警察庁は9月10日、令和8年（2026年）上半期（1〜6月）のサイバー空間をめぐる脅威の情勢を公表した。企業・団体から警察に報告されたランサムウェア（身代金要求型ウイルス）の被害は123件で、報告の集計を始めた令和2年下半期以降、半期の件数として最も多い。これまでの最多は令和4年下半期と令和7年上半期の116件だった。

ランサムウェアは、社内のサーバーやパソコンのファイルを勝手に暗号化して使えなくし、元に戻す鍵と引き換えに金銭を要求する攻撃だ。近年は暗号化に加え、盗んだデータを「払わなければ公開する」と脅す二重の要求が被害の多くを占める。暗号化を一切せず、盗んだデータの公開だけを予告して金銭を求める手口も出てきている。

今回の統計には手口の内訳も載っている。令和8年上半期に手口が判明した66件のうち、暗号化と暴露を組み合わせた二重恐喝型が61件で、暗号化だけの従来型は5件だった。暗号化をしない「ノーウェアランサム」の被害報告は123件とは別に9件あり、令和7年の上半期8件・下半期9件とほぼ同じ水準で続いている。

半期ごとの報告件数は、集計を始めた令和2年下半期が21件、令和3年上半期が61件と急に増え、令和4年上半期に114件へ達した。その後は94件から116件の間を上下しており、今回の123件はこの水準をわずかに上回った形だ。

侵入経路はVPN機器が18件、メール添付は年2件まで減った

被害に遭った企業・団体へのアンケートで侵入経路を答えたのは36件（不明・未回答を除く）で、そのうち18件がVPN機器からの侵入だった。リモートデスクトップからの侵入が9件、その他が9件で、警察庁は「侵入経路はVPN機器が約5割を占める」と記している。

VPNは、インターネット上に暗号化された専用の通路をつくり、社外から社内のネットワークへ入れるようにする仕組みだ。コロナ禍のテレワークで一気に普及したが、機器のソフトの修正が放置されていたり、どこかで漏れた社員のIDとパスワードが使い回されていたりすると、その通路がそのまま攻撃者の入口になる。

注目すべきは、かつて代表的だった「怪しいメールの添付ファイルを開いてしまう」型がほとんど姿を消していることだ。不審メールやその添付ファイルを経路とする被害は令和6年に2件、令和7年も2件しかない。過去5年を合算すると、VPN機器が293件、リモートデスクトップが105件に対し、不審メールは24件にとどまる。警察庁も「インターネットに露出した箇所から攻撃者が遠隔操作でネットワーク内部に侵入する手口が多くを占め、標的型攻撃メール等の添付ファイルによる感染は少なくなっている」と整理している。

社員へのメール訓練だけでは、いまの侵入経路をふさげないということになる。

機器の欠陥をいかに早くふさぐかが焦点になるため、政府も情報の流し方を変える。脆弱性の届出情報、10月1日から内閣府へ通知　サイバー対処能力強化法が同日施行　発見者には「通知したか答えられない場合がある」のとおり、10月からは届け出られた脆弱性の一部が内閣府へ渡り、機器の供給者や基幹インフラ事業者へ配られる。

バックアップは50件中44件が取得済み、それでも復元できたのは11件

この統計でもっとも重い数字は、バックアップに関する部分だろう。

取得状況を答えた50件のうち、バックアップを取っていたのは44件で、取っていなかったのは6件だった。9割近くが備えていたことになる。ところが、そのバックアップから実際に復元できたかを答えた40件のうち、「復元できた」は11件しかない。残る29件は「復元できなかった」と答えている。

復元できなかった理由で最も多いのは、バックアップそのものの暗号化・消去で14件。運用の不備が8件、その他が7件だった。過去4年を合算しても、暗号化・消去が236件で、運用不備の65件を大きく上回る。

これは攻撃の手順から説明がつく。警察庁が示した攻撃の流れによれば、攻撃者はネットワークに入った後、管理者権限の奪取やセキュリティ機能の無効化を試みながら内部を探索し、その段階で「重要データやバックアップを物色する」。暗号化のボタンを押す前に、復旧の頼みであるバックアップを先に潰しておく。社内ネットワークにつながったままのバックアップは、攻撃者から見れば本番データと同じ場所にあるファイルにすぎない。

今年だけの偶然でもない。復元の結果を答えた件数を年ごとに見ると、「復元できた」は令和3年が101件中29件、令和4年が111件中21件、令和5年が126件中21件、令和6年が110件中29件、令和7年が99件中20件で、過去5年を合わせると547件中120件、約2割にとどまる。取得していた割合は毎年9割前後あるのに、戻せた割合は2割から3割の間を動いていない。

