中小企業のランサムウェア被害額の実態を解説

ランサムウェアの被害に遭った場合、中小企業が負担する費用は想定以上に大きくなることがあります。「パソコンが動かなくなった」だけでは済まないケースが多いのが実情です。

フォレンジック調査だけでパソコン1台あたり約100万円程度とされています。事故対応費用の総額は数千万円規模に達するケースもあり、中小企業の経営に大きな影響を与える可能性があります

この記事では、実際にランサムウェア被害を受けた中小企業の事例をもとに、被害額の内訳と必要な備えについて解説します。

実際にあったランサムウェア被害の事例

売上50億円規模、従業員30人から50人の中小企業が、ランサムウェアの被害に遭いました。この企業はお客さんの情報も扱う業種で、社内にIT部門も設置し、セキュリティ対策をしっかり行っていた企業です。

被害の発覚は月曜日の朝でした。出社してパソコンを開いたところ、すでにシステムが感染していたのです。土日の間に攻撃が行われていました。こうした無差別型攻撃の最新傾向については中小企業を狙うランサムウェア攻撃の最新傾向で解説しています。

この事例のポイントは、身代金を要求されるタイプではなかったということです。データがロックされてアクセスできなくなっただけでも、復旧には多額の費用がかかることがあります。

フォレンジック調査だけでパソコン1台100万円

ランサムウェア被害で最も大きな費用項目となるのが、フォレンジック調査です。

フォレンジック調査とは、パソコンやサーバーを1台ずつ詳しく調べて、どのような経緯で感染したのか、被害の範囲はどこまで及んでいるのかを特定する専門的な調査のことです。

従業員30人から50人の企業であれば、調査対象のパソコンやサーバーは相当な台数になります。全てのパソコンを調査するわけではないものの、感染の経緯を特定するために複数台の調査が必要です。

保険金1,200万円が支払われた被害額の内訳

先ほどの事例では、最終的に保険金として約1,200万円が支払われました。その内訳を見ていきましょう。

費用項目	概要
フォレンジック調査費用	複数台のパソコン・サーバーの原因調査
システム復旧費用	サーバーの切り離し・新規構築など
その他対応費用	通知費用、超過人件費など

この事例では情報漏洩が発生しなかったため、賠償金は含まれていません。もし個人情報の漏洩まで発生していれば、お詫び費用や損害賠償金がさらに上乗せされることになります。フォレンジック以外の見落としがちな費用項目についてはランサムウェアの隠れたコストで詳しく解説しています。

情報漏洩が発生した場合の追加コスト

今回の事例では情報漏洩は発生しませんでしたが、もし漏洩していた場合、被害額はさらに膨らむことになります。

情報漏洩時に発生する追加コストの例を見てみましょう。

• お詫び費用（1人あたり500円として、1万人に漏洩すれば500万円）
• 損害賠償金（1件あたり数千円から数万円になる可能性）
• コールセンター設置費用
• 信用回復のための広報費用

ECサイトを運営している企業など、数万件の個人情報を扱っている場合は、情報漏洩時の被害額がさらに大きくなります。サイバー保険で補償される調査・復旧費用の範囲についてはサイバー保険の補償範囲と調査・復旧費用の解説も合わせてご確認ください。

サイバー保険の保険金額は1億円程度が一つの目安

ランサムウェア被害の実態を踏まえると、サイバー保険の保険金額をいくらに設定すべきかという問題が出てきます。

保険金額の設定にあたっては、以下の要素を考慮する必要があります。

• フォレンジック調査費用（パソコン台数に応じた見積もり）
• システム復旧・再構築費用
• 逸失利益（業務停止期間中の売上損失）
• 情報漏洩時の賠償金・お詫び費用

特に逸失利益については、ITに強く依存している企業ほど大きくなる傾向があります。ランサムウェアでシステムにアクセスできなくなれば、営業に支障をきたす可能性があるからです。※必要な保険金額は企業規模や業種により異なります。システム復旧にかかる期間の目安についてはサイバー攻撃からの復旧期間で解説しています。

サイバー保険は年間数万円から加入できる

「保険料が高そう」というイメージでサイバー保険の加入をためらっている経営者も多いかもしれません。しかし、実際の保険料は企業規模や補償内容によって大きく異なります。

パソコン1台のフォレンジック調査に100万円程度かかるとされていることを考えれば、年間数万円の保険料は費用対効果の高い選択肢と言えます。

保険料は主に以下の要素で決まります。

• 企業の売上規模
• 業種（IT企業やEC業者は保険料が高くなる傾向）
• 補償内容の範囲
• 保険金額の設定

セキュリティ対策にコストをかけるのと同じように、サイバー保険への加入もリスク管理の一環として検討すべきです。具体的な対策の進め方については中小企業が今すぐやるべきランサムウェア対策5選を参考にしてください。