製造業が最も狙われている──ランサムウェア被害の実態

ランサムウェアとは──経営者が押さえておきたい2つの言葉

大手企業の情報漏洩が報じられるたびに、「うちのような規模の会社には関係ない」と感じる方は少なくないはずです。本記事では、その実感が公的統計とどこまで合っているのかを、警察庁とIPA（独立行政法人情報処理推進機構）の公表資料に絞って確かめます。

まず言葉を揃えておきます。

ランサムウェアとは

会社のパソコンやサーバに保存されたデータを暗号化して使えない状態にし、元に戻す対価として金銭（暗号資産を含む）を要求する不正プログラムです。警察庁によれば、近年はデータを盗んだうえで「支払わなければ公開する」と迫る「二重恐喝」が被害の多くを占めます。

データを暗号化せずに盗み出すだけの手口も確認されています。業務が止まることと、取引先や従業員の情報が外に出ること。この二つが同時に起こりうる点が、経営にとっての重さです。

サプライチェーン攻撃とは

狙った企業を直接攻めるのではなく、取引先や委託先、グループ会社など、つながりのある組織を経由して被害を広げる攻撃のことです。IPAの「情報セキュリティ10大脅威」では「サプライチェーンや委託先を狙った攻撃」という名称で扱われています。部品や加工を担う製造業にとっては、自社が「入口」として使われる可能性も含めて考える必要がある言葉です。

製造業はどれだけ狙われているのか──警察庁統計の事実

被害報告226件のうち、製造業は91件（約4割）で最多

警察庁が令和8年3月に公表した報告書によると、令和7年に報告されたランサムウェアの被害は226件でした[1] 。警察庁はこれを「依然として高水準で推移」していると表現しています。業種別では製造業が約4割を占め、最多でした。

業種別の件数は次のとおりです。

表1：令和7年 ランサムウェア被害報告の業種別件数（報告226件の内訳）

※件数は[2] 統計編の令和7年の値。割合は件数から編集部が算出（四捨五入）。

製造業の91件は、2位の卸売・小売業（34件）の2倍半を超えます。報告された被害のうち、およそ5件に2件が製造業ということになります。

中小企業は143件（約6割）──規模は「狙われない理由」にならない

規模別に見ると、警察庁の本文は「前年と同様に中小企業が約６割を占めている」と書いています[1]。件数は次のとおりです。

表2：令和7年 ランサムウェア被害報告の規模別件数（報告226件の内訳）

※件数は[2]統計編の令和7年の値。割合は編集部が算出（四捨五入のため合計は100%になりません）。

ここで母数を確認しておきます。表1・表2の割合は、いずれも警察に報告された被害226件の中での割合です。製造業全体の4割が被害に遭ったという意味ではありません。また、これは警察に報告された件数であり、被害の全数ではありません。

同じ統計の推移を見ると、報告件数は令和4年230件、令和5年197件、令和6年222件、令和7年226件でした[3]。一時的な流行ではなく、200件前後の水準が続いています。最新の令和8年上半期の集計でも、報告された被害のうち最も多い業種は製造業（約3割）でした[2] 。

IPA「10大脅威」でも1位はランサム、2位はサプライチェーン

IPAが2026年1月29日に公表した「情報セキュリティ10大脅威 2026」の組織向けランキングでは、1位が「ランサム攻撃による被害」（11年連続11回目）、2位が「サプライチェーンや委託先を狙った攻撃」（8年連続8回目）でした[4]。

1位と2位は2023年以降4年連続で変わっていません。IPAは、2025年もランサムウェアに感染した企業・組織が多く、取引先を含むサプライチェーン全体に深刻な影響が及んだ事例もあったことが、順位に反映されていると説明しています。

ただし、この順位は件数を数えた統計ではありません。前年の事故や攻撃の状況からIPAが脅威候補を選び、研究者や企業の実務担当者など約250名で構成する「10大脅威選考会」の投票を経て決めたものです。件数の多さではなく、専門家が前年の脅威の影響の大きさをどう見たかを示す順位です。警察庁の件数統計と並べると、「実際に多く起きていること」と「専門家が重く見ていること」の両面から状況をつかめます。

