではありません。プロに相談し、優先順位を整理するのが近道です。まずは無料診断で、自社の“開いている窓”を確認してみてください。