監修: 代表取締役 佐藤 望（建設業界30年・建設業経理士1級／記事末に経歴）
最終確認日: 2026年10月18日（出典の数字はこの日に原典で確かめました）
結論: 保険は「身代金」を払いません。先に決めるのは「止まった日の工事の回し方」です
被害に遭った中小企業の、過去3期の被害総額の平均は約73万円です（IPA、2024年度調査）。誤送信なども含む数字で、1件あたりではありません。最大は1億円でした。
ランサムウェア（データを人質に取られるウイルス）は別です。警察庁の調べでは、復旧に1,000万円以上かかった組織が5割を超えました（令和7年）。令和8年上半期は6割です。
サイバー保険は、事故の対応費用や賠償金などを対象にします。ただし、犯人に払った身代金は対象外です（日本損害保険協会）。
やることは3つです。
- 工事を止めた日の連絡先と手順を、紙に書いておく
- 止まった日数ぶんの損失を、先に見積もる
- そのうえで、保険に何を任せるか決める
ランサムウェアの仕組みや一般的な対策は、現代のランサムウェアの影響と対策にまとめています。この記事は、建設会社が受ける損失の大きさと、保険で埋まる所・埋まらない所に絞って書きます。
中小企業の被害総額は平均73万円。ただし最大は1億円
IPA（情報処理推進機構）は2024年10月25日から11月6日に、中小企業4,191件へアンケートをしました。2023年度に被害に遭ったと答えたのは約2割です（IPA 2024年度 中小企業の実態調査）。
被害額の平均と最大
被害に遭った会社に、過去3期に生じた被害額の総額と、復旧までに要した最大の期間を聞いた結果です。
| 項目 | 平均 | 最大 |
|---|---|---|
| 過去3期の被害総額 | 約73万円 | 1億円 |
| 復旧までに要した最大の期間 | 5.8日 | 360日 |
100万円以上の被害だった会社は9.4%です。小さな被害が多く、ごく一部が大きく外れる形です。
この数字の読み方
平均だけを見て「うちは73万円で済む」と考えるのは危険です。理由は2つあります。
- 平均の1つの数字では、ごく一部の会社が受けた大きな被害の重さは見えません
- IPAの報告書は、被害で倒産した会社は回答していない点に注意が必要と書いています。これは同報告書が引く、損保協会の2020年調査についての注記です。今回の調査でも同じ偏りがあると考えるのが自然ですが、これは当社の推定です
ランサムウェアは復旧に1,000万円以上が5割超
ランサムウェアは、会社のデータを暗号化して使えなくし、元に戻す代わりにお金を求めます。警察庁は、令和7年の被害報告を226件としています。そのうち約6割が中小企業です（警察庁 令和7年の情勢）。
復旧費用と期間の推移
| 区分 | 調査・復旧費用が1,000万円以上だった割合 | 1か月未満で復旧した割合（別の設問） |
|---|---|---|
| 令和7年 | 5割超（当社の集計で51.7%、89件中46件） | 5割強 |
| 令和8年上半期 | 6割（当社の集計で60.0%、35件中21件） | 5割弱 |
令和8年上半期の被害報告は123件で、半期としては過去最多です（警察庁 令和8年上半期の情勢）。
注意点があります。アンケートに答えたのは被害組織の一部で、設問ごとに有効回答の数が違います。令和8年上半期は35件と少ないため、「6割」は目安として読んでください。
先ほどの73万円と、なぜ開きがあるのか
IPAの73万円は、あらゆる種類のサイバーインシデントの過去3期の総額の平均です。ウイルス感染やメールの誤送信も含みます。警察庁の数字は、ランサムウェアに遭った組織だけです。比べる対象が違います。
IPAの報告書が引くJNSA（日本ネットワークセキュリティ協会）の調査では、ランサムウェア被害の平均は2,386万円でした。この調査は大企業や団体も含み、時間のロスや社内の人件費は含まれていない例が多い、と注記されています。
建設業の被害は何件あるのか
警察庁の統計では、ランサムウェアの被害のうち建設業は、令和7年が18件、令和8年上半期が8件です。
ただし、これは警察に報告があった件数です。報告されない被害は入っていません。「建設業は狙われにくい」と読む根拠にはなりません。
攻撃の流れ