なぜ製造業・中小企業が狙われるのか

ここからは、統計の事実と、その背景についての考察を分けて書きます。

原典に書かれていること（事実）

警察庁は報告書で、ランサムウェア攻撃は「基本的に金銭目的」であり、攻撃者は「侵入する『隙』のある標的を探して攻撃を行う」と述べています[1]。近年はインターネットに露出した箇所から侵入する手口が多くを占め、被害組織へのアンケートでは侵入経路の6割以上がVPN機器（社外から社内ネットワークにつなぐための機器）でした。

攻撃の道具を貸し出す仕組み（RaaS）が広がったことで、高度な専門知識がなくても攻撃できるようになり、攻撃者の裾野が広がっていることも指摘されています。生成AIを利用して不正プログラムを作成した容疑での逮捕事案も確認されており、警察庁は、生成AIによって攻撃のハードルが下がることへの懸念を示しています[2]。

同じ報告書は、国家を背景とする攻撃グループが、情報通信、先端技術・製造、学術研究などの分野を主な標的としているとも記しています。これは情報窃取を目的とする攻撃の話で、金銭目的のランサムウェアとは別の文脈です。

編集部の見立て（推測を含みます）

警察庁の資料は「なぜ製造業が最多なのか」という因果までは示していません。以下は、上記の事実をもとにした編集部の考察です。

• 止まると困る業種であること。
  受注・生産・出荷が一体で動く製造業は、システムが止まれば売上と納期に直結します。金銭目的の攻撃者から見れば、交渉の圧力をかけやすい相手に映る可能性があります。
  　
• 外とつながる「入口」が多いこと。
  複数の工場や拠点、設備の遠隔保守、テレワークなど、社外から社内につなぐ仕組みを持つ製造業は少なくありません。侵入経路の多くがVPN機器だという事実と重ねると、入口の数と管理の行き届き具合が問われていると考えられます。
  　
• 規模ではなく「隙」で選ばれること。
  警察庁の言う「隙のある標的」という見方に立てば、会社の知名度や規模は、選ばれる理由にも選ばれない理由にもなりません。情報システムを数名、あるいは兼任で回している中堅・中小の製造業ほど、機器の更新や点検が後回しになりやすいのではないか、というのが編集部の見立てです。

「うちは小さいから狙われない」という前提は、少なくともこの統計とは合いません。では、被害に遭うと何が起きるのか。ここから先は、被害の重さと、経営者がまず押さえておきたい点を扱います。

ランサムウェア被害の深刻さ──復旧費用と事業停止のリスク

復旧に1,000万円以上かかった組織が5割超

警察庁は、令和7年に被害を受けた企業・団体へのアンケートの結果として、「復旧に総額1,000万円以上を要した組織の割合は全体の５割を超えている」と記しています[1]。ここでの「全体」は226件すべてではなく、アンケートで費用について回答した被害組織です。

復旧期間については「１か月未満で復旧した組織の割合は全体の５割強に留まる」とされています。警察庁は「被害が長期化する傾向」にあり、「被害組織の経営に与える影響は決して小さくない」と述べています。売上規模が数十億円の会社にとって、1,000万円を超える想定外の支出と、1か月単位の業務の乱れが同時に来る。これが統計から読み取れる「被害の相場感」です。

大手の事例が示すこと──受注・出荷の停止

警察庁の報告書は、令和7年下半期の主な事例を企業名を伏せて紹介しています[1]。

• 2025年9月、飲料メーカー大手が自社サーバへのランサムウェア攻撃を公表しました。製品の受注・出荷が停止し、顧客や従業員等の個人情報約191万件が漏えい、またはそのおそれがあるとしています。当該企業の調査では、攻撃者はグループ内のネットワーク機器を経由してデータセンターのネットワークに侵入したとされています。
  　
• 同年10月には通販大手も攻撃を公表しました。製品の受注・出荷に影響が出たほか、約74万件の個人情報に漏えいのおそれがあるとしています。

ここで注目したいのは、原因の詳細よりも「受注・出荷が止まった」という結果です。大手でさえ商流の根幹が止まります。取引先の受注・出荷を支えている中堅・中小の製造業であれば、その影響は自社にとどまらず、顧客の生産計画にも及びえます。

