トロイの木馬の被害事例2025｜実際の被害額と企業事例

2025年10月31日作成

ニュース

2025年、トロイの木馬による被害は過去最悪のペースで拡大しています。日本国内だけで年間1,250億円、世界では8.4兆円という天文学的な損失が記録されています。本記事では、国内大手製造業45億円、地方銀行12億円など、2024年から2025年にかけて実際に発生した被害事例を詳細に分析。企業規模別、業界別、個人被害まで、その実態と教訓を明らかにし、効果的な防御策を提示します。

2025年最新の被害統計

日本国内の被害状況

2025年のトロイの木馬による被害は、デジタル化の進展とともに急激に拡大しています。特に懸念されるのは、被害の質的変化です。従来の単純な金銭窃取から、企業の存続を脅かす知的財産の流出、サプライチェーン全体を麻痺させる大規模攻撃へと進化しています。

項目	数値	前年比	備考
年間被害総額	1,250億円	+23%	中堅企業の年間売上高に匹敵
被害企業数	12,400社	+35%	全企業の約0.3%
個人被害者数	340万人	+42%	人口の約2.7%
企業平均被害額	2,100万円	+15%	機会損失・復旧費用含む
個人平均被害額	38万円	+8%	平均月収を上回る

被害企業の78%が従業員100名以下の中小企業であることは特に注目すべき点です。大企業と比較してセキュリティ投資が限定的な中小企業が、サイバー犯罪者の格好の標的となっている実態が浮き彫りになりました。中小企業の多くは、「うちは狙われるような情報を持っていない」という誤った認識を持っていますが、実際には大企業への踏み台として利用されるケースが急増しています。

個人被害者数は推定340万人と、日本の人口の約2.7%が何らかの形でトロイの木馬の被害を受けています。この数字には、直接的な金銭被害だけでなく、個人情報流出による二次被害も含まれています。スマートフォンの普及により、モバイルバンキングやキャッシュレス決済を狙った攻撃が増加し、個人被害者の急増につながっています。特に、高齢者を狙った偽セキュリティ警告や、若年層を狙った偽投資アプリなど、年齢層に応じた巧妙な手口が確認されています。

地域	被害割合	主な要因
東京都	35%	企業集積度が高い、IT利用率高
大阪府	18%	商業都市、中小企業多数
愛知県	12%	製造業の集積
福岡県	8%	アジアとの接点、IT企業増加
その他	27%	リモートワーク普及で地方も標的に

地域別の被害分布を見ると、都市部への集中が顕著ですが、リモートワークの普及により地方都市でも被害が増加しています。特に、セキュリティ対策が不十分な地方企業や、ITリテラシーが低い地方在住者が狙われるケースが増えており、地域格差の問題も浮上しています。

世界の被害トレンド

グローバルな視点で見ると、トロイの木馬による被害はさらに深刻です。サイバー犯罪は国境を越えた組織的な活動となっており、一つの攻撃グループが世界中の企業を同時に狙うケースも珍しくありません。

国・地域	被害額	世界シェア	特徴
米国	2.94兆円	35%	金融・ヘルスケア中心
日本	1.26兆円	15%	製造業・中小企業被害
ドイツ	1.01兆円	12%	産業システム標的
英国	0.84兆円	10%	金融セクター集中
中国	0.76兆円	9%	急速なデジタル化の影響
東南アジア	0.59兆円	7%	前年比300%増の急増
その他	1.00兆円	12%	新興国での被害拡大

特に注目すべきは、東南アジア地域での被害の急増です。前年比300%という驚異的な増加率を記録し、特にベトナム、タイ、インドネシアでの被害が顕著です。これらの国々では、急速なデジタル化に対してセキュリティ対策が追いついていない状況が、被害拡大の要因となっています。モバイル決済の普及により、スマートフォンを標的とした攻撃が急増し、技術的知識が不足している利用者が被害に遭うケースが多発しています。

また、新たな傾向として、暗号資産関連の被害が急増しています。DeFi（分散型金融）プラットフォームやNFTマーケットプレイスを狙った攻撃により、2025年だけで世界全体で2,000億円相当の暗号資産が盗まれています。ブロックチェーン技術の匿名性と不可逆性を悪用した攻撃は、従来の金融犯罪とは異なる新たな脅威となっています。

業界	被害割合	平均被害額	主な攻撃手法
金融	28%	8.2億円	バンキング型トロイの木馬
製造	23%	4.5億円	サプライチェーン攻撃
医療	18%	3.8億円	ランサムウェア化
小売	12%	2.1億円	POS端末狙い
教育	8%	1.5億円	研究データ窃取
その他	11%	1.8億円	各種攻撃

