【情報提供】日本のランサムウェア被害が急増。NPOが今すぐ取り組みたいセキュリティ対策5選
2026年10月30日 15:49
最近、PHPの脆弱性問題だけではなく、大手企業へのサイバー攻撃や個人情報漏えいのニュースが相次いでいます。
NPO関係者の中にも、「利用していたサービスから個人情報漏えいのお知らせが届いた」という経験をされた方がいるかもしれません。
こうした中、日本ではランサムウェア被害が急増しています。
ランサムウェアとは、パソコンやサーバー内のデータを使えなくした上で、復旧のための身代金を要求するサイバー攻撃です。
「うちは小さな団体だから狙われない」と考えがちですが、近年は組織の規模に関係なく被害が発生しています。
今回は、日本のサイバーセキュリティの専門家であり、以前、デジタル基盤強化プログラムの助成選考委員も務めていただいた日本プルーフポイントの増田幸美さんによる記事をもとに、NPOが知っておきたいポイントをまとめました。
■日本のランサムウェア被害は急増している
プルーフポイント社が2026年に公表した調査によると、過去1年間にランサムウェア感染を経験した日本の組織の割合は、2023年の38％から2025年には73％へ増加しました。これは調査対象12か国の中でも最も大きな増加率だったと報告されています。
NPOでランサムウェア被害が発生した場合、次のような重要な情報が利用できなくなる可能性があります。
会員情報
寄付者情報
相談記録
会計データ
イベント申込情報
こうしたデータは団体運営の基盤であり、活動そのものが停止してしまう恐れがあります。
■身代金を支払っても解決するとは限らない
ランサムウェア被害を受けた組織の中には、攻撃者へ身代金を支払うケースもあります。
しかし、高い身代金支払ったからといって必ずデータが復旧するわけではありません。
記事によると、日本では身代金を支払った組織の約4割が追加の支払いを求められたり、十分な復旧ができなかったりしたとされています。
NPOへのポイント
「お金を払えば元に戻る」とは限らない
小規模団体ほど被害が組織存続に直結する
事前にバックアップから復旧できる体制を整えておくことが重要
■サイバー保険だけでは十分とはいえない
サイバー保険とは、情報漏えいやサイバー攻撃によって発生した費用の一部を補償する保険です。自動車保険のIT版保険のようなイメージです。
しかし、調査では被害額が全額補償されたケースは36％にとどまっています。
つまり、
サイバー保険への加入
だけでなく、
被害を受けにくくする予防策
を組み合わせることが重要です。
■攻撃の入口は「メール」であることが多い
ランサムウェア被害は、フィッシングメール（実在する企業やサービスを装った偽メール）から始まることが少なくありません。
例えば、
宅配便の不在通知
Microsoft 365のパスワード期限通知
助成金申請の案内
イベント申込通知
高額寄付の申し出
などを装ったメールが使われます。
職員やボランティアがメール内のリンクを開いたり、偽サイトでIDやパスワードを入力したりすることで被害につながることがあります。
◆NPOがまず取り組みたいセキュリティ 5つの対策◆
予算や人手が限られるNPOでは、高額なセキュリティ製品を導入する前に、まず次の5つを徹底することが重要です。
1. 不要なアカウントを削除する
退職者や活動終了したボランティアのアカウントが残っていると、不正利用のリスクがあります。
年1回は、
メールアカウント
Microsoft 365アカウント（Teams、OneDriveを含む）
Google Workspaceアカウント
などの利用者情報を確認し、不要なアカウントを削除しましょう。
2. 月1回以上データバックアップ状況を確認する
データバックアップは取得しているつもりでも、設定ミスや保存先の問題により、実際には復元できない場合があります。
月に1回程度は、
バックアップが正常に実施されているか
保存先にアクセスできるか
必要なファイルが含まれているか
を確認しましょう。
また、重要なデータについては、実際に復元できるかを定期的に試しておくことも有効です。
「バックアップを取ること」だけでなく、「必要なときに復元できること」が重要です。
3.パスワードを16文字以上にし、使い回しをしない
近年は、日本や米国のサイバーセキュリティ機関でも、複雑な短いパスワードよりも「16文字以上の長くて使い回さないパスワード」が推奨されています。
そのため、パスワードだけで運用しているサービスについては、
16文字以上を目安にする
