不正アクセスの報道が続き、「うちも何か手を打つべきか」と考え始めた方は多いと思います。判断材料になるのが、実際に被害を受けたら何にいくらかかるのかです。
結論から言うと、軽い事案なら数十万円程度で終わることもあります。しかし社内のPCやサーバーに広がると、費用の桁が変わります。費用を「調査」「復旧」「賠償」「報告・公表」に分け、公的な調査と判例の数字で整理します。
不正アクセスで発生する費用の全体像
まず、どんな費用が出るかを4つに分けて見ます。目安は日本ネットワークセキュリティ協会（JNSA）の「インシデント損害額調査レポート 第2版」（2024年）によります。
| 費用 | 中身 |
|---|---|
| 調査 | 何が起き、どこまで被害が及んだかを突き止める |
| 復旧 | システムを戻し、再発への手当てをする。止まっていた間の損失も |
| 賠償・お詫び | 本人や取引先への賠償、見舞金、問い合わせ窓口 |
| 報告・公表 | 個人情報保護委員会への報告、本人への通知、公表 |
JNSAは合計が、中小企業でも「数千万円単位」、場合によっては「数億円単位」になりうるとしています。
PC版 月1,800円／台（初期費用0円）・サーバー版 月20,000円／台。初月無料ではじめられます（税別・目安）
①調査費用：原因を突き止めるだけで300〜400万円
最初に必要なのが、どこから入られ、何を持ち出されたかを調べるフォレンジック調査です。これがないと、報告書も本人への説明も書けません。
| 調査の中身 | 目安 |
|---|---|
| 事故原因・被害範囲の調査 | 300〜400万円（標準的な価格） |
| 高額な事例の調査 | 数千万〜億単位 |
| ダークウェブへの流出調査 | 数百万円以上のケースも |
| 法律相談／コンサルティング | 30〜100万円／10〜100万円 |
調査費用は「台数と範囲」で増える
②復旧費用：1,000万円以上かかった組織が約6割
警察庁によると、ランサムウェア被害で調査・復旧に1,000万円以上かかった組織は、2024年の50%から2025年上半期には59%に増えています。
- システム復旧：数百〜数千万円のケースも（JNSA）
- 再発への手当て：数百〜数千万円のケースも（JNSA）
- 社員が通常業務を止めて対応する超過人件費
- システムが止まっている間の売上・受注の損失
最後の2つは金額に出にくいものの、中小企業には最も重い負担になりがちです。受発注や請求が止まれば、その間の取引も止まります。
③賠償・お詫び：1人あたりは小さくても人数で膨らむ
慰謝料の額は、漏れた情報の種類と二次被害の有無で大きく変わります。
- 連絡先情報の漏えい：1人あたり3,000〜5,000円程度が目安（大手通信教育会社の事件の東京地裁判決で1人3,300円、大手通信事業者の顧客情報流出事件で1人6,000円）
- センシティブな情報で二次被害も出た事案：1人あたり35,000円を認めた判例も
顧客名簿が1万人分なら、3,000円でも3,000万円です。裁判にならなくても、次の費用が出ます（JNSAの目安）。
- 見舞金・お詫びの品：1万人にプリペイドカードを送って約650万円
- 問い合わせ窓口：3か月で700〜1,000万円
- クレジットカード情報の不正利用監視：1か月100〜500万円
取引先への賠償と、取引そのものを失うリスク
④報告・公表：2022年から法律上の義務に
2022年4月の個人情報保護法の改正で、個人情報保護委員会への報告と本人への通知は法律上の義務になりました。不正アクセスによる漏えいは、1件でも報告の対象になりえます。
漏えいが分かってからの報告の流れ
- 1
速報
事態を知ってから概ね3〜5日以内
- 2
確報
原則30日以内（不正の目的のおそれがあれば60日以内）
- 3
本人への通知
漏えいした本人に知らせる
確報には原因と再発への対策を書くため、①の調査なしには書き上げられません。公表の費用は、1万人へのDMで約130万円、地方紙の広告で約50万円です（JNSA）。命令に違反した場合、法人には最大1億円の罰金があります。詳しくは個人情報漏えいの報告義務と期限へ。
不正アクセス・情報漏洩の被害額は合計するといくらになるのか
