サイバー攻撃の被害 額 まとめ｜企業の特別損失事例・業界平均・内訳を解説【2026年最新】

サイバー攻撃を受けた企業がどれだけの被害額を負担することになるのか、具体的な金額と算出根拠を知りたいという方は多いはずです。この記事では、アスクルの52億円、KADOKAWAの36億円をはじめとするランサムウェアの特別損失事例に加え、2026年に急増しているBEC（ビジネスメール詐欺）・不正送金による被害事例も網羅します。はてなの最大11億円の資金流出をはじめ、上場企業9社で被害総額約20億9,000万円超に達したBEC被害の実態も解説します。さらにIBMやJNSAの調査に基づく業界平均・相場、被害額の内訳、中小企業の平均被害額まで、情報システム部門が経営層へセキュリティ投資を説明する際の根拠資料としても活用いただける内容です。

サマリー

• 国内企業の公表済み被害額は、アスクル52億円・KADOKAWA36億円・カシオ売上減130億円など高額化が進行
• BEC（ビジネスメール詐欺）・不正送金による被害が2026年に急増、上場企業関連9社で被害総額約20億9,000万円超
• はてなは2026年4月にCEO詐欺（BEC）で最大約11億円が流出、特別損失11億7,900万円を計上し当期純損失に転落
• ZUU・ベルトラ子会社・萩原電気グループでもBEC・なりすまし詐欺による不正送金が相次ぐ
• データ侵害の世界平均コストは444万ドル（IBM 2025）、日本は5億5,000万円で8年ぶりに減少
• 米国の平均侵害コストは1,022万ドルで過去最高、医療業界は14年連続で最高額（977万ドル）
• 中小企業のランサムウェア被害の平均額は約2,386万円（JNSA調査）
• 被害額は身代金だけでなく、事業停止・復旧費用・顧客対応・信用失墜など多岐にわたる
• AIと自動化を導入した組織は未導入組織より侵害コストが大幅に低い

---

主要企業のサイバー攻撃 被害額一覧

まず、日本国内を中心に公表されている主要なサイバー攻撃の被害額を一覧で整理します。金額は各社の決算発表や公式リリースに基づく特別損失・業績影響額です。

社名	被害発生	公表・特損計上	概要	原因（攻撃グループ）	被害額
アスクル	2025年10月19日（一斉暗号化）	2026年1月28日（特損確定）	サーバー障害・個人情報流出	ランサムウェア（RansomHouse）	52億16百万円（特別損失）
カシオ	2024年10月5日	2024年11月（第3四半期業績修正）	不正アクセス・ランサムウェア・個人情報漏えい	ランサムウェア（Underground）	売上減約130億円・営業利益減約40億円
イオンフィナンシャルサービス	2024年3月〜2025年2月（不正利用期間）	2025年2月期決算	クレジットカード不正利用	カード不正利用	99億円（特別損失）
KADOKAWA	2024年6月8日	2024年8月5日（特損計上発表）	サーバー障害・個人情報流出（約25万人）	ランサムウェア（BlackSuit）	36億円（特別損失）
米ハリバートン	2024年8月21日	2024年10月（第3四半期決算）	不正アクセス	ランサムウェア（RansomHub）	3,500万ドル（約54億円）
イズミ	2024年2月15日	2024年5月9日	ランサムウェア感染・個人情報閲覧の可能性	不明（VPN経由侵入）	約10億円（特別損失）
関通	2024年9月12日	2024年9月13日	サイバー攻撃・ランサムウェア	不明（外部接続口から侵入）	5億7800万円（特別損失）
HOYA	2024年3月	2024年8月1日（第1四半期決算）	サイバー攻撃・IT障害	ランサムウェア（Hunters International）	セグメント利益42%減
ヨロズ	2024年10月14日	2024年10月14日（同日公表）	ランサムウェア・アクセス障害	ランサムウェア（RansomHub）	不明（決算発表延期）
シスコシステムズ	2024年6月10日	2024年10月（不正アクセス確認公表）	不正アクセス・データ窃取	ハッカー（IntelBroker）	不明
はてな	2026年4月20-21日	2026年4月24日（適時開示）	BEC・CEO詐欺（不正送金）	ビジネスメール詐欺（CEO詐欺）	特別損失11億7,900万円（当期純損失に転落）
萩原電気グループ会社	2026年1月下旬	2026年1月29日	虚偽の送金指示（BEC）	ビジネスメール詐欺	約2億7,900万円（187万6,000USドル）
ZUU	2026年3月19日	2026年3月19日（同日公表）	ビジネスチャットなりすまし（不正送金）	ビジネスチャット詐欺	9,600万円
ベルトラ子会社（リンクティビティ）	2026年1月上旬	2026年2月（決算注記）	フィッシング→SNS誘導→送金指示（BEC）	ビジネスメール詐欺	約5,000万円

