国内企業20事例を公式発表で比較
不正アクセス・ランサムウェア被害
企業は何日後に公表する？
「被害が出たのに、なぜすぐ発表しないの？」という疑問を、実際の企業の公表日から調べました。難しい言葉をできるだけ使わず、数字の意味と公表が遅くなる理由を解説します。
先に結論
今回調べた国内20事例では、企業が異常を把握してから最初に公表するまでの中央値は、ランサムウェアで1日、不正アクセスで17.5日でした。つまり、ランサムウェアは「当日〜3日ほど」、ひそかに侵入するタイプの不正アクセスは「1〜4週間ほど」が一つの目安です。
初報までの中央値 1日 10社すべて3日以内
検知から初報までの中央値 17.5日 8社が30日以内
検知から初報までの中央値 11日 約半数が1週間以内
「攻撃から何日後？」は、実は簡単に数えられない
サイバー攻撃では、攻撃者が最初に入ってきた日が、すぐには分からないことがあります。企業が気づいた時点で、すでに数週間や数か月たっている場合もあるからです。
会社が「いつもと違う動きがある」「システムが止まった」など、異常に気づいた日です。
攻撃者が最初にシステムへ入った日です。あとから調査して分かることが多く、公表されない場合もあります。
そのため、ここでいう日数は「攻撃者が侵入してからの全期間」と同じではありません。
調査結果：ランサムウェアは早く、不正アクセスは時間がかかる
ランサムウェアは6社が1日以内
調べた10事例のうち6事例が当日または翌日に初報を出し、10事例すべてが3日以内でした。
不正アクセスは8社が30日以内
10事例中8事例が30日以内でした。一方、過去には検知から公表まで206日かかった事例もあり、差が大きくなっています。
ランサムウェアなど、業務停止をともなう10事例
ランサムウェアは、データを暗号化して使えなくし、元に戻す条件として金銭などを求める攻撃です。システムが止まるため異常に気づきやすく、取引先や利用者への連絡も急ぐ必要があります。
| 企業・組織 | 把握・発生日 | 最初の公表日 | 日数 | 公式発表 |
|---|---|---|---|---|
| アサヒグループHD | 2025/9/29 | 2025/9/29 | 0日 | 初報を見る |
| ASKUL | 2025/10/19 | 2025/10/19 | 0日 | 案内を見る |
| カシオ計算機 | 2024/10/5 | 2024/10/8 | 3日 | 続報を見る |
| KADOKAWAグループ | 2024/6/8 | 2024/6/8 | 0日 | 経過を見る |
| エーザイ | 2023/6/3 | 2023/6/6 | 3日 | 発表を見る |
| エムケイシステム | 2023/6/5 | 2023/6/6 | 1日 | 最終報を見る |
| 名古屋港運協会 | 2023/7/4 | 2023/7/5 | 1日 | 国交省資料を見る |
| 小島プレス工業 | 2022/2/26 | 2022/3/1 | 3日 | 初報を見る |
| 富士フイルム | 2021/6/1 | 2021/6/2 | 1日 | 初報を見る |
| オリンパス | 2021/9/8 | 2021/9/11 | 3日 | 発表を見る |
ひそかに侵入する不正アクセス10事例
不正アクセスは、本来入る権限がない人が、会社のネットワークやサービスに入ることです。見つけたあとも「どこまで入られたか」「何の情報を見られたか」を調べる必要があり、公表まで長くなりやすい傾向があります。
| 企業・組織 | 検知・確認日 | 最初の公表日 | 日数 | 公式発表 |
|---|---|---|---|---|
| KDDI | 2026/6/17 | 2026/6/23 | 6日 | 発表を見る |
| ジモティー | 2025/11/26 | 2025/12/5 | 9日 | 発表を見る |
| TOKAIコミュニケーションズ | 2025/12/3 | 2025/12/19 | 16日 | 発表を見る |
| NTTコミュニケーションズ | 2025/2/5 | 2025/3/5 | 28日 | 初報を見る |
| LINEヤフー | 2023/10/17 | 2023/11/27 | 41日 | 発表を見る |
| カシオ計算機（ClassPad.net） | 2023/10/11 | 2023/10/18 | 7日 | 発表を見る |
| パナソニック | 2021/11/11 | 2021/11/26 | 15日 | 発表を見る |
