中小企業にとって、「自分のところには狙われないだろう」「重要なデータは持っていないから大丈夫だろう」と思われがちなサイバーリスク。しかし実際は、取引先の大手企業を足がかりに侵入したり、メールを踏み台にされたりする手口が増えており、被害額も従来の想像を超える規模になるケースが少なくありません。本稿では、最新の事例と賠償コスト、復旧負担などを踏まえたリスク対応の視点を整理します。

1.サイバー攻撃の現状と中小企業への影響

帝国データバンクの調査では、2025年5月時点で 約32％の企業がサイバー攻撃を経験しているとの回答があり、中小企業でも例外ではありません。

被害によって金銭的損失が発生するだけでなく、業務停止、復旧コスト、顧客信頼の毀損など波及的損害が大きいため、実損害は賠償額を超えることが多いと指摘されています。

2.主な被害事例と賠償・被害額の目安

以下はいくつか先行事例・調査結果から得られる金額目安です。

被害タイプ 　　平均被害額（調査値）　

• ランサムウェア感染 約 2,386 万円 復旧対応・人件費・営業停止含まず
• エモテット感染 　　　　約 1,030 万円 通常のマルウェア感染ケース
• ウェブサイト情報漏えい（クレジットカード＋個人情報）
  約 3,843 万円 漏洩データの性質によりコストが跳ね上がる
• 情報漏洩（個人情報のみ）　約 2,955 万円 　 賠償・通知対応など含めた被害額
• 個人情報漏洩の損害賠償（国内） 被害者1人あたり 約 28,308 円
  漏洩件数により総額は数千万～数億円に拡大
• 複合的な被害（EC改ざん例） 総額 約1億円規模想定
  フォレンジック・対応費・売上ロス・賠償金を合算したケース

例えば、ある小売業でECサイトのクレジットカード入力フォームが改ざんされ、2,000万件超のカード情報が流出 → 賠償・対応コスト・売上休止損失などを合算して 1億円規模 の被害想定という報道もあります。

また、過去の調査では、個人情報漏洩インシデント1件あたりの平均損害額（賠償・中断損失等を含む）が 6億3,767万円 と想定されたものもあります。

これらを見ると、被害企業の規模・データのセンシティビティ（クレジットカード、医療情報など） によって単価が跳ね上がるのは当然です。

3.賠償以外のコスト項目 — 被害額を超える負担

サイバー被害では、賠償金だけでなく以下のようなコストも無視できません：

• システム復旧費用：フォレンジック調査、感染拡大の封じ込め、システム再構築
• 営業中断・売上ロス：システム停止による機会損失
• お詫び広告・通知費用：顧客通知、プレスリリース、訴訟対応、行政対応
• 信用・風評被害：顧客離れ、取引先との関係悪化
• 訴訟費用・弁護士顧問料
• 見舞金・補償金支出

損害の種類には、賠償（被害者への支払い）、利益損害（中断による機会損失）、金銭被害（不正引き出し等）、無形損害（信用低下・風評等）などが含まれます。

4.なぜ小規模企業もターゲットにされるか

多くの経営者が言うように「小さい会社は狙われないだろう」は実は逆のロジックになります

• 大手企業はセキュリティ投資をしており、防御壁が厚いため侵入しにくい。
• 攻撃者は、まず脆弱な中小企業を狙ってそこから関連企業へ踏み込む「サプライチェーン攻撃」が増加しています。
• 実際、サイバー保険やリスク対応を重視する企業では、取引先に「サイバー保険加入」や「セキュリティ水準」の証明を求めるケースが増えています。
• また、攻撃者はメール添付やフィッシングを使って、中小企業のメールサーバや業務システムを足がかりに侵入する手口が多発しています。

5.保険（サイバー保険等）で対応できる範囲・注意点

サイバーリスクを保険でカバーすることは有効な対策ですが、以下の点には注意が必要です

• 保険商品の募集・審査が厳しいため、契約前審査でセキュリティ態勢がチェックされることが多い
• 海外のサイバー保険では身代金（ランサム支払い）を対象とするケースもあるが、日本では多くの商品で身代金は補償対象外という制約があるケースがあります。
• 補償範囲（賠償、復旧、通知、休業補償など）は契約によって大きく異なるため、具体的な保障内容は各社の契約条件を確認する必要があります。

6.企業が取るべき備えとCOMPASSからの提案

• リスク診断・セキュリティ評価
  自社の脆弱性を把握するための初期診断を実施
• 多層防御とバックアップ体制
  メールフィルタ、侵入検知、ファイアウォール、定期バックアップ
• BCP・復旧計画
  被害発生時の対応プロセスを明文化し、優先度を整理
• 被害発生時の予備資金確保
  保険適用外部分や自己負担に備える
• サイバー保険契約
  賠償・復旧・通知・休業補償などの契約範囲をカスタマイズ
• 継続的教育・社員意識の向上
  フィッシング訓練、情報リテラシー研修
• 引先へのセキュリティ条件提示
  「取引先もセキュリティ投資義務あり」と契約書で明示するなど

COMPASSでは、法人支援サービスの一環としてサイバーリスク診断支援や保険導入支援も視野に入れています。必要に応じて専門のサイバーセキュリティ企業・保険会社と連携し、包括的な対策を構築するお手伝いが可能です。

※注意／免責文言（保険募集に関して）
本記事は一般的な情報提供を目的としています。特定の保険商品・補償内容・会社を推奨するものではありません。具体的な補償内容や適用範囲は各保険会社・契約条件により異なります。導入を検討される際は、必ず各社の契約条項や審査条件を確認してください。