以下、金額が公表されている主要事例について、被害額の内訳と発生経緯を個別に解説します。

サイバー攻撃の被害額の相場・業界平均はいくらか

個別事例の前に、サイバー攻撃の被害額が全体としてどの程度の水準にあるのかを、権威ある調査データから把握しておきます。経営層への説明では、自社事例だけでなく業界全体の統計を示すことが説得力につながります。

IBMとPonemon Instituteによる「2025年データ侵害のコストに関する調査」によると、データ侵害の世界平均コストは444万ドルで、迅速な特定と封じ込めにより5年ぶりに減少しました。一方、日本の平均コストは5億5000万円（365万ドル）で8年ぶりの減少となっています。ただし米国の平均侵害コストは記録的な1022万ドルに達しており、地域差が大きいことが特徴です。

業界別では、医療業界が14年連続で最も高額な平均侵害コスト（977万ドル）を記録しています。金融サービス・製造業・テクノロジー・エネルギーといった重要インフラ分野も侵害コストが高い傾向にあります。

被害額を左右する要因として、この調査は法執行機関の関与とAI・自動化の導入を挙げています。法執行機関を関与させたランサムウェア被害者は、関与させなかった場合と比べて侵害コストを平均約100万ドル削減できており、大半（63%）が身代金の支払いを回避できました。また、セキュリティにAIと自動化を広範に使用した組織は、使用しなかった組織と比べて侵害コストが大幅に低いことが分かっています。

なお、調査対象企業の63%が、データ侵害によって商品やサービスの価格を引き上げると回答しており、サイバー攻撃の被害額は最終的に消費者へ転嫁される構造も浮き彫りになっています。

サイバー攻撃の被害額の内訳――何にコストがかかるのか

サイバー攻撃 被害額と一口に言っても、その内訳は多岐にわたります。ネットワークエンジニア・サーバーサイドエンジニアとして復旧対応に関わってきた経験からも、身代金以外のコストが被害額の大部分を占めるケースが少なくありません。被害額は大きく以下のカテゴリーに分類できます。

直接的な被害としては、身代金の支払い、事業停止による売上機会の損失、システムの復旧・再構築費用、侵害されたハードウェアやソフトウェアの除却費用が挙げられます。関通の事例では、被害を受けたソフトウェアや工具器具備品の除却費用と、強化されたセキュリティ対策費が特別損失の要因として明示されています。

間接的な被害としては、顧客・取引先への対応費用、コールセンターや問い合わせ対応の増強、個人情報漏えい時の通知・補償費用、フォレンジック調査費用、弁護士費用や訴訟対応費用、そして信用失墜による中長期的な取引減少があります。IBMの調査でも、事業損失と侵害後の顧客・第三者対応コストが被害額急増の主因とされています。

これらのコストは事案の公表時点では確定せず、数か月から1年以上をかけて段階的に特別損失として計上されるのが一般的です。KADOKAWAのように四半期ごとに損失が積み上がっていくケースもあります。

アスクルのサイバー攻撃の被害額と概要（52億円）

アスクルは2026年1月28日、2025年10月19日に公表していたランサムウェア攻撃に起因するシステム障害に関連し、2026年5月期第2四半期連結決算で「システム障害対応費用」として特別損失52億16百万円を計上したと発表しました。併せて2026年5月期の通期連結業績予想を取り下げ、配当予想を修正し、役員報酬の減額も実施しています。

同社への攻撃は短期集中型ではなく、数カ月にわたる潜伏と横展開を経て、10月19日に一斉暗号化を実行した形跡が確認されています。2025年6月ごろに業務委託先向けのリモート接続用アカウントが悪用されて外部から侵入され、7〜10月にかけて攻撃者はネットワーク内を偵察し認証情報を窃取、EDRなどのセキュリティソフトを無効化しながら複数のサーバへ横展開しました。10月19日には複数種のランサムウェアが同時に発動し、物流・社内システムに加え同一データセンター内のバックアップデータまで暗号化され、物流センターの出荷業務が広範囲に停止しています。ランサムウェアグループRansomHouseが約1.1TBのデータ窃取を主張しました。

カシオへのサイバー攻撃の被害額と概要（売上減130億円）

カシオ計算機は2024年10月5日、同社のネットワークが第三者による不正アクセスとランサムウェアの被害を受け、個人情報漏えいの可能性を発表しました。ランサムウェア攻撃グループUndergroundが犯行声明を発表しています。窃取したとされるデータは合計204.9GBに及び、社外秘文書、法的文書、従業員の個人情報、NDA、給与情報、特許情報、財務書類などが含まれていました。

