ペネトレーションテストの費用が「わかりにくい」理由
「ペネトレーションテストの見積もりを3社に依頼したら、50万円・200万円・800万円という3つの全く異なる金額が返ってきた」──こういった声は珍しくありません。この大きな価格差は、各ベンダーが「何をどこまでやるか」を全く異なる前提で見積もっているためです。
ペネトレーションテスト（ペンテスト）の費用は、対象システムの種別・範囲・テスト手法・報告書の深さなど複数の変数に依存します。一般的な「相場」を知るためには、まずこれらの変数を整理することが必要です。
本記事では2026年時点の国内ペネトレーションテスト費用を種別・規模別に整理し、費用を左右する要因と見積もり依頼時に確認すべきポイントを解説します。
ペネトレーションテスト費用の早見表【2026年版】
まず全体像です。国内ベンダーへ依頼した場合の費用帯を、対象の種別ごとにまとめました。同じ種別でも金額の幅が大きいのは、対象の規模・テスト手法・報告書の深さで工数が数倍変わるためです。内訳は、次の節にある種別ごとの表で確認できます。
対象の種別 | 費用帯（目安） | 金額を左右する主な条件 |
|---|---|---|
Webアプリケーション | 30万〜800万円 | 対象ページ数、認証後の機能の多さ |
ネットワーク（外部・内部） | 50万〜800万円 | 外部のみか、内部侵入後の横展開まで含むか |
クラウド環境（AWS・Azure・GCP） | 80万〜600万円 | アカウント数、マルチクラウドか、コンテナ環境を含むか |
スマートフォンアプリ | 50万〜600万円 | iOS・Android の両対応か、APIバックエンドを含むか |
ソーシャルエンジニアリング | 10万〜200万円 | 訓練メールの配信のみか、標的型の本格シミュレーションか |
本記事はペネトレーションテスト（侵入テスト）の費用に絞って解説します。脆弱性診断との違いはペネトレーションテストと脆弱性診断の違い、脆弱性診断そのものの料金は脆弱性診断の費用相場【2026年版】を参照してください。
ペネトレーションテストの費用相場【2026年版・種別別】
Webアプリケーション ペネトレーションテスト
最も一般的なペンテストの対象です。ECサイト・SaaS・社内Webシステムなど、ブラウザ経由でアクセスするシステムが対象になります。
規模 | 対象ページ数の目安 | 費用目安 | 期間目安 |
|---|---|---|---|
小規模 | 〜30ページ | 30万〜80万円 | 3〜5営業日 |
中規模 | 30〜100ページ | 80万〜250万円 | 1〜2週間 |
大規模 | 100ページ以上 | 250万〜800万円以上 | 2〜4週間 |
ネットワーク ペネトレーションテスト
社内ネットワーク・DMZ・クラウド環境のネットワーク構成を対象にしたペンテストです。攻撃者が社内に侵入した後の横展開（ラテラルムーブメント）シミュレーションも含みます。
対象範囲 | 費用目安 | 特徴 |
|---|---|---|
外部からの侵入テスト（外部ネットワーク） | 50万〜200万円 | インターネット側から見た侵入可能性を検証 |
内部ネットワーク侵入テスト | 100万〜500万円 | 内部侵入後の横展開・権限昇格を検証 |
外部＋内部（フル） | 200万〜800万円 | 侵入から権限昇格・機密情報取得まで全フロー実証 |
クラウド環境 ペネトレーションテスト
AWS・Azure・GCPを対象にした設定ミス・権限過剰・IAMの弱点を突くペンテストです。クラウド特有の攻撃手法（SSRF・メタデータAPI悪用・IAMロール乗っ取りなど）を検証します。
対象 | 費用目安 |
|---|---|
単一クラウドアカウント（設定・IAM中心） | 80万〜300万円 |
マルチクラウド（AWS＋Azure等） | 200万〜600万円 |
Kubernetes・コンテナ環境 | 150万〜400万円 |
スマートフォンアプリ ペネトレーションテスト
iOS・Androidアプリのバイナリ解析・通信傍受・ローカルデータ保護の検証を行います。金融・医療・フィンテック系アプリで特に需要が高い分野です。
対象 | 費用目安 |
|---|---|
iOS または Android（単体） | 50万〜200万円 |
iOS＋Android（両プラットフォーム） | 120万〜400万円 |