「バックアップを取っているから大丈夫」が成り立たないことを、この29件対11件という数字は示している。取得の有無ではなく、社内ネットワークから切り離した場所に置いてあるか、実際に戻す手順を試してあるかが問われる。クラウド事業者が攻撃を受けた事案の記事IDCFクラウドのランサムウェア障害、データは戻るか　495社停止、194社は取り出し可能・流出なしと判断は、データの置き場所そのものが攻撃を受けた例としてまとめている。

最新パッチ未適用が29件中17件　サイバー攻撃を想定したBCPは45件中6件

備えについてのアンケートは、バックアップ以外でも似た結果になっている。

セキュリティパッチの適用状況を答えた29件のうち、「最新のセキュリティパッチを適用済み」は12件で、「未適用のセキュリティパッチがあった」が17件だった。過去4年の合計でも、344件のうち203件に未適用のパッチがあった。侵入経路の半数がVPN機器なのだから、機器のソフトを直し続けているかどうかが分かれ目になるのに、半数以上は直し切れていなかったことになる。

ウイルス対策ソフトは、導入状況を答えた47件のうち40件が導入していた。ところが検出の有無を答えた33件では、「検出があった」が10件で、「検出がなかった」が23件である。入れてあっても、大半は何も鳴らないまま暗号化まで進んだ。

組織の側の備えも薄い。情報セキュリティ監査は、答えた50件のうち28件が「実施していない」。外部監査と内部監査の両方を実施していたのは9件だった。業務継続計画（BCP）は、答えた45件のうち21件が未策定で、策定済みの24件のうちサイバー攻撃を想定に含んでいたのは6件にとどまる。地震や火災は想定していても、システムが人の手で止められる事態は想定の外にあった。

後からの調査を難しくするのはログだ。保全状況を答えた48件のうち、「全て保全」できたのは10件しかない。32件は一部が利用できず、2件は利用不可、4件はそもそもログを取っていなかった。使えなくなった原因を答えた28件の内訳は、犯人による削除が15件で最も多く、保存期間の経過が6件、暗号化が4件だった。攻撃者が最後に痕跡を消すという手順どおりの結果で、どこから入られたのかを後から辿れない組織が残る。

中小企業が79件、製造業が最多　復旧に2か月以上が8件

被害を報告した企業・団体の規模別では、中小企業が79件で全体の6割を超えた。大企業は31件、団体等が13件となっている。

業種別では製造業が37件で突出して多い。次いで卸売・小売業が15件、情報通信業と不動産業・物品賃貸業、医療・福祉がそれぞれ9件、建設業が8件と続く。教育・学習支援業も7件あった。上位10業種以外にも16件が分布しており、業種を問わず被害が出ている。製造業は令和7年の1年間でも226件中91件を占めており、工場の生産管理や受発注のシステムが止まると出荷そのものが止まる業種に被害が集まっている。

復旧までにかかった時間を答えた48件のうち、即時から1週間未満で復旧できたのは17件にとどまった。1週間以上1か月未満が6件、1か月以上2か月未満が4件、2か月以上が8件で、13件は集計の時点でなお復旧作業が続いている。

業務への影響を答えた52件では、全ての業務が停止したのが9件、一部の業務に影響が出たのが41件で、影響がなかったのは2件だけだった。

大学も被害に遭っている。佐賀大学では9月に事務部門のNASがランサムウェアとみられる被害を受けて事務用端末を3日間止め、10月30日には附属病院の患者情報を含む個人情報が流出した可能性が否定できないと公表した（佐賀大学のランサム被害、患者情報が流出の可能性　学生・教職員ら8万人分も）。

復旧にかかった費用は、1000万円以上5000万円未満が11件で最も多い。5000万円以上1億円未満が6件、1億円以上も4件あった。100万円未満で収まったのは6件だ。警察庁は「復旧に総額1000万円以上を要した組織の割合は全体の6割を占める」としている。工場やシステムが止まれば売上も止まるため、身代金を払うかどうかとは別に、原因の調査や機器の入れ替え、データの復元にこれだけの負担がかかる。

なお、警察庁の統計は「警察に報告があったもの」を数えたものであり、実際の被害はこれを上回るとみられる。

侵入の入口、漏えい後の監督、10月に始まった国の新制度までを並べた全体の構図は、サイバー攻撃と情報漏えいの全体像　ランサム被害は最多123件、入口はVPNと委託先にまとめた。