他のサービスと使い回しをしない
ことが重要です。
例えば、「JNPOC2026!」のような短いパスワードではなく、「JNPOCha2026ni30nen!」のように、複数の単語や文章を組み合わせた長いパスワードの方が安全性が高く、覚えやすいと言われています。
また、同じパスワードを使い回していると、1つのサービスから情報が漏えいした際に、メールやクラウドストレージなど他のサービスまで不正ログインされる可能性がありますのでご注意ください。
4. 多要素認証（MFA・二段階認証）を全員が利用する
NPO向けに提供されているMicrosoft 365 Business Basic／Business Standard（非営利版）やGoogle Workspace for Nonprofitsを利用されている団体も多いかと思います。そして、Microsoft 365やGoogle Workspaceをはじめとする多くのサブスクリプション製品では多要素認証（MFA・二段階認証）の利用を必須や推奨にしています。
出来る限り
スマートフォン認証
多要素認証アプリ（Microsoft Authenticatorなど）
を利用するようにしましょう。
多要素認証は、アカウント乗っ取り対策として非常に効果的です。
５.クラウドストレージを活用する
重要なデータを、
個人のパソコンだけ
USBメモリ／SDカードだけ
に保存することは避けましょう。
OneDrive、SharePoint、Google Drive、box、Dropboxなどのクラウドサービスでは、ファイル履歴や復元機能が利用できる場合があり、被害発生時の復旧に役立つことがあります。
もし、ハードディスクやNASなどでデータ保存をしている場合は、必ずバックアップを取るようにしましょう。
これらの対策は比較的少ない負担で実施でき、高いセキュリティ効果が期待できます。
Microsoft 365 Business Basic／Business StandardやGoogle Workspace for Nonprofitsを利用している団体であれば、追加費用をあまりかけずに始められるものも少なくありません。
ただし、最も重要なのは、職員やボランティア一人ひとりが日頃からセキュリティを意識することです。
そのため、年に1回でも構いませんので、
知らない送信者のメールは慎重に確認する
メールのリンクをすぐに開かない
不審な添付ファイルを開かない
パスワード入力画面が正しいサイトか確認する
といった基本的なルールを、職員やボランティアなど関係者と共有しましょう。
どれだけシステムやサービスを導入しても、最後は利用者一人ひとりの意識と行動が組織全体のセキュリティを支えます。
まとめ
この記事からNPOが学ぶべき最大のポイントは、
「うちは小さな団体だから狙われない」と考えないこと。
サイバー攻撃は、組織の規模に関係なく発生しています。
特別なIT知識がなくても被害に遭う可能性があるからこそ、
◎ 定期的なデータバックアップ確認
◎ 多要素認証（MFA／二段階認証）の利用
◎ クラウドストレージの活用
の3つから見直してみてはいかがでしょうか。
小さな対策の積み重ねが、利用者や寄付者の大切な情報を守ることにつながります。
【出典記事】日本のランサムウェア感染率が2年で約2倍に急増 ー ランサムウェア感染率/身代金支払率12か国調査 2026
（執筆：日本プルーフポイント 増田幸美さん）
https://www.proofpoint.com/jp/blog/threat-protection/japan-ransomware-infection-rate-doubles
【関連記事】
【情報提供】PHP問題に対し、NPOのホームページ運営者が今確認したいこと
◆デジタルチャネル for Nonprofitsからのご案内◆
デジタルチャネル for Nonprofitsでは、「デジタル人材伴走支援」を行っています。
IT専門家が約6か月間伴走し、団体に合った業務改善を支援します。
ITが苦手でも安心して取り組めるプログラムです。
プログラムの特徴として、デジタル人材によるデジタル基盤の診断を行った上となりますが、
今使っているツールを整理して、統合できるものは統合したい
事務所のITインフラを見直したい
セキュリティ対策ガイドラインを策定したい
といった伴走支援は支援対象となります。
2027年2月開始枠 追加募集
応募締切：2026年12月6日（日）
説明会
開催日：2026年11月5日（木）13:30～14:30＠Zoom