サイバー攻撃の被害額はいくらか｜経営の数字に置き換える方法

セキュリティ対策の稟議が通らない理由は、ほとんどの場合ひとつに集約されます。

「リスクがある」までは伝わるのに、「いくらのリスクか」を誰も言えない。

「危険度：高の脆弱性が3件見つかりました」という報告に対して、経営者が本当に知りたいのは「それを放置すると、いくら失う可能性があるのか。対策費用はそれに見合うのか」です。この問いに数字で答えられないかぎり、セキュリティ予算は「よく分からないが必要らしい費用」のまま、他の投資案件との比較の土俵に乗りません。

この記事では、公的機関の調査データをもとに「被害額はどこまで数字にできるのか」を整理します。経営者の方はご自身の会社のリスクの桁を掴むために、担当者の方は稟議資料の材料として、お使いください。

公的データが示す「実際にかかった金額」

まず、実際に被害に遭った組織のデータから見ていきます。

ランサムウェア被害：復旧費用1,000万円以上が59％

警察庁が公表している「令和7年上半期のサイバー空間をめぐる脅威の情勢等について」によると、ランサムウェア被害を受けた組織のうち、調査・復旧費用の総額が1,000万円以上に達した組織は59％にのぼります（前年同期は約50％で、増加傾向）。1億円以上を要した事例も報告されています。

そして見落とされがちなのが復旧期間です。約半数の組織が、復旧までに1か月以上を要しています。

この間、業務は止まるか、大幅に制限されます。

被害額は「1種類」ではない — 6つの損害

「被害額」と一口に言っても、その中身は複数の性質の異なる損害の合計です。JNSA（日本ネットワークセキュリティ協会）のインシデント損害額調査レポートは、インシデントで発生する損害を次のように分類しています。

重要なのは、報道で目にする「賠償額」は氷山の一角にすぎないという点です。実際には、事故対応の実費（調査・通知・窓口対応）と、業務停止による利益損害が大きな割合を占めます。同レポートでは、中小企業であっても数千万円単位の損失を抱えるケースが具体的なモデルとともに示されています。

「うちは狙われない」が通用しない理由

「うちは大企業ではないから標的にならない」という認識は、残念ながら実態と合っていません。警察庁の統計では、ランサムウェア被害の過半数は中小企業です。攻撃者は「価値のある企業」を選んで狙うのではなく、「侵入できる企業」を機械的に探しています。外部に公開されたサーバの脆弱性やVPN機器の設定不備を自動でスキャンし、入れるところから入る——これが現実の攻撃の大半です。

つまり被害に遭う条件は「有名かどうか」ではなく、「外から入れる穴があるかどうか」です。

自社の「桁」を掴む — 簡易的な考え方

公的データは「他社の平均」です。経営判断に使うには、自社に引きつけた概算が要ります。厳密なリスク定量化には専門的なモデルが必要ですが、桁を掴むだけなら、次の2つの質問で概算できます。

質問1：主要なシステムが止まったら、1日いくら失うか

• 対象システム（ECサイト、予約システム、基幹システム等）が生み出している1日あたりの売上・粗利はいくらか

• 復旧の現実的な想定は数日〜数週間（前述のとおり、半数の組織は1か月以上）

• 【例】1日の粗利100万円のECサイトが2週間止まれば、それだけで約1,400万円の利益損害

質問2：保有している個人情報・機密情報が漏えいしたら、何にいくらかかるか

• 保有する個人情報の件数（顧客・会員・取引先担当者）

• 漏えい時に最低限発生するもの：原因調査（フォレンジック）、対象者への通知、問い合わせ窓口、見舞対応、個人情報保護委員会への報告、再発防止策

• 調査・通知・窓口だけでも、規模によっては数百万〜数千万円規模の実費が発生します。ここに賠償・行政対応・信用毀損が上乗せされます

この2問に答えるだけで、「うちのリスクはおおよそ千万円の桁なのか、億の桁なのか」が見えてきます。そしてこの数字こそが、セキュリティ対策費用と比較すべき相手です。

試算例：従業員50名・年商5億円のEC運営企業の場合

イメージを掴んでいただくために、架空の企業で計算してみます（数字はすべて仮定です）。

・前提：自社ECサイトが売上の8割（年商4億円）。粗利率30%。会員データ3万件を保有

・質問1（停止した場合）：ECの1日あたり粗利 ≒ 4億円 × 30% ÷ 365 ≒ 約33万円/日。復旧に3週間かかれば約690万円の利益損害

・質問2（漏えいした場合）：3万件の会員への通知・問い合わせ窓口・原因調査・見舞対応で、数百万〜1,000万円規模の実費。ここに賠償・信用毀損が上乗せ

この会社にとってサイバー事故は「1回で1,000万〜2,000万円級、悪ければそれ以上」のリスクだと分かります。年商5億円の企業にとって、これは軽い数字ではありません。一方、この規模のECサイトの脆弱性診断は、単発なら100万〜200万円程度、改修後の再診断や年に複数回の定期診断まで含めても年間300万〜500万円程度が相場です。「起きたら2,000万円、防ぐのに年間数百万円」という比較の土俵が、ここで初めてできあがります。

年間数十万〜数百万円の対策費用は、単体で見れば安くありません。しかし「発生したら数千万円、確率は年々上がっている」というリスクの保険・予防として見たとき、初めて妥当性を判断できる数字になります。

