サイバー攻撃による被害は、守りの薄い入口から入ってくる。警察庁によると、2026年上半期に企業や団体から寄せられたランサムウェア被害の報告は123件で、統計を取り始めた2020年下半期以降、半期として最も多かった。被害組織へのアンケートでは侵入経路の約半数がVPN機器で、被害企業・団体の約6割が中小企業だった。政府の共通基盤でも、保守運用担当者のアカウントが使われ、約24.6万件の個人情報が漏えいした可能性がある。一方で、個人情報保護委員会が2025年度に受けた漏えい等の報告は1万7139件だったが、勧告は2件、命令は1件にとどまった。国は2026年10月、基幹インフラ事業者への報告義務と攻撃元の無害化に踏み込んだが、入口を固める作業の多くは、各組織の手に残っている。

攻撃はやまない　ランサム被害は半期で最多の123件

組織を狙う攻撃は減っていない。ランサムウェアは、端末やサーバーのデータを暗号化して使えなくし、元に戻す対価を要求する不正プログラムだ。警察庁が2026年9月にまとめた上半期の情勢によると、被害の報告は123件で、2025年上半期の116件、下半期の110件を上回った。2025年の年間では226件だった。近年はデータを盗んだうえで「払わなければ公開する」と脅す二重恐喝が多く、2026年上半期に手口が分かった66件のうち61件が二重恐喝型だった。

攻撃をする側の裾野も広がっている。警察庁は、ランサムウェアの開発・運営グループが実行役に道具やリークサイトを貸し、身代金の一部を受け取る「RaaS」と呼ばれる形態を挙げ、専門知識の乏しい者でも攻撃ができるようになったと指摘する。情報通信研究機構（NICT）が約28万のIPアドレスで観測した2025年のサイバー攻撃関連の通信は合計7010億パケットで、観測開始以降で最多だった。1つのIPアドレスに、1年で約250万パケットが届いた計算になる。

ランサムウェア被害の報告件数（件）

901001101201301169412322年下23年下24年下25年下26年上
半期ごと。企業・団体等からの報告件数。統計は2020年下半期（21件）から出典: 警察庁「令和８年上半期におけるサイバー空間をめぐる脅威の情勢等について」図表データ
数値で見る（単位: 件）
項目件
22年下116
23年上103
23年下94
24年上114
24年下108
25年上116
25年下110
26年上123

摘発も増えている。2025年のサイバー犯罪の検挙は1万5108件に達し、2026年上半期も7607件と前年同期より15％増えた。警察庁は、ランサムウェアで暗号化されたデータを復号する取り組みも進めており、その成果は日本警察が開発したランサムウェア復号ツール、17社が約717万件のデータを復元　成功率99.9％超　LockBit分は24社・約1290万件　令和8年版警察白書にまとめた。ただ、件数の推移を見る限り、取り締まりが攻撃の勢いを押し返すところまでは来ていない。情報処理推進機構（IPA）が2026年1月に公表した「情報セキュリティ10大脅威 2026」でも、組織向けの1位は「ランサム攻撃による被害」で、11年連続の選出となった。

入口はVPN機器　被害の6割は中小企業、復旧に1000万円以上

では攻撃はどこから入るのか。警察庁によると、最近はメールの添付ファイルによる感染は少なくなり、インターネットに露出した機器から遠隔操作で侵入する手口が多くを占める。2026年上半期に侵入経路の回答があった36件のうち、VPN機器からの侵入が18件、リモートデスクトップからが9件だった。過去5年を合わせても、485件のうち293件がVPN機器で、不審なメールやその添付ファイルは24件にとどまる。VPNは社外から社内のネットワークに安全に接続するための仕組みだが、修正されていない脆弱性や漏れたパスワードを突かれると、それ自体が玄関になる。

