結論から書きます。令和7年のランサムウェア被害報告226件のうち、中小企業が約6割、業種別最多の製造業が約4割。侵入経路の6割以上はVPN機器でした。復旧に総額1,000万円以上を要した組織は5割超。最初の一手は新製品の導入ではなく、VPN機器のファームウェア更新と認証情報の棚卸しです。

この資料は何を測ったものなのか（対象範囲）

警察庁サイバー警察局が2026年3月10日に公開した資料の数値です（出典：警察庁サイバー警察局（表紙記載）。フィッシング報告件数のみフィッシング対策協議会の集計を引用。、2026-03-10、https://www.npa.go.jp/publications/statistics/cybersecurity/data/R7/R07_cyber_jousei.pdf）。

数字を持ち出す前に、分母を明示します。ここを飛ばすと確実に誤読が起きます。

項目 内容
ランサムウェア被害報告件数 226件（2025年1月1日〜12月31日、全国）
226件の性質 警察庁が把握した被害報告ベース。日本全体の被害総数ではない
規模別・業種別の内訳 226件の内訳。ただし図表7・図表8は画像で、実件数は本文に記載なし
侵入経路・復旧費用・復旧期間・BCPの割合 被害に遭った企業・団体等へのアンケート結果。分母は有効回答組織
有効回答数（n） 本文・統計編とも数値の記載なし
フィッシング報告件数 245万4,297件（2025年通年）。集計主体はフィッシング対策協議会
不正送金事犯 4,747件・約103億9,700万円（2025年通年、警察が把握した発生件数ベース）

有効回答数（n）が公表されていない点は、この資料を扱ううえで最大の制約です。統計編には「有効回答の数値が異なるため、各年の合計数値は異なる」という注記があるだけで、年次比較の分母が揃っていません。「前年より◯ポイント悪化した」といった読み方は、この資料からは安全にはできません。

そして、読者が数字の出どころを判断できるように明記します。この記事が扱う資料は、警察庁自身による発表であり、同庁は本資料で紹介されているBCP策定推進、広報啓発動画の制作、警察への被害情報提供の呼びかけといった施策の主体そのものです。 施策の実施者が、自らの取組の必要性を裏づける数字を示している構図であり、その点は割り引いて読む必要があります。

ランサムウェア被害は誰に起きているのか

令和7年の被害報告226件の内訳です。

  • 中小企業が約6割（前年と同様の傾向）
  • 業種別最多は製造業で約4割
  • 製造業に次ぐのは卸売・小売業、サービス業、情報通信業

ここで注意すべき誤読が一つあります。「中小企業が約6割だから中小が狙われやすい」とは、この数字だけからは言えません。日本の企業の大半はそもそも中小企業です。母集団の構成比を踏まえずに被害内訳の割合だけを取り出すと、分母の取り違えになります。この資料が示しているのは「被害報告のうち中小が約6割を占める」という事実であって、規模別の被害発生率ではありません。

もう一つ。226件は警察庁が把握した被害報告の数です。公表も通報もしなかった被害は含まれません。実際の被害はこれより多いと考えるのが自然で、226件は過少計上の可能性がある下限値として扱うべきです。

侵入経路と復旧コストの実測

被害組織へのアンケート結果です。分母は有効回答組織で、n は非公表です。

  • 侵入経路に占めるVPN機器の割合：6割以上
  • 復旧に総額1,000万円以上を要した組織：5割超（令和6年に引き続き高額化との記載）
  • 1か月未満で復旧した組織：5割強
  • サイバー攻撃を想定した業務継続計画（BCP）を策定済の組織：約18%

「1か月未満で復旧が5割強」を裏返すと、残る4割弱から4割強は復旧に1か月以上を要しています。製造業で1か月ラインが止まる、あるいは受発注が回らない状態を想定すれば、1,000万円以上という復旧費用の外側に売上の逸失が乗ります。

なお警察庁自身が、復旧期間と費用の図表について「図中の割合は小数第1位以下を四捨五入しているため、総計が必ずしも100にならない」と注記しています。割合の足し算で議論を組み立てないほうが安全です。

そして重要な限界がもう一つあります。このアンケートの対象は「ランサムウェア被害に遭った企業・団体等」に限定されています。 BCP策定率約18%も、VPN経由6割以上も、被害組織の属性です。日本の中小企業全体の実態を示す数値ではありません。被害に至った組織は対策が相対的に弱い側に偏っている可能性が高く、そのバイアスを織り込んで読む必要があります。

