ランサム被害件数が日本で過去最多更新、中小企業を踏み台にする攻撃が深刻化

「ランサムの被害件数が過去最多なのに、身代金は減っているってどういうこと？」
「中小企業を経由して大企業が狙われるって、自社では何を見直せばいいの？」

チップス

ボス、ランサムの被害が日本で過去最多って報道があったでしゅ。それなのに身代金は減っているって、なんだか矛盾してるでしゅ…

ボス

ふふふ、いい疑問だ。
件数が増えるなか身代金総額が減っているのは、攻撃者の標的が大企業だけでなく支払い能力の低い中小にまで広がっている裏返しだな。
中小企業を踏み台にしてサプライチェーンの先にある大企業を狙う手法が定着しつつある。

サプライチェーン全体を視野に入れた防衛が必要な時代になっています。
本記事では2026年の最新動向と、自社で着手できる委託先対応のポイントを整理しました。

記事を読むことで、委託先評価とインシデント対応の優先順位が短時間で見えてきます。

事件の概要：件数は過去最多、狙われる構図が変化

2026年に入り、日本国内のランサムウェア被害件数は過去最高水準を更新しています。
同時に、攻撃者が中小企業を起点にサプライチェーン全体を狙う構図がはっきりしてきました。

件数増・身代金減という相反する数字

ボス

件数が増えても支払総額が減るのは、被害企業が支払いを拒む流れが定着してきた一面もあるな。

2025年のランサム関連の暗号資産送金額は2,000万ドルにとどまり、2024年の9,200万ドルから大きく減少しました。
一方で被害報告件数は過去最高を更新し、攻撃の発生頻度は明らかに増えています。
身代金を払わずに復旧する企業が増えた結果でもあり、攻撃者は数を稼ぐ方向にシフトしています。
結果として狙いやすい中小企業や委託先の被害が目立つ流れになっています。

委託先・中小企業に集中する攻撃の入り口

チップス

うちは大企業じゃないから狙われない、っていうのは通用しないんでしゅ？

NRIセキュアが2026年2月に公表した調査では、75.4%の組織が複雑化するサイバー脅威に対し何らかの対応準備を進めていると回答しました。
同時に、対応の進捗を把握できないことや人員・予算不足が課題として挙げられています。
委託先のフォーマットの違いや評価基準のばらつきも、リスクを見えにくくする要因です。
実際の攻撃では、認証情報の窃取やVPN・ファイルサーバの悪用を起点に本社環境まで侵入する事例が報告されています。

攻撃手口と被害：踏み台型サプライチェーン攻撃の実態

中小企業を踏み台にしたサプライチェーン攻撃には、典型的な手口と被害パターンがあります。

よくある侵入経路と被害連鎖

ボス

取引先のVPNから本社に潜り込まれるパターンが特に厄介だな。

典型的な侵入経路と被害の流れは以下のように整理できます。

1社の弱点が、結果的にサプライチェーン全体の停止につながる構造です。

流通ISAC設立に見る連携防御の動き

ボス

業界として情報を共有しようという動きが出てきた。
これは前向きな兆候だな。

2026年4月には流通BMS推進協議会、トライアル・ホールディングス、OKI食品が「流通ISAC」の設立を発表しました。
流通業界の事業者がインシデントや脅威情報を共有し、協調して防御力を上げる仕組みです。
金融・電力分野で先行していたISACモデルが流通にも広がり、業界横断の連携防御が現実的な選択肢になってきました。
同様の枠組みを自社の業界・取引網に当てはめて準備しておくと、有事の対応速度が大きく変わります。

まとめ：自社・委託先・業界の3層で備える

ボス

サプライチェーンを守るには、自社単独の防御から一歩踏み出す必要があるな。

件数増・身代金減という数字の裏側には、攻撃者の戦術転換と中小企業の苦境があります。
自社対応に加え、委託先の状況把握と業界連携への参画を視野に入れた多層防御が求められます。

明日から手を打てる施策は以下の通りです。

チップス

うちと取引先と業界、3つの視点で見直すんでしゅね。早速委託先リストの棚卸しから始めるでしゅ！