この不正アクセスにより重要なシステムの一部が使用できなくなり、販売・生産活動への影響やサービス停止、決算スケジュールの変更を余儀なくされました。これにより売上高の減少が約130億円、営業利益の減少が約40億円見込まれることとなりました。ただしシステムの復旧が進んだため、業績への影響は第3四半期に限定されるとしています。

イオンフィナンシャルサービスのカード不正利用の概要（99億円）

イオンフィナンシャルサービスは、2025年2月期（2024年3月1日〜2025年2月28日）の連結累計期間において、国内のクレジットカードショッピングにおけるオフライン取引の一部でクレジットカードの不正利用が発覚しました。不正利用が確認された金額は99億円に上り、これを特別損失として貸倒関連費用に計上する見込みです。

手口は、特定の決済サービスや特殊な条件下で行われるオフライン取引における第三者の不法行為とされています。この事例はランサムウェアではなくカード不正利用によるものですが、金融事業者にとって不正利用がそのまま巨額の被害額に直結することを示しています。

KADOKAWAへのサイバー攻撃の被害額と概要（36億円）

2024年6月8日、KADOKAWAグループの複数のサーバにアクセスできない障害が発生し、調査の結果ランサムウェアを含む大規模なサイバー攻撃であると判明しました。ランサムウェア攻撃グループBlackSuitが窃取・流出した情報を公開しています。漏えいした個人情報は254,241人分にのぼり、原因はフィッシングなどの攻撃により従業員のアカウント情報が窃取されたことと公表されています。

被害額として、大規模なサイバー攻撃の影響によりKADOKAWAグループは2025年3月期に36億円の特別損失を計上する見通しだと発表しました。ニコニコ動画の停止などでクリエーターへの補償費用やサーバーなどの復旧費用に充てるとしています。これに伴い連結純利益の見通しを従来予想の134億円から97億円へ下方修正しました。なお一部報道では約4億円の身代金を支払った可能性が指摘されていますが、同社は身代金は支払っていないとしています。

イズミへのサイバー攻撃の被害額と概要（約10億円）

西日本で「ゆめタウン」などを展開するイズミは2024年5月9日、同社グループの一部サーバーがランサムウェアに感染し、最大で778万4999件の個人情報が閲覧された可能性があると発表しました。感染が発覚したのは2024年2月15日で、外部の専門機関による調査の結果、VPN装置を経由してグループ会社のサーバーに侵入されたことが判明しています。

被害額としては、2024年2月期の決算記者会見で、対応費用として約10億円の特別損失を計上しました。ランサムウェアによる被害で決算が例年より2カ月遅れとなっています。VPN装置を経由した侵入という点で、インターネットに面した機器の脆弱性管理の重要性を示す事例です。

関通へのサイバー攻撃の被害額と概要（5.8億円）

物流や倉庫管理システム「クラウドトーマス」を提供する株式会社関通は、2024年9月13日に悪意を持った第三者からサイバー攻撃とランサムウェア攻撃を受けたことを「サイバーテロ」として発表しました。ガンバ大阪など同社の顧客約47社が個人情報漏洩や出荷停止、出荷遅延の影響を受けています。侵入経路は外部ネットワークとの接続口からで、複数のサーバへ侵入し暗号化が実施されました。

被害額として、システム障害関連費用として5億7800万円の特別損失を計上することを発表しました。要因は被害を受けたソフトウェアや工具器具備品などの除却費用と、強化されたセキュリティ対策費です。

米ハリバートンへのサイバー攻撃の被害額と概要（約54億円）

2024年8月21日、アメリカの石油関連サービスを提供するハリバートン（Halliburton）へのサイバー攻撃が発生しました。第三者からの不正アクセスを検知し、ITインフラの一部をシャットダウンしたことで限定的な運用上の影響とクライアントシステムの切断が発生しています。複数の海外セキュリティ研究者は、この攻撃の背後にランサムウェアグループRansomHubが関与していると指摘しています。

被害額として、このサイバー攻撃とランサムウェアで同社は3,500万ドル（約54億1,024万円）の損失が発生したことを発表しました。

HOYA・ヨロズ・シスコシステムズの概要（被害額の一部が非公表）

HOYAは光学機器・医療機器・電子部品を専門とする企業で、2024年3月にサイバー攻撃を公表しました。ハッカー集団Hunters Internationalが170万件のファイル・合計2TBのデータの身代金として1,000万ドルを要求したとされています。被害額として、2025年3月期第1四半期決算でレンズ事業を含むライフケア事業のセグメント利益が前年同期比42%減に落ち込みました。