警察庁によると、近年は外から社内ネットワークに入り込む手口が多く、被害組織の侵入経路はVPN機器が約5割です（令和8年上半期）。VPNは、事務所や現場から社内サーバーに安全につなぐ仕組みです。
攻撃者は管理者の権限を奪い、データを盗み出してから、暗号化します。バックアップも一緒に暗号化される場合が多いと書かれています。
建設会社に置き換えると、図面、工程表、見積、発注者とのやり取りを置いたサーバーが止まる形です。個別の被害事例は、今回の原典では確認できなかったため、この記事では取り上げません。
サイバー保険で出るもの・出ないもの
日本損害保険協会は、サイバー事故で次の3つの費用が出る可能性があるとしています（損保協会 サイバー保険）。
| 費用の種類 | 中身の例 | 保険の扱い |
|---|---|---|
| 事故対応費用 | 原因の調査、お客様への連絡 | 対象になり得る |
| 損害賠償費用 | 取引先や顧客への賠償、訴訟費用 | 対象になり得る |
| 利益損害・営業継続費用 | 止まった間に失った利益 | 対象になり得る |
| ランサムウェアの身代金 | 犯人に払った金額 | 対象外 |
どこまで対象になるかは、保険会社とプランで違います。損保協会も、詳細は保険会社や代理店に確認するよう書いています。
加入している会社は、まだ少ない
損保協会の2025年調査（中小企業の経営者・従業員1,050人、2025年8月29日から9月1日）では、勤務先がサイバー保険に入っていると答えた割合は8.8%でした。火災保険は58.6%です。
この数字は回答者の認識であり、保険会社の契約件数ではありません。
保険に任せられないこと
保険は、お金の穴を埋める道具です。止まった工事は動かしません。
警察庁は、被害に遭った組織のうち、サイバー攻撃を想定した事業継続計画（BCP）を決めていたのは約18%だったと書いています（令和7年）。保険に入る前に、止まった日の段取りが要ります。
自社の工事が1日止まると、いくらの損が出るか。無料経営相談で、工事ごとの損失の見積りと、保険に任せる範囲の整理を一緒に行えます。
元請・発注者への影響は大きい
建設会社は元請・下請の重なりの中で仕事をします。被害は自社だけで終わらず、取引先にも及ぶことが調査から分かっています。
- IPAの調査では、被害に遭った会社のうち、取引先に影響があったと答えた会社は約7割です（影響なしは29.7%）
- 影響の中身は、サービス停止や遅れによる逸失利益が36.1%、賠償や補償の負担が32.4%です
- Verizonの2025年の国際調査では、データ侵害の30%に取引先などの第三者が関わっていました。前年からほぼ倍増したと報告されています（Verizon 2025 DBIR）
Verizonの数字は世界全体の平均です。日本の建設業だけの数字ではありません。
参考までに、東京商工リサーチによると、2025年に上場企業と子会社が公表した個人情報の漏えい・紛失は180件でした。原因の64.4%はウイルス感染・不正アクセスです（東京商工リサーチ）。上場企業だけの数字なので、中小企業の件数ではありません。
統合最適化で考える: 人・DX・収益
アプリバンクの統合最適化メソッドは、人材育成、DX推進、収益改善を一体で見ます。サイバー被害にも同じ見方が使えます。
人材育成: 止まった日に、誰が何を決めるか
発生した日に慌てないために、決める人を先に決めます。社長、現場代理人、経理、情報担当の4役の連絡先と役割を、紙に1枚で書きます。年に1回、机上で訓練をします。
DX推進: 控えと停止手順
バックアップは、ネットにつながらない場所にも置きます。警察庁も、オフラインのバックアップとログの保存を、被害を抑える対策として挙げています。VPN機器は、更新を後回しにしません。
収益改善: 工期遅延の損失を先に見積もる
1日止まると、いくらの損が出るか。工事ごとに、遅延の違約金、職人の待機費用、資金繰りの影響を、先に見積もります。この見積りが、保険の補償額を決める土台になります。
警察庁は、感染した端末はネットワークから切り離し、慌てて電源を切るとログが消えて調査が難しくなるので注意、と書いています。
三つの軸は、つなげて初めて効きます。段取りを決める人がいて、控えと手順があり、損失の見積りがある。そうなって初めて、保険の補償額も決められます。