「分業」が攻撃者の裾野を広げた　AIでランサムウェアを作った19歳を検挙

被害が中小企業に広く及ぶ背景には、攻撃側の分業がある。警察庁が挙げるのは「RaaS（Ransomware as a Service）」と呼ばれる形態で、ランサムウェアを開発・運営するグループが、実行役に攻撃用のプログラムや脅迫用のリークサイトまで一式を貸し出し、見返りに身代金の一部を受け取る。実行役は「アフィリエイト」と呼ばれ、身代金が支払われれば成果報酬が開発側に渡る。

この仕組みによって「高度な技術的専門知識を有していない者であっても、ランサムウェア攻撃の実行が可能になる」と警察庁は指摘する。誰が攻撃するかがばらけるため、同じランサムウェアでも手口はまちまちになり、狙われる相手も大企業に限られなくなる。

裾野の広がりは検挙事例にも表れている。警察庁は今回の資料で、千葉県警が令和8年6月、19歳の会社員の男を不正指令電磁的記録作成の疑いで逮捕した事件を紹介した。男は飲料メーカーがランサムウェア攻撃を受けたという報道を見て「ランサムウェアを作成してお金を稼ごう」と考え、同年2月、AIを悪用して作らせたソースコードを組み合わせてランサムウェアを作ったという。専門知識の壁は、生成AIによってさらに低くなりつつある（サイバー犯罪の検挙1万5108件で過去最多　5年で2899件増　不正アクセスで検挙された248人のうち81人は14〜19歳　令和8年版警察白書）。

一方で、取り締まりの成果が数字に表れた例もある。警察庁は種別が判明した攻撃件数を比べ、令和6年に多かったLockBitが31件から19件へ、Phobos／8Baseが23件から1件へと令和7年に大きく減ったことを「国際共同捜査の結果」と説明している。ただし空いた席はすぐ埋まり、令和7年はQilinが32件で最多となった。摘発の副産物として、被害からの回復手段も増えている。警察庁サイバー特別捜査部はLockBitに対応したものをはじめ複数の復号ツールを開発しており、これまでに国内の41の被害企業で約2011万件のデータの復号に成功したという。今年1月にLockBitで業務データを暗号化された飲料メーカーでも、同部のツールで計1テラバイトを超えるファイルを復号した（ツールの経緯は日本警察が開発したランサムウェア復号ツール、17社が約717万件のデータを復元　成功率99.9％超　LockBit分は24社・約1290万件　令和8年版警察白書）。名指しによる圧力と摘発を続ける以外に、この入れ替わりを止める手立ては見えていない（北朝鮮ハッカー集団「WaterPlum」を日米豪独が名指し　偽の求人で3万台超が感染、暗号資産17億円分を送金　国内で初めて遠隔操作PCの拠点を摘発）。

ネット詐欺の被害額は1755億円、前年同期の1.45倍

インターネットを利用した犯罪の認知件数は上半期で3万838件となり、前年同期の2万3747件から増えた。このうち詐欺が2万6957件を占める。

被害額はさらに大きく動いている。インターネットを利用した詐欺の被害額は1755億円で、前年同期の1209億円の1.45倍になった。利用された手段別では、通話・通信アプリを使ったものが833億円から1473億円へ増え、被害額全体の8割を占める。逆に電子メールを使った詐欺は158億円から48億円へ減った。

フィッシングの報告件数は、警察庁がフィッシング対策協議会の集計として示した数字で約73万件だった。警察庁は、AI技術の発達で「文章の自然さや偽装の精度が大幅に向上するなど、従来と比較して見抜きにくいフィッシングが増加している」とも指摘している。一方で減った指標もある。インターネットバンキングの不正送金は、発生件数が253件、被害額が42億2400万円から20億6580万円へほぼ半減している。ただし内訳を見ると、個人の被害が19億4877万円から3億2291万円へ大きく減ったのに対し、法人の被害は22億7523万円から17億4289万円への減少にとどまり、被害の中心は法人へ移った。

特殊詐欺は認知件数が1万8623件から2万2031件へ、被害額は1197億円から1816億円へ増えた。手口別の被害額はSNS型投資詐欺が353億円から798億円、ニセ警察詐欺が399億円から508億円と伸びている（刑法犯の財産被害4983億円、10年で3.4倍　8割が詐欺　増えた963億円のうち874億円は現金）。

警察庁は今回の統計データを同庁ウェブサイトの「サイバー空間をめぐる脅威の情勢等」で公開している。半期ごとの件数を足すと、2025年（令和7年）の通年の被害報告は上半期116件と下半期110件の計226件で、今年は上半期だけで123件に達した。