自動車部品製造の株式会社ヨロズは2024年10月14日、ランサムウェアによりグループの複数サーバーのファイルが暗号化されたことを確認しました。RansomHubが犯行声明を発表しています。具体的な被害額は不明ですが、2025年3月期第2四半期決算発表を延期しました。

シスコシステムズは、脅威アクターIntelBrokerらが2024年6月にサイバー攻撃と不正アクセスを行い大量のデータを窃取したと発表した事案です。原因であるDevHubポータルを非公開にしていますが、具体的な被害額は公表されていません。

BEC（ビジネスメール詐欺）・不正送金による被害額――2026年に急増する新たな脅威

ランサムウェアと並んで、情報システム部門が見逃せないのがBEC（Business Email Compromise・ビジネスメール詐欺）と不正送金です。技術的な侵入ではなく、役員・取引先・上司へのなりすましで従業員を騙して送金させる手口であり、EDRやアンチウイルスでは検知できません。IPAの「情報セキュリティ10大脅威2026」でも10位にランクインしており（2018年以降9年連続選出）、2025年12月から2026年にかけて国内の法人組織6,000社超を標的にしたLINE誘導型のCEO詐欺が急増しています。

当サイトが集計した国内の公表事例では、上場企業関連9社で被害総額が約20億9,000万円超に達しており、ランサムウェアとは異なる経路での巨額被害が続いています。

BECの典型的な手口は次の流れをたどります。攻撃者はSNSや公開情報から標的企業の組織構造・役員・経理担当者を事前調査し、CEOや取引先を装ったメールやチャットで経理担当者に接触します。その後、緊急性を演出した「今すぐ振り込んでほしい」という送金指示を出します。メールの送信元ドメインが本物に酷似しているか、正規アカウントへの不正アクセス後に送信されるケースもあり、迷惑メールフィルターをすり抜けやすい点が被害を広げています。

はてな、BEC・CEO詐欺で最大約11億円が流出――特別損失11億7,900万円を計上（2026年4月）

2026年4月24日、東証グロース上場の株式会社はてな（証券コード：3930）は、不正な送金指示に起因する資金流出事案が発生したと適時開示を行いました。

発生経緯は次の通りです。2026年4月20日・21日にかけて、はてなの従業員が悪意ある第三者からの虚偽の送金指示に従い、複数回にわたり会社の銀行預金口座から外部口座へ送金を実行しました。2026年4月21日、取引先銀行から不審な送金があるとの連絡を受けて事案が発覚しています。

手口の詳細は非公表ですが、複数のメディアがCEO詐欺（ビジネスメール詐欺・BEC）に類する手口と指摘しています。悪意ある第三者が役職員になりすまして送金指示を行い、従業員がこれを正規の指示と誤認したものとみられています。

被害額は最大約11億円とされ、特別調査委員会の調査を経て最終的な損失額は11億7,900万円（特別損失）として確定しました。この金額は公表当時の同社通期営業利益予想の約8.1倍に相当し、当期純損失767百万円へ転落するという深刻な業績影響をもたらしました。2026年5月20日には特別調査委員会が設置され、再発防止策の策定が進められています。

サーバーサイドエンジニアとして技術的なインシデント対応を経験してきた立場から見ても、BECは技術的な侵入を伴わないため、システム監視だけでは防ぎきれないという点が厄介です。送金承認プロセスの二重化・三重化と、口座変更・緊急送金には別経路での確認を必須化する運用設計が根本的な対策となります。

ZUU・ベルトラ子会社・萩原電気グループ――BEC・なりすまし詐欺が上場企業を直撃

はてな以外にも、2025年後半から2026年にかけて国内の上場企業・グループ企業でBECおよびなりすまし詐欺による不正送金が相次いでいます。

ZUU（東証グロース：4387）は2026年3月19日、ビジネスチャット上で役職員を装った第三者による不正な送金指示を受け、従来のルールに則り9,600万円を振り込んでしまったと公表しました。コミュニケーションツール上でのなりすましが起点となっており、メール以外の経路でのBECが確認された事案として注目されます。

ベルトラ（東証グロース：7048）の子会社リンクティビティ株式会社では2026年1月上旬、同社の代表者を名乗る第三者からのメールが届き、社外のSNSアカウントへ誘導されました。SNS上でのやり取りを通じて、経理担当者が社内で管理していた銀行届出印を持ち出して銀行窓口で振込手続きを実施し、約5,000万円が外部口座へ送金されました。フィッシングメール→SNS誘導→送金指示というマルチチャネルの手口が特徴的な事案です。