身代金と備えについて警察庁が示していること

身代金の支払いについて、警察庁は被害者に「犯罪グループ等の活動資金となることが懸念される」「暗号化されたデータの復号が保証されるわけではない」と説明していると記しています。

一方で、被害組織のうちサイバー攻撃を想定した業務継続計画（BCP）を策定済みだった組織は約18%にとどまりました[1] 。払えば戻るとは限らず、払わないなら事前の備えで持ちこたえるしかない。この二つを並べると、経営判断として何を先に準備すべきかが見えてきます。

比較表：「大丈夫と思っている会社」と統計が示す実態

※VPN機器・復旧費用・復旧期間・BCPの割合は、被害組織へのアンケートによるもの。出典：[1] 。中小企業・製造業の件数は[2]統計編の令和7年の値。

経営者がまず認識すべきこと──対策の第一歩

統計は「何をすべきか」までは教えてくれません。ただ、上の表を自社に置き換えると、いくつかの問いが浮かびます。

• 自社の「入口」を把握しているか。
  社外から社内につながるVPN機器などが何台あり、誰が更新の責任を持っているのか。即答できる経営者は多くないはずです。警察庁は、主要な侵入経路であるVPN機器について「速やかな対応が必要」と明記しています[1]。
  　
• 止まったとき、誰に何を連絡するか決まっているか。
  取引先、従業員、警察。警察庁は、BCPに連絡先を整理しておくと被害発生時の連携が円滑になるとしています。地震を想定したBCPがあっても、サイバー攻撃は被害の出方が異なるため、別の想定が要るというのが警察庁の指摘です。
  　
• 戻せる状態にあるか。
  警察庁は、ネットワークから切り離したバックアップ（オフラインバックアップ）と、侵入範囲を調べるためのログの取得を、被害を抑える備えとして挙げています。

どれも、専任の担当者を新たに雇わなければ始められない話ではありません。まず「現状を把握している人が社内にいるか」を確かめること自体が、経営者にしかできない最初の一手です。私たちの会社が被害に遭ったら、どの取引先に、何日で、何を説明できるか。この問いに答えられるかどうかが、自社のリスクを測る一つの物差しになります。

本連載では今後、取引先を経由した攻撃（サプライチェーン攻撃）の実態、中小企業の対策が進みにくい背景、使える公的支援制度を順に取り上げます。

まとめ

• 警察庁に報告された令和7年のランサムウェア被害は226件でした。製造業は91件（約4割）で最多、規模別では中小企業が143件（約6割）でした。最新の令和8年上半期でも、最多の業種は製造業です。
• IPA「情報セキュリティ10大脅威 2026」の組織向けでは、1位が「ランサム攻撃による被害」、2位が「サプライチェーンや委託先を狙った攻撃」です。ただし投票による順位で、件数統計ではありません。
• 被害組織へのアンケートでは、復旧に総額1,000万円以上かかった組織が5割を超え、1か月未満で復旧できた組織は5割強にとどまります。
• 侵入経路の6割以上はVPN機器でした（アンケート回答ベース）。サイバー攻撃を想定したBCPを策定済みの被害組織は約18%です。
• 「中小だから関係ない」ではなく、自社の入口・連絡体制・戻せる備えを経営者が把握しているかを確かめることが第一歩です。

ものづくり経営フォーラムでは、製造業の経営者が判断の材料にできる情報を、公的データと現場の声から届けています。セキュリティ連載の続編を見逃さないよう、ぜひBizArenaへの会員登録と、本メディアのフォローをお願いします。

出典

[1] 警察庁サイバー警察局「令和７年におけるサイバー空間をめぐる脅威の情勢等について」（令和8年3月）
[2] 警察庁サイバー警察局「令和８年上半期におけるサイバー空間をめぐる脅威の情勢等について」（令和8年9月）
[3] 警察庁長官官房「令和７年の犯罪情勢」（令和8年2月）
[4] 独立行政法人情報処理推進機構（IPA）「『情報セキュリティ10大脅威 2026』を決定」（2026年1月29日）