狙われるのは大企業だけではない。2026年上半期の被害123件の内訳は、中小企業79件、大企業31件、団体等13件で、中小企業が約6割を占めた。業種別では製造業が37件で最も多く、卸売・小売業15件、情報通信業や医療・福祉などがそれぞれ9件で続いた。詳しい内訳はランサムウェア被害件数、2026年上半期は123件で過去最多　警察庁統計　侵入経路の半数はVPN機器　バックアップから復元できたのは40件中11件で追った。

一度入られると、元に戻すまでが長く、高くつく。復旧費用の回答があった35件のうち、1億円以上が4件、5000万円以上1億円未満が6件、1000万円以上5000万円未満が11件で、1000万円以上が6割を占めた。復旧期間の回答48件では、1週間未満で戻ったのは17件で、2か月以上かかったのが8件、調査時点で復旧中が13件あった。体力の小さい中小企業ほど、この負担は重い。

委託先からも漏れる　政府の共通基盤で約24.6万件

入口は自社の機器だけではない。業務を預けた委託先や、運用を任せた外部の担当者の権限も入口になる。デジタル庁によると、同庁が運用する政府共通の業務基盤「ガバメントソリューションサービス（GSS）」で、2026年6月25日に保守運用担当者のアカウントを使ってサーバー上の大量のファイルにアクセスされたことを検知した。漏えいした可能性がある個人情報は、利用する府省庁の職員や業務に携わった公務員等の約18.9万件と、業務に携わった事業者・個人の約5.7万件。マイナンバーや口座情報は含まれていないという。経緯は政府共通の業務基盤GSSに不正アクセス、職員ら24.6万件の個人情報が漏えいの可能性　入り口はVPN機器の脆弱性に詳しい。

民間でも大量の漏えいが続き、国は10月に相次いで注意を呼びかけた。個人情報保護委員会は10月7日、国民の多くが使うサービスで大量の個人情報を持つ事業者などに向けて注意喚起を出した。内閣官房の国家サイバー統括室も10月9日、ウェブシステムの脆弱性の悪用やサプライチェーンを通じた侵害で個人情報が盗まれる事案を複数確認しているとして、対策の徹底を求めた。求めた中身は、委託先の対策状況の把握、委託契約に漏えい時の報告義務を書き込むこと、委託先に渡す情報を必要最小限にし業務終了後に削除させること、不要な情報を持たないことなどだ。統括室は「攻撃者は、比較的防御が弱い委託先企業等を足掛かりとして侵入」すると説明している。IPAの10大脅威でも、2位は「サプライチェーンや委託先を狙った攻撃」だった。

漏えいの報告は年1万7139件、勧告2件・命令1件

漏えいが起きた後の監督はどうか。個人情報保護委員会の2025年度の年次報告によると、民間事業者から受けた漏えい等の報告の処理は1万7139件だった。2024年度の1万9056件より減ったが、なお年に1万7000件を超える。これに対し、報告徴収は19件、指導・助言は455件、勧告は2件、命令は1件だった。年次報告の概要に挙がった勧告・命令の事案は、いずれも名簿業者が、特殊詐欺グループに渡る可能性を認識しながら個人情報を提供していた件だった。国の行政機関や地方公共団体などからの漏えい等の報告も2278件あった。

項目 2025年度 2024年度
漏えい等報告の処理 1万7139件 1万9056件
報告徴収 19件 148件
指導・助言 455件 395件
勧告 2件 1件
命令 1件 0件

表: 個人情報保護委員会による民間事業者の監督の状況

出典: 個人情報保護委員会「令和７年度年次報告の概要」

報告の大半は、指導や助言で事業者の自主的な改善を促して終わる仕組みだ。この構図は個人情報の漏えい報告、3年で4万8315件　勧告6件・命令1件、社名公表はトヨタ・ドコモなど一部でも追った。個人情報保護法の改正法は2026年7月10日に成立し、7月17日に公布された。重大な違反で個人の権利利益が侵害された場合などに、違反で得た財産的利益に相当する課徴金の納付を命じる制度を設けた。漏えいが起きても本人の権利利益の保護に欠けるおそれが少ない場合は、本人への通知義務を緩める。ランサムウェアなどで報告する場合の窓口を、国家サイバー統括室の下で一元化する方向で調整を進めるともしている。改正法は一部を除き、公布から2年以内に施行される。