萩原電気グループの会社では2026年1月29日、虚偽の送金指示により187万6,000USドル（約2億7,900万円）が流出したと発表しました。

これらの事案に共通するのは、技術的な防御を回避して人間の判断を悪用するという点です。メールやチャットで届いた送金指示を、電話など別の通信経路で必ず本人確認するという運用ルールの徹底が、最も効果的な対策です。口座番号の変更を伴う送金依頼は特に疑ってかかることと、緊急性を強調された指示こそ慎重に確認するプロセスを組織全体に周知することが求められます。

中小企業のサイバー攻撃・ランサムウェアの平均被害額（約2,386万円）

大企業の巨額被害が注目されがちですが、中小企業にとってもサイバー攻撃の被害額は経営を揺るがす水準です。

日本ネットワークセキュリティ協会（JNSA）のアンケートによると、被害の大部分は「ウェブサイトからの情報漏洩」「Emotet感染」「ランサムウェア感染」であり、特に後者二つが増加傾向にあります。ランサムウェア感染の平均被害額は約2,386万円、内部工数は平均27.7人月で、被害組織の半数がデータ復旧に成功していますが、身代金の支払いはありませんでした。Emotet感染の平均被害額は約1,030万円で、内部工数は平均2.9人月、一部の組織では2,000万円を超える被害がありました。

注目すべきは、大半の組織がこうしたサイバー攻撃の被害を外部からの連絡で初めて知ったという点です。自社で侵害を検知できていないケースが多く、EDRやログ監視といった検知体制の整備が被害額を抑えるうえで重要になります。

被害額を抑えるために情報システム部門ができること

これまでの事例と統計から、サイバー攻撃の被害額を左右する要因が見えてきます。

第一に、早期検知と封じ込めです。IBMの調査が示すように、迅速な特定と封じ込めは被害額の減少に直結します。アスクルやイズミの事例のように、侵入から一斉暗号化まで数カ月潜伏するケースでは、その間に異常を検知できるかどうかが被害規模を分けます。EDRやSIEMによる継続的な監視体制の整備が有効です。

第二に、バックアップの隔離です。アスクルの事例では同一データセンター内のバックアップまで暗号化されました。オフラインまたはイミュータブルストレージへのバックアップ保管が、復旧コストと事業停止期間の削減に直結します。

第三に、境界機器の脆弱性管理です。イズミのようにVPN装置を経由した侵入は繰り返し発生しています。インターネットに面した機器のパッチ適用と認証情報管理を徹底することが、初期侵入の遮断につながります。

第四に、インシデント対応計画の事前整備です。法執行機関の関与や広報・開示戦略を事前に定めておくことで、被害額と対応の後手化を抑えられます。

第五に、BEC・不正送金に特化した送金承認プロセスの強化です。ランサムウェア対策とは異なり、BECへの対応は技術的な防御ではなく業務フローの設計が核心です。具体的には、メールやチャット上の送金指示は必ず電話など別経路で本人確認すること、口座番号変更を伴う送金依頼は上位承認者のダブルチェックを必須とすること、そして初回送金や緊急送金には少額テスト送金を実施することが有効な対策です。はてなの事案が示すように、上場企業でも通期営業利益の8倍超の被害が一度の誤送金で生じる可能性があります。DMARC・DKIM・SPFの整備と類似ドメインの監視も、なりすましメールの到達率低下に貢献します。

サイバー攻撃の被害額は、ランサムウェアの身代金・事業停止コストだけでなく、BECによる即時かつ回収困難な資金流出まで含む総合的な経営リスクです。経営層への投資判断を促す際には、本記事の事例と統計を根拠として活用いただければと思います。

---

出典

• IBM｜2025年データ侵害のコストに関する調査レポート
• PR TIMES｜IBM「2025年データ侵害のコストに関する調査レポート」日本語版を公開
• JNSA｜日本ネットワークセキュリティ協会 インシデント被害調査
• セキュリティ対策Lab｜はてなで最大約11億円の資金流出――ビジネスメール詐欺（BEC）か
• セキュリティ対策Lab｜株式会社はてな、最大約11億円のCEO詐欺被害で特別調査委員会を設置
• セキュリティ対策Lab｜ビジネスメール詐欺やなりすましチャットによる不正送金被害まとめ（上場企業関連9社）
• セキュリティ対策Lab｜ベルトラ子会社、代表者なりすましフィッシングメールからSNS誘導で約5,000万円流出
• はてな｜資金流出事案の発生に関するお知らせ（適時開示 2026年4月24日）