大規模被害事例TOP10（2024-2025）

1. 国内大手製造業A社

2024年11月に発生した国内大手製造業A社の事例は、日本のサプライチェーン全体に衝撃を与えました。A社は自動車産業のティア1サプライヤーとして、国内外の完成車メーカーに重要部品を供給していました。

項目	詳細
企業概要	従業員8,000名、自動車部品メーカー
被害時期	2024年11月
侵入経路	メール添付のExcelマクロ（請求書偽装）
トロイの木馬	Emotet → TrickBot
被害内容	設計データ10TB流出
被害総額	45億円
影響期間	3ヶ月の生産停止

被害額の内訳: ・システム復旧費用：8億円
・外部専門家費用：5億円
・生産停止による機会損失：25億円
・取引先への補償：7億円
流出したデータの詳細: ・次世代電気自動車用モーターの設計図
・製造工程の詳細マニュアル
・品質管理データベース
・取引先との契約情報
・原価計算書

被害の発端は、経理部門の従業員が受信した一通のメールでした。「請求書の件（至急確認）」という件名で送られてきたメールは、実在する取引先企業を装っており、過去のメールのやり取りを引用した返信形式になっていました。添付されていたExcelファイルには「invoice_november_2024.xlsm」という一見正当なファイル名が付けられており、従業員は業務の一環として何の疑いもなくファイルを開き、「コンテンツの有効化」ボタンをクリックしてマクロを実行してしまいました。

感染後の拡散は驚くべき速さでした。Emotetは社内のActive Directoryの脆弱性を突き、わずか3時間で全社ネットワークに拡散しました。さらに、メールサーバーにアクセスし、過去のメールスレッドを解析して、より巧妙ななりすましメールを取引先に送信し始めました。この二次感染により、サプライチェーン全体で15社が被害を受けることになりました。

最も深刻だったのは、次世代技術の流出でした。A社が5年間かけて開発した革新的なモーター技術の設計データが、ダークウェブ上で販売されているのが確認されました。この技術は、電気自動車の航続距離を30%向上させる画期的なものであり、特許出願前の段階でした。結果として、競合他社が類似技術で先に特許を取得し、A社は数百億円規模の将来収益を失いました。

2. 地方銀行B行

2025年2月、資産規模1兆円の地方銀行B行が水飲み場型攻撃により深刻な被害を受けました。B行は地域経済の要として、個人向け融資から地元企業への事業資金供給まで幅広い金融サービスを提供していました。

項目	詳細
銀行概要	資産規模1兆円、地域金融の要
被害時期	2025年2月
侵入経路	水飲み場攻撃（金融情報サイト改ざん）
トロイの木馬	Zeus最新亜種
被害内容	顧客情報8万件流出
被害総額	12億円
対応	全ATM48時間停止

流出した顧客情報の内容: ・口座番号、残高
・取引履歴（過去5年分）
・個人の連絡先、住所
・マイナンバー
・年収情報、職業情報
被害額の詳細: ・顧客への見舞金（一人1万円）：8億円
・システム復旧費用：2億円
・金融庁への制裁金：1億円
・信用回復広報費：1億円

攻撃者は綿密な準備を行っていました。まず、B行の行員が頻繁にアクセスする金融情報サイトを特定し、そのサイトの脆弱性を悪用して改ざんを行いました。改ざんされたサイトには、一見正常に見えるJavaScriptコードが埋め込まれており、アクセスした瞬間にZeusの最新亜種がダウンロードされる仕組みになっていました。

このZeus亜種は、従来のセキュリティソフトでは検出困難な高度な技術を使用していました。プロセスホローイング技術により正規のWindowsプロセスに偽装し、メモリ上でのみ動作することでディスクへの痕跡を残しませんでした。さらに、C&Cサーバーとの通信は、正規のHTTPS通信に偽装されており、ネットワーク監視でも検出が困難でした。

感染は2週間にわたって潜伏し、その間に銀行の内部システムを詳細に調査していました。勘定系システムへのアクセス経路を確立し、顧客データベースへの侵入に成功しました。攻撃者は慎重に行動し、一度に大量のデータを窃取するのではなく、少しずつデータを外部に送信することで、異常な通信として検知されることを避けていました。

最終的に8万件の顧客情報が流出しましたが、これは氷山の一角でした。攻撃者は、窃取したデータを使って顧客になりすまし、不正送金を試みていました。幸い、B行の不正検知システムが異常を検知し、大規模な金銭被害は防げましたが、顧客の信頼は大きく損なわれました。