守る人も増えない　支援士は半年で2万6453人から2万6424人へ

監督が事後の手当てだとすれば、入口を固めるのは各組織の人だ。その担い手の中核になる国家資格「情報処理安全確保支援士」の登録者は、IPAによると2026年10月1日時点で2万6424人だった。2023年10月の2万1727人、2025年10月の2万4937人と増えてきたが、2026年4月の2万6453人から半年で減った。10月1日付の新規登録は756人で、4月1日付の1859人を大きく下回った。新たな登録を、登録をやめた人などが上回った計算になる。年代別では40代が9149人で最も多く、50代の7195人が続く。平均年齢は44.5歳だ。

被害に遭った組織が頼れる窓口もある。IPAは不正アクセスの被害を受けているか、その可能性がある全国の企業・組織を対象に「不正アクセス特別相談窓口（事業者向け）」を設け、平日に電話で、ほかにメールでも相談を受けている。窓口の内容はIPA、不正アクセス被害の企業向けに特別相談窓口　初動対応を電話で助言、専門業者も紹介にまとめた。ただ、相談窓口は入られた後の助けであり、入口となるVPN機器の更新や委託先の点検を代わりにやってくれるわけではない。

国は基幹インフラから踏み込んだ　10月から報告義務と無害化

国の仕組みは、この10月に大きく変わった。2025年5月16日に成立したサイバー対処能力強化法と同整備法のうち、「官民連携の強化」と「アクセス・無害化措置」の規定が2026年10月1日に施行された。官民連携では、政府と民間が情報を出し合う協議会を設け、基幹インフラ事業者による資産の届け出とインシデント報告が始まった。基幹インフラ事業者は、サイバー攻撃などの被害やその原因となり得る事象を知ったとき、事業を所管する大臣と首相に報告する。導入済みの重要なコンピューターの製品名などは来年3月までに、新たに導入したものは導入から4か月以内に届け出る。

アクセス・無害化は、サイバー攻撃で重大な危害が生じるおそれがあるなどの要件を満たす場合に、攻撃に使われているサーバーなどにアクセスし、不正なプログラムの停止や削除などを行う措置だ。通信情報の利用は来年秋の施行とされている。制度の中身は基幹インフラのサイバー被害、10月1日から国への報告が義務に　電気・鉄道・金融など258者が対象　認知後30日以内に詳細報告や自衛隊、10月1日からサイバー攻撃元のコンピューターを無害化できる　命じるのは首相で閣議決定が必要、国会の承認は不要　自衛隊法に81条の3を新設で追った。内閣府の施行説明資料は、届け出と報告を「もらって終わり」にせず、事業者の対策につながる情報として返すとしている。

結論　国の網は基幹インフラまで。入口を塞ぐのは各組織

ここまでをつなぐと、サイバー被害の構図は一つにまとまる。攻撃は半期で最多のランサムウェア被害123件という形で続き、その入口は約半数がVPN機器、被害の約6割は中小企業、政府の共通基盤でも保守運用担当者のアカウントだった。年1万7139件の漏えい報告に対して、勧告・命令は3件で、守る側の中核となる支援士の数も半年で減った。

10月に施行された新しい仕組みで報告義務を負うのは、基幹インフラ事業者である。被害の多くを占める中小企業や、大企業の業務を担う委託先の入口は、引き続き各組織が自分で固めるしかない。個人情報保護委員会と国家サイバー統括室が10月に相次いで求めたのも、機器の脆弱性への対応、委託先の点検、不要なデータを持たないことだった。被害を減らせるかどうかは、国の新しい権限よりも、こうした地道な手当てを各組織がどこまで実行するかにかかっている。