ランサムウェア被害の平均被害額約3.5億円、平均停止期間36日。生成AI活用拡大の一方で外部攻撃対策に遅れ

トレンドマイクロと特定非営利活動法人CIO Loungeは8月21日、「セキュリティ成熟度と被害の実態調査 2026」の結果を公表した。過去3年間にランサムウェア攻撃を受けた企業の累計被害額は平均約3億4800万円、復旧までに要した平均業務停止時間は約862.9時間（約36.0日）に上った。生成AIの活用が広がる一方、社内の利用ルールや教育などに比べ、外部からの攻撃に備える対策が十分に進んでいない実態も明らかになった。

調査は、過去3年以内にサイバー攻撃による被害を受けた、従業員500人以上の国内法人に所属する経営者やセキュリティ・リスクマネジメント責任者ら306人を対象に、2026年5月に実施した。

ランサムウェア被害の平均額は約3.5億円、業務停止は平均36日

過去3年間にランサムウェア攻撃を受けた企業の累計被害額は、2026年度調査で平均約3億4800万円となった。2024年度調査の約2億2000万円から約1億3000万円増加した。特に、被害額が5億円以上となった企業の割合が増加しており、「5億円以上10億円未満」「10億円以上」のレンジが伸びているという。

一方、ランサムウェアを含む「過去3年間のサイバー攻撃による被害額（合計）」については、「被害額はなかった」と回答した割合が増加している。2023年度の27.5％から、2024年度は38.3％、2026年度は42.5％となった。

ただし、被害が発生した企業における影響は大きい。累計被害額の平均は2026年度が約1億8900万円で、2024年度の約1億7100万円を上回った。

業務停止期間も長期化している。ランサムウェア攻撃から復旧までに要した平均業務停止時間は約862.9時間（約36.0日）となり、2024年度調査の平均244.9時間（約10.2日）から大幅に増加した。

ランサムウェアを含む「最も被害額が大きかったサイバー攻撃による業務停止期間」についても、二極化の傾向が見られた。「業務停止は発生していない」と「1日以上かかった」の両方の割合が増加している。

2026年度の平均業務停止時間は約369.3時間（約15.4日）で、2024年度の平均147.1時間（約6.1日）から大きく伸びた。

セキュリティ成熟度の差が業務への影響に直結

調査では、セキュリティ対策を阻害する要因として、「統治」「識別」「防御」「検知」「対応」「復旧」のすべての領域で「人的リソースおよび適切なスキルセットの不足」が最多となった。これに続き、AIを含む新技術の登場による攻撃対象領域の拡大や、攻撃の高度化・複雑化への対応が上位に挙がった。

一方、経営層が単に報告を受けるだけでなく、予算や人員の配分、リーダーシップの発揮といった具体的な行動を取っている企業ほど、セキュリティ成熟度が高い傾向が見られた。セキュリティ成熟度が高い企業では、サイバー攻撃による業務への影響も比較的軽微にとどまる傾向が確認されたという。

生成AIの導入を急ぐ一方で、防御側の体制整備が後手に回っている現状に強い危機感を覚える。セキュリティをIT部門に任せきりにせず、経営層が予算や人員配置に直接責任を持つ企業ほど、被害を最小限に留めている。セキュリティは単なる技術課題ではなく経営課題。リーダーによる断固たる意思決定とリソース投入こそが、事業継続を左右する鍵。（NPO CIO Lounge 情報セキュリティ分科会リーダー 四本 英夫氏）

生成AI活用で「内部対策」が先行

調査では、生成AIの導入に際して、全社的なガイドラインの策定や従業員教育、アプリケーションの制御など、利用者側を中心とした内部対策が先行している傾向も明らかになった。
一方で、新技術の導入によって攻撃対象領域が広がるなか、外部からの攻撃に備える対策は不十分な状況にあるという。

生成AIの導入に際し、全社的なガイドラインの策定や教育、情報漏洩（ろうえい）対策やアプリケーションの制御といった、主に利用者を主体とした内部対策が先行している傾向が明らかになった。新しい技術の導入による、攻撃対象領域の広がりに適切に対処するためには、外部からの攻撃リスクを可視化し、ビジネスへの影響を踏まえた優先度付け、AIを活用した自動対処までを取り込んだ、攻撃者の先手を打つプロセスの構築が急務。（トレンドマイクロ TrendAIマーケティング本部 部長 大田原忠雄氏）

調査概要

• 調査名：「セキュリティ成熟度と被害の実態調査 2026」
• 調査手法：インターネット調査
• 調査地域：日本国内
• 調査対象者：以下の条件をすべて満たす個人
  ・過去3年以内にサイバー攻撃による被害を受けた法人組織に所属
  ・従業員規模500人以上の法人組織に所属
  ・経営者、セキュリティやリスクマネジメントの責任者（部長職以上）
• 回答者数：306人
• 調査時期：2026年5月
• 調査主体：トレンドマイクロ、特定非営利活動法人CIO Lounge