ランサムウェアの隠れたコストとは？見落とす損害

ランサムウェアの被害と聞くと「身代金」を想像する方が多いかもしれません。しかし実際には、身代金を払わなくても企業が負担する費用は膨大です。

フォレンジック調査費用、通知費用、超過人件費、逸失利益、お詫び費用など、企業が見落としがちな損害項目は多岐にわたります。これらの「隠れたコスト」が経営を大きく圧迫するのです

この記事では、サイバー保険の専門家への取材をもとに、ランサムウェア被害で発生する見落としがちなコストについて詳しく解説します。

身代金だけがコストではない

ランサムウェアという名称から「身代金」に注目が集まりがちですが、実際のランサムウェア被害では身代金以外のコストの方がはるかに大きいことがほとんどです。

身代金を支払うこと自体が推奨されていません。一般的に、身代金は払わないことが望ましいとされています。しかし、身代金を払わなかったとしても、被害からの復旧には膨大な費用がかかります。

実際に、身代金要求型ではなく情報ロック型のランサムウェアに感染した中小企業では、事故対応費用だけで1,100万円以上がかかったという事例があります。この事例の被害額の詳しい内訳は中小企業のランサムウェア被害額の実態で解説しています。

隠れたコスト1　フォレンジック調査費用

ランサムウェア被害で最も大きな費用となるのがフォレンジック調査です。

フォレンジック調査とは、どのパソコンがどのような経路で感染したのか、被害がどこまで広がっているのかを1台ずつ詳細に調べる専門的な調査です。

フォレンジック調査の具体的な内容は以下の通りです。

• 感染経路の特定（どのパソコンから、いつ感染したか）
• 被害範囲の調査（どのデータにアクセスされたか）
• 情報漏洩の有無の確認
• 攻撃者の特定

この調査は専門の業者が行うもので、社内のIT担当者だけでは対応できません。専門業者への依頼費用が、被害額を大きく押し上げる要因になっています。サイバー保険で補償される調査・復旧費用の範囲についてはサイバー保険の補償範囲と調査・復旧費用の解説もご確認ください。

隠れたコスト2　通知費用

ランサムウェアの被害を受けた場合、関係者への通知が必要になります。

特に個人情報が関係する場合は、改正個人情報保護法により報告義務が課されています。通知にかかる費用は以下の通りです。

• 被害の発生を取引先や顧客に知らせるための郵送費・通信費
• お知らせ文書の作成費用
• ホームページでの告知対応費用
• 問い合わせ対応のためのコールセンター設置費用

通知費用は漏洩件数に比例して増加します。数百件程度であれば限定的な費用で済みますが、数万件規模の漏洩となれば、通知費用だけで数百万円に達することもあります。

隠れたコスト3　超過人件費

ランサムウェア被害が発生すると、社内のIT部門やセキュリティ担当者は事故対応に追われます。通常業務に加えて事故対応を行うため、残業や休日出勤が発生します。

超過人件費に含まれるものは以下の通りです。

• IT部門の社員の残業代・休日出勤手当
• 事故対応のために臨時で雇用した外部スタッフの人件費
• 通常業務が滞ることによる他部門への影響コスト

中小企業ではIT部門の人数が限られているため、1人あたりの負担が大きくなります。長期間にわたる事故対応が必要になれば、超過人件費の総額は数百万円に達する可能性があります。

隠れたコスト4　逸失利益

ランサムウェアによってシステムが停止すれば、通常の営業活動ができなくなります。この間に失われた売上や利益が「逸失利益」です。

逸失利益の大きさは、以下の要素で決まります。

要素	影響
事業のIT依存度	高いほど逸失利益が大きい
システム復旧期間	長いほど逸失利益が大きい
売上規模	大きいほど逸失利益が大きい

ECサイトを運営している企業がランサムウェアに感染した場合、サイトが停止している間の売上は大幅に減少します。1日あたりの売上が100万円の企業であれば、1週間の停止で700万円の逸失利益が発生します。復旧にどのくらいの期間がかかるかはサイバー攻撃からの復旧期間で解説しています。

隠れたコスト5　お詫び費用と賠償金

情報漏洩が発生した場合、被害者へのお詫びと損害賠償が必要になります。

お詫び費用と賠償金の違いは以下の通りです。

• お詫び費用は、賠償責任が確定する前に誠意として支払うもの
• 損害賠償金は、実際に第三者に被害が発生した場合に法的に支払い義務が生じるもの

賠償金まで発展した場合、1件あたり数千円から数万円になることもあります。顧客情報を大量に扱っている企業では、賠償金の総額が数千万円から数億円に達する可能性もあります。※賠償額は事案の内容や規模により異なります。

隠れたコストの合計額はどのくらいになるか

ここまで解説した5つの隠れたコストを合計すると、中小企業であっても被害額は数千万円規模に達する可能性があります。

具体的なシミュレーションをしてみましょう。従業員50人、売上50億円の中小企業がランサムウェア被害を受けたケースを想定します。

• フォレンジック調査費用（10台調査の場合）：約1,000万円
• 通知費用：数十万円から数百万円
• 超過人件費：数百万円
• 逸失利益（1週間の業務停止）：数百万円から数千万円
• お詫び費用（情報漏洩がある場合）：数百万円

合計すると、情報漏洩がない場合でも最低1,000万円以上、情報漏洩がある場合はさらに上積みされます。こうした被害に遭わないための具体的な対策は中小企業が今すぐやるべきランサムウェア対策5選を参考にしてください。

サイバー保険でカバーできる損害項目

上記の隠れたコストの多くは、サイバー保険で補償の対象となる場合があります。サイバー保険の補償は大きく3つの柱で構成されています。

• 事故対応費用（フォレンジック調査、通知費用、超過人件費、お詫び費用）
• 損害賠償責任（情報漏洩による第三者への賠償金）
• 利益損害（システム停止による逸失利益、営業損失）

保険に加入していれば、事故発生時にこれらの費用を保険金でカバーできる場合があるだけでなく、専門業者の紹介や事故対応のサポートを受けられることもあります。※補償範囲は保険会社やプランにより異なります。なぜ中小企業が攻撃の標的になるのかは中小企業を狙うランサムウェア攻撃の最新傾向で解説しています。