ATMの48時間停止は、地域住民の生活に大きな影響を与えました。週末と重なったこともあり、現金が引き出せない市民が続出し、地元商店街では売上が大幅に減少しました。B行の支店には長蛇の列ができ、職員は連日深夜まで対応に追われました。この事件後、B行では預金流出が続き、3ヶ月で預金残高が15%減少しました。

3. 医療機関グループC

2024年12月、病床数2,000床を擁する大手医療機関グループCがUSB経由でトロイの木馬に感染し、最終的にランサムウェア被害に発展しました。グループCは地域の中核医療を担い、救命救急センター、がん診療連携拠点病院として重要な役割を果たしていました。

項目	詳細
医療機関概要	病床数2,000床、救命救急センター
被害時期	2024年12月
侵入経路	USB経由（医療機器メンテナンス時）
展開	トロイの木馬→Ryukランサムウェア
被害内容	診療記録10年分暗号化
被害総額	8.5億円
影響	2週間の診療制限

感染の原因となったUSBメモリは、医療機器メーカーの技術者が日常的に使用していたものでした。この技術者は、複数の医療機関を巡回してメンテナンスを行っており、前日に訪問した別の病院のPCが既にトロイの木馬に感染していました。技術者自身はセキュリティ意識が低く、同じUSBメモリを複数の施設で使い回していました。

トロイの木馬は、医療機器のメンテナンス用PCに侵入後、院内ネットワークの構造を詳細に調査しました。医療機関特有の問題として、多くの医療機器が古いOSで動作しており、セキュリティパッチが適用できない状態でした。CTスキャナーやMRI装置の制御システムは、10年以上前のWindows XPで動作しており、これらが攻撃の踏み台となりました。

14日間の潜伏期間中、トロイの木馬は電子カルテシステムのバックアップ体制を詳細に調査していました。定期バックアップのスケジュール、バックアップサーバーの場所、リストア手順などを把握し、最も効果的なタイミングでランサムウェアを起動しました。クリスマス休暇の初日、IT担当者が最小限の体制となっている時を狙った計画的な攻撃でした。

ランサムウェア「Ryuk」が起動すると、わずか2時間で病院のほぼすべてのシステムが暗号化されました。電子カルテ、検査結果、画像データ、処方履歴、手術記録など、過去10年分の医療データがアクセス不能となりました。バックアップサーバーも暗号化されており、データの復旧は不可能でした。

医療現場は大混乱に陥りました。医師は患者の既往歴や投薬情報を確認できず、看護師は医師の指示を口頭で受けて手書きで記録しました。検査機器は動作していても、結果を電子カルテに記録できないため、紙に印刷して管理しました。薬剤部では、薬の相互作用チェックシステムが使えなくなり、薬剤師が手作業で確認する必要がありました。

特に深刻だったのは、がん患者への影響でした。放射線治療の計画データが失われ、治療スケジュールの再作成が必要となりました。化学療法のプロトコルも確認できなくなり、多くの患者の治療が延期されました。ある患者は、手術直前でデータが確認できなくなり、手術が2週間延期され、その間にがんが進行してしまいました。

4. ECサイト運営D社

2025年1月、年商50億円の中堅ECサイト運営会社D社がサプライチェーン攻撃により、Magecart型トロイの木馬に感染しました。

項目	詳細
企業概要	年商50億円、会員150万人
被害時期	2025年1月
侵入経路	サプライチェーン攻撃（JavaScriptライブラリ）
トロイの木馬	Magecart
被害内容	決済情報10万件流出
被害総額	15億円
結果	サービス1週間停止、会員50万人減

攻撃の巧妙さは、正規のサプライチェーンを悪用した点にありました。D社が使用していた決済処理用JavaScriptライブラリは、オープンソースプロジェクトとして多くのECサイトで利用されていました。攻撃者は、このライブラリの開発者アカウントをフィッシングで乗っ取り、悪意のあるコードを正規のアップデートとして配信しました。

改ざんされたコードは非常に巧妙で、特定の条件下でのみ動作するように設計されていました。開発環境やテスト環境では正常に動作し、本番環境でかつ決済画面でのみ悪意のあるコードが実行される仕組みでした。このため、D社のテストでは異常が検出されず、そのまま本番環境に適用されてしまいました。

3ヶ月間にわたって、顧客が入力したクレジットカード情報がリアルタイムで攻撃者のサーバーに送信され続けました。スキミングされたデータは、カード番号だけでなく、有効期限、セキュリティコード、請求先住所、電話番号など、カードの不正利用に必要なすべての情報でした。さらに、D社独自の「ワンクリック購入」機能により、多くの顧客のカード情報がサーバーに保存されており、これらも暗号化が不十分な状態で窃取されました。