よくある質問
Q1. 建設業の中小企業でも、サイバー攻撃は来ますか。
来ます。警察庁によると、ランサムウェアの被害企業の約6割は中小企業で、建設業の被害報告も令和7年に18件ありました。ただし、報告された件数だけの数字です。
Q2. サイバー保険に入れば、身代金も出ますか。
出ません。損保協会は、ランサムウェアの身代金はサイバー保険の対象にならないと明記しています。
Q3. 被害額はいくらを見込めばよいですか。
一つの金額では言えません。IPAの調査では、被害に遭った中小企業の過去3期の被害総額は平均約73万円、最大1億円でした。ランサムウェアでは、復旧に1,000万円以上かかった組織が5割超です（警察庁）。自社では、工事が止まる日数ぶんの損失を先に見積もるのが現実的です。
Q4. まず何から手をつければよいですか。
止まった日の連絡先と手順を、紙1枚にまとめることです。お金がかからず、すぐできます。そのうえでVPN機器の更新とオフラインのバックアップを確認します。
Q5. 保険に入る前に決めることはありますか。
あります。止まった日数の損失の見積りと、どこまで保険に任せるかです。補償の範囲は保険会社とプランで違うため、保険会社や代理店に確認してください。
アプリバンクでは、工事が止まった日の損失の見積りと段取りの整理を、無料経営相談（60分）で一緒に行えます。
関連記事
出典一覧（取得日 2026-10-18）
- IPA「2024年度 中小企業等実態調査」: https://www.ipa.go.jp/security/reports/sme/nl10bi000000fbvc-att/sme-chousa-report2024r1.pdf
- 警察庁「令和7年におけるサイバー空間をめぐる脅威の情勢等について」（令和8年3月）: https://www.npa.go.jp/publications/statistics/cybersecurity/data/R7/R07_cyber_jousei.pdf
- 警察庁「令和8年上半期におけるサイバー空間をめぐる脅威の情勢等について」（令和8年9月）: https://www.npa.go.jp/publications/statistics/cybersecurity/data/R8kami/R08_kami_cyber_jousei.pdf
- 日本損害保険協会「サイバー保険」: https://www.sonpo.or.jp/sme_insurance/cyber-hoken/
- 日本損害保険協会「中小企業を取り巻くリスクに対する意識・対策実態調査 2025」: https://www.sonpo.or.jp/sme_insurance/assets/pdf/survey/sme_report2025.pdf
- Verizon「2025 Data Breach Investigations Report」（2025年4月23日発表）: https://www.verizon.com/about/news/2025-data-breach-investigations-report
- 東京商工リサーチ「上場企業の個人情報漏えい・紛失事故」（2026年1月30日）: https://www.tsr-net.co.jp/data/detail/1202348_1527.html
本記事は一般的な情報提供です。保険の補償内容や契約は、保険会社・代理店にご確認ください。
更新履歴: 2026-10-18 初版
監修
監修：佐藤 望（株式会社アプリバンク 代表取締役）。建設業界30年。大手ゼネコンで国内の大規模プロジェクトを担当し、海外では子会社の立ち上げと経営再建に従事。
保有資格は認定ファシリティマネジャー／日商簿記1級／建設業経理士1級／第一種衛生管理者。日本内部監査協会 会員、東京商工会議所 会員。
経済産業省「DX認定事業者」（DX-2026-06-0021-01）。建設業に特化し、人材育成・DX推進・収益改善を統合した支援（統合最適化）を提供。お問い合わせは無料経営相談または TEL 03-6826-0180 へ。
建設業を支援する経営コンサル、株式会社アプリバンクをもっと見る
購読すると最新の投稿がメールで送信されます。
