ランサムウェアは災害ではなく人災である！事例や想定損失額もご紹介

最近、ニュースでランサムウェアの被害を聞かない日はありません。しかし、お話しを聞いてみると、「うちは大手ではないから狙われない」「専用の管理システムを入れているから、メーカーが守ってくれているはずだ」という、根拠のない「安心」を抱いている方がたくさんいるように感じます。

正直に申し上げて、その考え自体がシステムでいうところの「致命的なバグ」と言えるのではないでしょうか。高度な図面・文書管理システムを導入してもそれを運用している人間に「守る」という意識が無ければ意味を成しません。システムの過信、運用での慢心（脆弱性の放置）こそが攻撃者に対して都合のよい情報や環境を与えてしまうという人災の正体です。現在のランサムウェア攻撃は、昔のような愉快犯によるいたずらではなく、RaaS（Ransomware as a Service）という高度に組織化された「巨大な闇ビジネス」です。今回はランサムウェアの被害の大きさ、対策コストというシビアな現実も併せて解説したいと思います。

1 ランサムウェアは進化している
2 攻撃者の侵入経路はいくつもある
3 ランサムウェアの国内事例に学ぶ　被害がもたらすビジネスへのダメージ
4 「図面文書管理システムがあるから安心」という最大の罠
5 ランサムウェア被害発生時の想定損失額
6 まとめ

ランサムウェアは進化している

既に「知っている」とは思いますが、あえて、まず、ランサムウェアという敵の正体を正しく認識することから始めてみましょう。

かつてのランサムウェアは、単純にデータを暗号化して「元に戻して欲しければ身代金を払え」と要求するだけのものでした。この段階であれば、しっかりとしたバックアップさえあれば、身代金を払わずに復旧することが可能でした。

しかし、今のランサムウェアは「二重脅迫」が標準となっています。攻撃者は、システムを暗号化する前に、まず社内の機密データをこっそり外部に持ち出します。そして、暗号化をしたうえで以下のような脅迫をしてきます。

１．第一の脅迫（復号）

「データを暗号化した。元に戻してほしければ身代金を払え」

２．第二の脅迫（暴露）

「身代金を払わなければ、盗み出した機密情報をダークウェブで公開する。ライバル企業に情報が渡ってもいいのか？」

たとえバックアップから自力で復旧できたとしても、機密情報の漏洩というカードを切られるわけです。企業の社会的信用が人質に取られる、まさに「逃げ場なし」の攻撃なのです。

攻撃者の侵入経路はいくつもある

今の攻撃者は、最もコストをかけずに侵入できる「穴」をロジカルにスキャンし、以下のようなことを行います。

１．ルーターやVPN機器の脆弱性

これが現在の被害で最も多いパターンと思われます。パッチを当てていないルーターやVPN機器は、鍵の壊れたドアと同じで、攻撃者は正面から堂々と、社内ネットワークに入り込んできます。

２．リモートデスクトップ（RDP）のパスワード不備

リモートデスクトップの穴を見つけた場合、攻撃者はユーザー、パスワードの総当たり攻撃（ブルートフォース）を仕掛けます。パスワードが脆弱であれば、数秒で侵入してきます。

３．高度な標的型メール

実際の取引を装った極めて自然な日本語メールで、ウイルス入りのファイルを開かせます。

４．サプライチェーン攻撃

取引業者のPCが感染していれば、「信頼されたルート」となってしまい、そこを経由してウイルスは侵入してきます。

ランサムウェアの国内事例に学ぶ　被害がもたらすビジネスへのダメージ

最近、ニュースでも話題になった事例を２つご紹介いたします。

１．アサヒグループホールディングスの事例

2025年9月にランサムウェア攻撃を受け、受発注・出荷システム停止、国内工場の一部稼働停止、最大191万件超の個人情報漏洩の恐れなどの被害が発生しました。ロシア拠点のランサムウェア集団「Qilin」が犯行声明を出し、アサヒは身代金支払いを拒否、約2か月のシステム停止を経て、2026年2月以降に出荷正常化を目指すとしました。この事件はサプライチェーン全体への影響と、情報漏洩リスクの深刻さを示しました。

２．アスクルの事例

2025年10月に大規模なランサムウェア攻撃を受け、システム障害で一時サービスを停止し、顧客情報を含むデータ流出が発生しました。攻撃は業務委託先のアカウント経由で侵入され、多要素認証（MFA）の例外設定が弱点となり、最終的に約74万件の顧客情報が流出しました。その後アスクルは復旧とセキュリティ強化を進めていますが、この事件はサプライチェーンの脆弱性や認証情報の管理の重要性を示す事例として注目されています。

「図面文書管理システムがあるから安心」という最大の罠

ランサムウェア被害発生時の想定損失額

攻撃者からの身代金要求は受けるべきではありませんが、昨今の要求額の相場は数千万円〜数億円規模です。次に記載する費用は予防対策にかける費用ではなく、予防対策を怠った際の復旧までの損失の想定額です。

１．原因究明費用

300万円〜1,000万円以上。

２．システム復旧費用

専門業者への緊急復旧依頼などで数百万円。

３．ダウンタイム損失

1日あたりの売上損失 × 復旧までの日数（通常、完全復旧には数週間から数ヶ月を要します）。

ランサムウェアの被害を受ければ、かなりの損失が想定されます。費用面での大きなインパクトもありますが、取引先や顧客との信頼もなくしてしまうかもしれません。ランサムウェア対策に大切なポイントはシステム構築から考えることでありません。経営者やセキュリティ担当者だけでなく、社員やサプライヤーも含めた「人が引き起こすランサムウェア対策から」考えていくことが今、求められているのです。