フィッシングと個人情報漏えいはどう動いたか

令和7年のフィッシング報告件数は245万4,297件（2025年通年）で、右肩上がりの増加が継続しています。ただしこの数字はフィッシング対策協議会の集計であり、警察庁の独自集計ではありません。

同じ年、インターネットバンキングに係る不正送金事犯は4,747件・被害総額約103億9,700万円（2025年通年、警察が把握した発生件数ベース）で、手口の約9割をフィッシングが占めます。245万4,297件と4,747件は別母数であり、直接対応する数値ではありません。「245万件のうち4,747件が実害になった」という読み方は成立しません。

大規模な個人情報漏えいも起きています。令和7年9月の飲料メーカー大手で約191万件、同10月の通販大手で約74万件（またはそのおそれ）。いずれも各社の公表・自社調査に基づく数値です。原因は前者がグループ内ネットワーク機器経由の侵入、後者が認証情報の窃取・不正使用でした。

  • ネットワーク機器が入口になる
  • 認証情報が使い回されると横に広がる

ランサムウェアの侵入経路6割以上がVPN機器という数字と、この2件の原因は同じ方向を指しています。

中小の製造業にとって、これは何を意味するのか

被害報告226件の内訳で中小企業が約6割・製造業が約4割、侵入経路の6割以上がVPN機器。この三つを重ねると、優先順位は絞られます。

  1. VPN機器のファームウェア更新。型番と現行バージョン、提供元のサポート期限を一覧にする
  2. VPNの認証情報の棚卸し。退職者・元請け・保守ベンダーのアカウントが生きていないかを確認する
  3. 多要素認証の有無の確認
  4. オフラインバックアップ。ネットワークから切り離された複製が復旧期間を決める
  5. サイバー攻撃を想定したBCP。被害組織でも策定済は約18%にとどまる

3〜5は金額より段取りの問題です。特に4と5は、復旧費用1,000万円以上が5割超・復旧1か月以上が4割前後という数字に対する、資金繰り側の防御になります。同じ中小企業の被害実態については中小企業の2割強が1年でサイバー被害、復旧平均5.8日も併せて読むと、分母の違う二つの調査を突き合わせられます。

TOEの読み筋

先に明記します。TOEでは、この資料に基づく社内点検も、顧客向けのVPN機器監査サービスも未実施です。 ここから先は実測ではなく読み筋です。

読み筋は三つあります。

第一に、この資料で最も実務価値が高いのは「侵入経路6割以上がVPN機器」という一点だと考えています。n が非公表である以上、6割という数値そのものの精度は保証できません。それでも、対策の対象が特定の機器カテゴリに集中しているという構造は、限られた予算の配分先を決めるには十分な情報量があります。

第二に、AI導入の議論とセキュリティの議論は、中小の製造業では同じ机の上に置かれるべきだと見ています。生成AIの業務利用を進めれば、社内データへのアクセス経路が増えます。入口の機器が古いまま利用範囲だけ広げるのは、順序が逆です。何から手を付けるかの整理は中小企業のAI導入、最初の一歩は何かにまとめています。

第三に、BCP策定率約18%という数字は、被害組織に限定された数字であるがゆえに逆に重い、と読んでいます。実際に被害を受けた組織ですら8割超が事前計画を持っていなかったということは、計画の不在が被害の重篤化に寄与した可能性を示唆します。ただしこれは因果ではなく相関の観察であり、この資料からは検証できません。断定はしません。

まとめ

  • 令和7年のランサムウェア被害報告は226件（2025年1月1日〜12月31日、全国）。中小企業が約6割、製造業が約4割を占める
  • 侵入経路の6割以上がVPN機器。復旧費用1,000万円以上が5割超、1か月未満で復旧できたのは5割強にとどまる
  • サイバー攻撃を想定したBCP策定済は約18%。ただしこれは被害組織の有効回答が分母で、中小企業全体の策定率ではない
  • 規模別・業種別・経路・費用・期間・BCPの各割合は図表（画像）でのみ示され、有効回答数（n）は本文にも統計編にも記載がない。年次比較の分母は揃っていない
  • 226件は警察庁が把握した被害報告ベースであり、公表・通報されなかった被害を含まない下限値。この資料は施策の主体である警察庁自身の発表である点も踏まえて読む
  • 実務の優先順位はVPN機器の更新、認証情報の棚卸し、多要素認証、オフラインバックアップ、サイバー版BCPの順。TOEでは未実施