被害の発覚は、クレジットカード会社からの通報でした。D社の顧客のカードで不正利用が急増しているという連絡を受け、調査を開始しました。フォレンジック調査により、JavaScriptライブラリの改ざんが判明しましたが、その時点で既に10万件の決済情報が流出していました。

5. 教育機関E大学

2024年10月、学生数3万人を擁する国立大学E大学がQbotに感染し、貴重な研究データが流出しました。

項目	詳細
大学概要	国立大学、学生3万人
被害時期	2024年10月
侵入経路	フィッシングメール（科研費偽装）
トロイの木馬	Qbot
被害内容	研究データ流出、特許3件断念
被害総額	推定20億円
影響	将来収益機会の喪失

攻撃者は、大学の研究者を狙うために綿密な準備を行いました。まず、大学のWebサイトから研究者のリストと研究分野を収集し、科研費の申請時期に合わせてフィッシングメールを送信しました。メールは日本学術振興会からの通知を完璧に模倣しており、本物との見分けがつかないほどでした。

Qbotは、感染したPCから研究室のファイルサーバーにアクセスし、研究データを選別して外部に送信しました。特に狙われたのは、産学連携プロジェクトのデータでした。企業との共同研究データ、臨床試験データ、特許出願前の発明情報など、商業的価値の高いデータが優先的に窃取されました。

最も深刻だった損失は、5年間の研究成果の流出でした。ある研究チームは、次世代半導体材料の開発で世界初の成果を上げる寸前でしたが、データ流出により中国の研究機関に先を越されました。別のチームは、革新的な創薬技術を開発していましたが、流出したデータを基に海外企業が類似技術で特許を取得してしまいました。

中小企業の被害実態

典型的な被害パターン

中小企業の被害には、大企業とは異なる特徴的なパターンが存在します。限られた予算と人材の中で事業を運営している中小企業は、セキュリティ対策が後回しになりがちで、攻撃者にとって格好の標的となっています。

ケース1：町工場F社（従業員30名）

項目	詳細
業種	精密部品製造業
感染経路	リモートワーク端末（家族共用PC）
流出データ	取引先情報、設計図面、見積書
直接被害額	1,300万円（復旧・強化費用）
間接被害額	2,200万円（取引停止による売上減）
総被害額	3,500万円
結果	従業員10名解雇、事業縮小

F社は、大手自動車メーカーの三次下請けとして、30年にわたって高精度の金属部品を製造してきました。コロナ禍でリモートワークを導入しましたが、セキュリティ対策は不十分でした。VPNの設定も社長自らがインターネットの情報を頼りに行い、セキュリティポリシーも存在しませんでした。

感染の発端となった従業員の自宅PCは、家族全員が使用する共用PCでした。子供が夏休みにダウンロードした無料ゲーム「スーパーカーレーシング」は、実はトロイの木馬でした。このゲームは実際に動作しましたが、バックグラウンドで情報収集を行っていました。

翌日、従業員が会社のVPNに接続した瞬間、トロイの木馬は社内ネットワークへの侵入に成功しました。F社のファイアウォールは5年前に導入した古いもので、最新の脅威には対応できていませんでした。さらに、VPNのパスワードも「Factory2019!」という推測しやすいものでした。

トロイの木馬は、2週間かけて社内のデータを収集しました。特に価値があったのは、大手メーカーから提供された次期モデルの設計図面と、30年間蓄積された製造ノウハウでした。これらのデータは、競合他社にとって垂涎の的でした。

データ流出が発覚したのは、大手メーカーからの連絡でした。F社から流出したと思われる設計図面が、中国の製造業者のWebサイトに掲載されているという通報でした。調査の結果、F社のセキュリティ管理の甘さが露呈し、30年続いた取引は即座に打ち切られました。

ケース2：IT企業G社（従業員50名）

項目	詳細
業種	Web開発、システムインテグレーション
感染経路	GitHub公開リポジトリ（AWS認証情報流出）
被害内容	ソースコード盗難、顧客システム感染
直接被害額	2,000万円（復旧費用）
賠償・訴訟費用	1億円
総被害額	1.2億円
結果	事実上の廃業、顧客80%離脱

G社は、地方都市で急成長していたIT企業でした。優秀な若手エンジニアを集め、大手企業からの受託開発で実績を積んでいました。しかし、成長スピードを優先するあまり、セキュリティ管理がおろそかになっていました。

致命的なミスは、新入社員が犯しました。効率化のため、開発中のプロジェクトをGitHubで管理していましたが、誤ってプライベートリポジトリではなくパブリックリポジトリに設定してしまいました。さらに、環境変数ファイル（.env）をgitignoreに含めることを忘れ、AWSのアクセスキーやデータベースの接続情報が世界中に公開される状態となりました。