| 富士通（ProjectWEB） | 2021/5/6 | 2021/5/25 | 19日 | 経過を見る |
| NTTコミュニケーションズ | 2020/5/7 | 2020/5/28 | 21日 | 発表を見る |
| 三菱電機 | 2019/6/28 | 2020/1/20 | 206日 | 発表を見る |
※日数は、翌日を1日としてカレンダー日で計算。発表資料の表現に合わせ、「検知」「確認」「認知」「発生」を基準日にしています。
なぜ公表までの日数に大きな差が出るのか
ランサムウェアは「すぐ気づく」ことが多い
パソコンやサーバーが使えない、注文を受けられない、工場が止まる。このような分かりやすい被害が出るため、会社は早い段階で異常に気づきます。また、利用者や取引先への影響が大きいので、被害の全体像が分かる前でも第一報を出す必要があります。
不正アクセスは「見えない調査」に時間がかかる
ひそかな侵入では、まず本当に攻撃なのかを確かめます。そのあと、入られた場所、見られた情報、外へ持ち出された可能性、今も危険が残っていないかを調べます。証拠となる記録を守りながら調査するため、数週間かかることもめずらしくありません。
- 異常を見つける通信記録やシステム停止から気づく
- 影響を調べる侵入経路、情報流出、被害範囲を確認
- 第一報を出す分かっている事実と今後の対応を説明
早く知らせることは大切ですが、間違った情報を出すと利用者を混乱させます。企業には「速さ」と「正確さ」の両方が求められます。
LINEヤフーの事例で見る「起点」の違い
LINEヤフーの公式発表では、攻撃者が最初に侵入したとされるのは2023年9月14日、異常を検知したのは10月17日、公表は11月27日でした。つまり、侵入開始からは74日、検知からは41日です。同じ事件でも、どの日をスタートにするかで数字は大きく変わります。
サイバー攻撃は「何日以内に公表」と法律で決まっている？
日本では、すべての企業に対して「サイバー攻撃を受けたら○日以内に一般公開する」と一律に決めたルールはありません。ただし、個人情報の流出や株価に大きく関わる場合には、別の報告・開示ルールがあります。
個人情報保護委員会への報告
報告が必要な情報漏えいでは、発覚後おおむね3〜5日以内に速報、30日以内に確報を出します。不正な目的による被害などは、確報が60日以内です。これは役所への報告期限であり、ニュースリリースの期限とは別です。
投資家への適時開示
会社の業績や判断に大きな影響がある情報は、速やかで適切な開示が求められます。ただし、サイバー攻撃について全国共通の「必ず○日以内」という日数があるわけではありません。
よくある質問
企業はサイバー攻撃から平均何日後に公表しますか？
攻撃の種類によって大きく違います。今回の20事例では、中央値はランサムウェアが1日、不正アクセスが17.5日でした。PwCが国内194事例を調べた調査では、検知から第一報までの中央値は11日です。
ランサムウェアの公表が早いのはなぜですか？
システム停止など目に見える被害が出やすく、利用者や取引先へ急いで知らせる必要があるためです。被害の全体像が分からなくても、まず第一報を出す企業が多くあります。
不正アクセスの公表に時間がかかるのはなぜですか？
侵入された場所や期間、見られた情報、外部へ持ち出された可能性などを調べる必要があるからです。調査の途中で発表すると、内容があとから変わる場合もあります。
被害企業は、すべての情報が分かるまで待つべきですか？
利用者や取引先への影響がある場合、完全に分かるまで待つのではなく、確認できた事実を第一報として知らせ、その後に続報を出す方法が現実的です。実際、多くの企業が段階的に情報を更新しています。
主な参考資料
- 全体の比較： PwC Japan「サイバー攻撃被害情報の調査・分析 2023」（国内194事例、検知から第一報までの中央値11日）
- 個人情報の報告： 個人情報保護委員会「漏えい等が発生した場合の対応」
- 上場企業の開示： 日本取引所グループ「適時開示ガイドブック」
- サイバー攻撃の情報共有・公表： 内閣サイバーセキュリティセンター「サイバー攻撃被害に係る情報の共有・公表ガイダンス」
まとめ：第一報は「ゴール」ではなく「途中経過」
- ランサムウェアは、異常を把握した当日から3日以内の公表が多い
- ひそかな不正アクセスは、検知から公表まで1〜4週間ほどかかりやすい
- 実際の侵入開始から数えると、数か月になる場合もある
- 公表を見るときは、発生日・検知日・公表日を分けて確認する
コメント