APIバックエンド込み | 200万〜600万円 |
ソーシャルエンジニアリング・フィッシングシミュレーション
技術的な脆弱性ではなく、人的な弱点を突く手法です。標的型メール・電話・物理侵入シミュレーションなどが含まれます。
手法 | 費用目安 |
|---|---|
フィッシングメール訓練（〜100名） | 10万〜30万円 |
標的型攻撃メールシミュレーション（本格型） | 50万〜200万円 |
フル Red Team演習（物理＋デジタル） | 300万〜1,000万円以上 |
ペネトレーションテストの費用を左右する5つの要因
1. テストの対象範囲と明確さ
「Webサービス全体をテストしてほしい」という依頼では、ベンダーによって対象の解釈が変わります。認証前の公開ページのみか、管理画面・API・モバイルアプリも含むかで工数は倍以上変わります。スコープを明確に定義してからRFPを作成することで、見積もりの精度が上がります。
2. テスト手法（ブラックボックス / グレーボックス / ホワイトボックス）
手法 | 事前情報の提供 | 費用 | 適したケース |
|---|---|---|---|
ブラックボックス | なし（外部攻撃者視点） | 低め | 実際の攻撃者視点での検証 |
グレーボックス | 一部提供（ユーザー権限等） | 中程度 | 内部者・契約者視点での検証 |
ホワイトボックス | 全提供（設計書・コード等） | 高め | 最大網羅性・SAST連携 |
推奨： コストと効果のバランスが取れたグレーボックスが最も多く選ばれています。
3. エンジニアのスキルレベルと実績
単価の高いベンダーには、OSCP・CISSP・CEHなどの資格保持者や、特定業界（金融・医療）での実績が豊富なエンジニアがアサインされます。「安い＝質が低い」とは限りませんが、報告書の品質と再現性の高さは費用に相関することが多いです。
4. 報告書の品質と再現性
「スキャンツールの自動出力をそのまま納品」するベンダーと、「エンジニアが攻撃シナリオを整理し、経営層向けサマリーから技術者向け詳細レポートまで作成」するベンダーとでは、費用も大きく異なります。監査・コンプライアンス目的での利用では、報告書の様式や内容が重要になります。
5. テスト実施環境（本番 / ステージング）
本番環境でテストする場合は、サービス停止リスクを最小化するための配慮が必要で、工数・費用が増加します。ステージング環境があれば費用を抑えられますが、本番との差異がある場合は検証の精度が下がるトレードオフがあります。
見積もり依頼時に確認すべき7つのポイント
費用の比較を正確に行うために、見積もり依頼時に以下を確認・提示してください。
- テスト対象の明確化（URL・IPレンジ・ページ数・機能数）
- テスト手法の指定（ブラックボックス / グレーボックス / ホワイトボックス）
- 認証の有無とロール数（未認証・一般ユーザー・管理者など）
- 実施環境（本番 / ステージング）と希望実施期間
- 報告書の様式要件（役員向けサマリー・技術者向け詳細・英語対応等）
- 再テスト（リテスト）の費用が含まれるか
- 過去の同規模・同業種の実績・参考事例の提示依頼
これらを事前に整理してRFPに盛り込むことで、複数ベンダーの見積もりを同条件で比較できるようになります。
Stripeなどでクレジットカード決済を導入する際に求められるセキュリティ申告書（項目3：Webアプリ脆弱性対策）への対応については、クレジットカード決済で必須のセキュリティ・チェックリスト解説をあわせてご覧ください。
まとめ：ペネトレーションテストは「スコープ定義」が費用最適化の鍵
ペネトレーションテストの費用は、テスト種別・規模・手法・報告書品質によって数十万円から数千万円まで大きく変わります。「安いから良い」でも「高いから安心」でもなく、自社のリスクと目的に合った範囲で発注することが最も重要です。
初めてペンテストを発注する場合は、まず脆弱性診断で全体の穴を把握し、重要なシステムや特定の侵入シナリオに対してペネトレーションテストを実施するというステップアップが費用対効果の観点から推奨されます。
AEVUSでは、Webアプリ・API・ネットワーク・クラウドを対象としたペネトレーションテストを提供しています。「自社に合ったスコープでの見積もりが欲しい」という方はお気軽にご相談ください。