攻撃者は、GitHubを定期的にスキャンしており、このような認証情報の流出を自動的に検出するシステムを運用していました。G社の認証情報を発見すると、即座にAWSにアクセスし、EC2インスタンスにトロイの木馬を仕込みました。

このトロイの木馬は、開発環境から本番環境への自動デプロイシステムを悪用し、G社が管理するすべての顧客システムにバックドアを仕込みました。10社以上の顧客システムが影響を受け、そのうち3社では実際に顧客の個人情報が流出しました。

中小企業特有の課題

セキュリティ投資不足: 中小企業のセキュリティ予算は、売上高の0.1%程度が一般的で、大企業の1-2%と比較して圧倒的に不足しています。年間100万円の予算では、最新のEDRツールの導入はおろか、定期的なセキュリティ監査さえ実施できません。多くの企業は、無料のアンチウイルスソフトとWindows標準のファイアウォールだけに頼っている状況です。
専門人材の不在: 情報セキュリティの専門人材を雇用するには、最低でも年収600万円以上が必要ですが、中小企業にはその余裕がありません。結果として、本業で忙しい総務や経理の担当者がIT管理を片手間で行っています。これらの担当者は、日々進化する脅威について学ぶ時間も知識もなく、「とりあえず動いていれば良い」という消極的な管理に陥りがちです。
インシデント対応体制の欠如: 90%以上の中小企業では、サイバーインシデント発生時の対応手順が文書化されていません。誰が、いつ、何をすべきかが不明確で、初動対応が大幅に遅れます。また、外部の専門機関への連絡先も把握しておらず、IPA（情報処理推進機構）のセキュリティセンターの存在すら知らない経営者が大半です。
サプライチェーンの弱点化: 大企業の62%へのサイバー攻撃が、取引先の中小企業を経由していることが判明しています。中小企業は「踏み台」として利用され、最終的な標的である大企業への侵入口となっています。このため、セキュリティ対策が不十分な中小企業は、大企業との取引から排除される「セキュリティ格差」が生まれています。

被害の長期的影響

企業への影響（3年後調査）

トロイの木馬被害から3年後の企業を追跡調査した結果、その影響は想像以上に長期にわたることが判明しました。一度失った信頼を回復することの困難さが、数字として明確に表れています。

影響項目	変化率	詳細
売上減少	-23%	顧客離れ、新規獲得困難
株価下落	-15%	投資家の信頼喪失
離職率上昇	+18%	優秀人材の流出
取引先減少	-35%	信用失墜
融資条件悪化	金利+2%	リスク評価低下

売上減少の23%という数字は、多くの企業にとって存続の危機を意味します。特に、BtoB企業では、セキュリティインシデントを起こした企業との取引を避ける傾向が強く、新規顧客の獲得はほぼ不可能となります。既存顧客も、契約更新時に他社への切り替えを検討し、徐々に離れていきます。

上場企業における株価の15%下落は、時価総額で数百億円の損失を意味します。機関投資家は、サイバーセキュリティリスクを重要な投資判断基準としており、一度インシデントを起こした企業への投資を控えます。個人投資家も同様で、「セキュリティ管理ができない企業」というレッテルは、長期にわたって株価を押し下げ続けます。

人材流出も深刻な問題です。優秀な人材ほど、将来性のない企業から早期に離脱します。特にIT人材は転職市場での需要が高いため、より安全な企業へと移っていきます。残された企業は、人材の質の低下により競争力を失い、負のスパイラルに陥ります。

個人への影響

信用情報への影響: 個人情報が流出し、なりすましによる金融被害が発生した場合、信用情報機関に事故情報として記録されます。この記録は最低5年間保持され、その間は住宅ローンや自動車ローン、クレジットカードの審査に通りません。人生の重要な局面で、大きな制約を受けることになります。
精神的影響: トロイの木馬被害者の約30%が、何らかの精神的症状を訴えています。個人情報流出による不安、金銭的損失によるストレス、プライバシー侵害による恐怖などが複合的に作用し、PTSD、不眠症、うつ病などを発症するケースが報告されています。治療には長期間を要し、医療費の負担も重くのしかかります。
家族関係への影響: 金銭的損失や精神的ストレスは、家族関係にも深刻な影響を与えます。配偶者との信頼関係が損なわれ、離婚に至るケースも少なくありません。子供の教育資金が失われ、進学を断念せざるを得ない家庭もあります。家族全員の個人情報が流出した場合、家族間での責任の押し付け合いが起き、家庭崩壊につながることもあります。