「危険度：高」を金額に翻訳できないのはなぜか

ここまでで、被害額の桁の掴み方を見てきました。では、脆弱性診断の報告書にある「危険度：高」は、この金額とどうつながるのでしょうか。

実は、従来の脆弱性診断の報告書は、この翻訳をしてくれません。危険度の「高・中・低」は技術的な深刻度（攻撃のしやすさ・影響範囲）の指標であり、御社の事業でいくらの損害になるかは考慮されていないからです。同じ「危険度：高」でも、社内の勤怠システムとECの決済システムでは、事業上の意味がまったく違います。

このギャップを埋めるのは、本来、次の掛け合わせです。

技術的な深刻度（診断結果）× 対象システムの事業価値（売上・データ・業務依存度）＝ 事業リスクの大きさ

担当者が稟議資料でこの翻訳を毎回手作業でやっている、というのが多くの現場の実情です。近年は、この翻訳までを診断サービス側が担う動きが出てきています。診断結果と事業情報（対象システムの売上規模、保有データ件数など）を組み合わせ、「この脆弱性群を放置した場合の推定被害額レンジ」を報告書に含めるアプローチです。

【当社の立場について】当社ranryuのWebアプリケーション脆弱性診断（Assess以上）では、事前にお伺いする事業情報と診断で確認された脆弱性をもとに、単一事故が発生した場合の推定被害額を低位・基準・高位のレンジで算定し、内訳と前提とともに報告書に記載しています（必要な情報が揃う場合）。本記事で述べた「翻訳」を診断側で行う設計です。算定はAIの自由な推測ではなく、根拠と前提を明示した再現可能な形で行い、規制上の制裁金や訴訟費用など対象外の項目も明記します。

経営者が今日からできる3つの質問

最後に、明日の会議でそのまま使える質問を3つ置いておきます。セキュリティの専門知識は不要です。この3問は「いくら失うか → いくらまで耐えられるか → いくらで減らせるか」という順に並んでいます。

①「うちの外部公開システムで、止まったら一番困るのはどれか。1日いくら失うか」

リスクの大きさを掴む質問です。担当者が即答できなければ、まずそこを整理する価値があります。この数字がないかぎり、対策費用が高いか安いかを判断する基準そのものが存在しません。

②「その損害が現実になったとき、うちは何日耐えられるか。賠償を求められたら、いくらまでなら払えるか」

耐性を確認する質問です。①で出した金額が、2週間・1か月と続いたときに資金繰りは持つのか。取引先から損害賠償を求められた場合、自社の体力と保険でどこまでカバーできるのか。「起きたら困る」ではなく「起きたら会社が傾くのか、痛手で済むのか」を把握しておくことが、投資判断の前提になります。ここで「分からない」となる場合、それ自体が最大のリスクです。

③「そのリスクは、いくら払えばどれだけ下げられるのか」

投資判断の質問です。①②で見えた損失額に対して、対策費用がどの程度で、リスクをどれだけ削れるのか。セキュリティ対策はリスクをゼロにはできませんが、「発生確率を下げる」「起きたときの被害を小さくする」「早く復旧できる」という形で効きます。①の数字と並べて初めて、他の投資案件と同じ土俵で比較できるようになります。

この3問に数字で答えられる状態を作ること自体が、セキュリティ投資の第一歩です。逆に言えば、この3つが不明なまま個別の対策を買うのは、守るべきものの価値も、失う金額も分からないまま費用を払っているということになります。

まとめ

• 被害額は感覚ではなく公的データで語れる時代になっています。ランサムウェア被害では復旧費用1,000万円以上が59％、復旧1か月以上が約半数（警察庁・令和7年上半期）

• 被害額の中身は賠償だけでなく、事故対応の実費と業務停止の利益損害が大きい（JNSAの6分類）

• 攻撃者は企業の知名度ではなく「外から入れる穴」で標的を選ぶ。中小企業が被害の過半数

• 自社のリスクの桁は「止まったら1日いくら」「漏れたら何に幾らかかるか」の2問で概算できる

• 脆弱性診断の「危険度」を経営の数字に翻訳するには、技術的深刻度×事業価値の掛け合わせが必要。この翻訳を診断側が担うサービスも出てきている

自社のリスクを数字で把握したい方へ

当社の脆弱性診断は、脆弱性の一覧だけでなく、攻撃シナリオと推定被害額のレンジまでを報告書でご提示します（Assessプラン以上・算定条件を満たす場合）。「経営層への説明に使える診断結果がほしい」という場合は、お問い合わせフォームよりご相談ください。

※ご相談はサイト上部の「お問い合わせ」よりお気軽にどうぞ。

この記事の執筆

崎山 康平 — 株式会社ranryu 代表取締役 兼 CISO ／ 情報処理安全確保支援士（登録セキスペ）　登録番号 033214

本資格の登録情報は、IPAが運営する情報処理安全確保支援士検索サービスにてどなたでもご確認いただけます。

株式会社ranryuは、経済産業省が策定した「情報セキュリティサービス基準」に適合し、独立行政法人情報処理推進機構（IPA）が公開する「情報セキュリティサービス基準適合サービスリスト」の脆弱性診断サービスに登録されています（登録番号 021-0017-20）。

参考にした公開情報（2026年8月時点）

警察庁 令和7年上半期 サイバー空間をめぐる脅威の情勢等について　https://www.npa.go.jp/publications/statistics/cybersecurity/data/R7kami/R07_kami_cyber_jyosei.pdf

JNSA インシデント損害額調査レポート　https://www.jnsa.org/result/incidentdamage/202402.html