社員30人の会社で、顧客1万人分の連絡先が漏れたと仮定して積み上げます。
| 項目 | 目安 |
|---|---|
| 調査 | 約300〜400万円 |
| 見舞金 | 約650万円 |
| 問い合わせ窓口（3か月） | 約700〜1,000万円 |
| DM送付・法律相談 | 約160〜230万円 |
| システム復旧・再発への手当て | 数百万円〜 |
これだけで2,000万円前後です。損害賠償、止まっていた間の売上、取引先の離反は含まれていません。
一方、IPAの「2024年度 中小企業における情報セキュリティ対策に関する実態調査」では、中小企業の被害額は平均73万円でした（100万円以上は9.4%、最大1億円）。多くは軽く済むが、社内に広がると桁が変わる、というのが実態に近い見方です。
入られた範囲で、費用の桁が変わる
入られたのが1台で止まった
- 調査は1台分で済む
- 漏れる情報も止まる業務も小さい
- 平均73万円（IPA調査）に近い規模
社内のPC・サーバーに広がった
- 広がった端末すべてが調査対象
- 名簿や取引データまで持ち出される
- 合計2,000万円前後〜になりうる
費用対効果ではなく「事業を続けられるか」の問題
対策の検討では「対策費用と、確率×被害額を比べる」考え方がよく使われます。ですが中小企業では、この計算がほとんど成り立ちません。
確率は誰も正確に見積もれず、被害額が手元資金を超えると「割に合うか」より「事業を続けられるか」の話になるからです。そこで、起きる確率より「起きたときにどれだけ早く確かめられるか」で考えるほうが、判断しやすくなります。
考えるべきは「広げない」こと
被害が広がる入口になりやすいのは「PCのログイン」
費用を大きくするのは、攻撃者が社内のPCやサーバーに次々とログインして広がった場合です。メールやクラウドに多要素認証があっても、WindowsのPCログインはパスワードだけという会社は少なくありません。
誰が、いつ、どのPCにログインしたかの記録が全PC・サーバー分1か所にあれば、①の調査で範囲をすぐ絞れ、調べる手間も費用も小さく済みます（アプリップリキーでは、ログイン記録を1画面で検索しCSVで出せます）。さらに、PCやサーバーのログインに2つ目の要素を加えれば、パスワードが盗まれても、それだけでは次のPCへ入れません。方式はWindows OSログインの2要素認証、いま入られていないかは不正アクセスされたか調べる方法で解説しています。
対策をどこから進めるかは不正アクセスの対処法・対策、実例と統計は不正アクセス・ランサムウェア被害の統計と実例にまとめています。
普段の管理が楽になると何が変わるか
費用の大きな部分は「何が起きたかを調べ、説明する」ための時間です。全PC・サーバーの状態とログイン記録を普段から1か所で見られるようにしておくと、この時間が短くなります。
- 調べる範囲がすぐ分かる：誰がいつどのPCに入ったかを画面で絞り込めるので、1台ずつ記録を集めて回らずに済みます。
- 説明がその日にできる：取引先や保険会社、経営層に聞かれたら、ログイン記録をCSVでそのまま見せられます。
- 夜間・休日は見に行かなくてよい：ランサムウェアの前兆やログインの連続失敗があるときだけ担当者のLINEに届き、何もない日は安心して休めます。
出典
- 日本ネットワークセキュリティ協会（JNSA）「インシデント損害額調査レポート 第2版」（2024年2月）
- 警察庁「令和7年上半期におけるサイバー空間をめぐる脅威の情勢等について」（2025年9月）
- 独立行政法人情報処理推進機構（IPA）「2024年度 中小企業における情報セキュリティ対策に関する実態調査」（2025年5月）
- 個人情報の保護に関する法律、個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」
記事中の金額は、いずれも公表された目安や判例の例です。実際の費用は、事案の規模や対応の内容によって大きく変わります。
いまの運用を棚卸ししてみる
被害の広がりを左右するのは、PCやサーバーのログインがどう守られているかです。applippliの無料棚卸しでは、10問・約3分で、PCログインまわりで何が手当て済みで、何がパスワードだけのまま残っているかを一覧にできます。