GMOサイバー攻撃⑮｜中小企業の社長が学ぶ15の教訓

「自分の会社がサイバー攻撃を受けたら、何から手を付ければよいのか」。そう聞かれて、すぐに答えられる中小企業の社長は、どれくらいいるでしょうか。日々の営業や現場管理を優先する中で、サイバー対策まで十分に確認することは簡単ではありません。

2026年10月、GMOインターネットの「お名前.com デスクトップクラウド」がサイバー攻撃を受けました。GMOはサービス環境への不正アクセスと利用者情報の外部持ち出しを確認し、対象サービスを停止しています。一部利用者からは、身に覚えのない金融取引についても報告が寄せられました。

さらに、攻撃者とみられる者から金銭要求や情報公開、ランサムウェア攻撃の予告があったことも公表されています。GMOは要求に応じない方針を示し、警察や専門家と連携しながら調査・対応を続けています。

この事件は、金融取引に利用されるクラウドサービスで発生したものです。しかし、外部サービスの停止、認証情報の悪用、情報漏えい、事業継続などの課題は、建設業や製造業、運送業、卸売業、小売業など、多くの中小企業にも関係します。

本記事はGMOサイバー攻撃特集の最終回です。これまでの14記事で取り上げた論点を整理し、中小企業の社長が自社で確認したい15の教訓をまとめます。

1．GMO事件で何が起きたのか

GMOインターネットの公式発表によると、2026年10月19日に利用者からの問い合わせを受けて調査が始まり、20日に一部のサーバー環境で不正なプログラムが確認されました。21日午前4時からは、被害拡大防止のため対象サービスの全プランのサーバーが順次停止されました。

10月24日の第4報では、システムのセキュリティ上の問題、不正アクセス、利用者情報の外部持ち出しを確認したと公表しています。また、一部利用者から、取引口座における身に覚えのない操作について報告を受けたことも明らかにしました。

GMOは対象利用者への一律5,000円のお見舞金、一定の不正取引損失に対する特別な補償、独立したクラウド基盤上の代替サービスの案内などを発表しています。これらはそれぞれ目的と条件が異なる対応です。

10月26日の第7報では、攻撃者とみられる者から10月27日正午の情報公開とランサムウェア攻撃を予告されたことを公表しました。GMOは金銭要求に応じない方針を示し、利用者の端末解析などを進めています。

さらに10月27日の第8報では、対象利用者に対し、端末のフルスキャン、バックアップ、ネットワーク切断、電源停止などを要請しました。これは今回の事故に関する対象利用者向けの緊急措置であり、すべての企業が日常的に同じ操作をすべきという意味ではありません。

2．教訓1・2｜クラウド任せにしない

教訓1：クラウド事業者にも事故は起こり得る

クラウドサービスを利用すると、自社でサーバーを設置・管理する負担を減らせます。しかし、クラウド事業者のシステムに問題が発生すれば、利用企業が安全に運用していても、サービスを使えなくなる場合があります。

今回のGMO事件から学びたいのは、クラウドを使うこと自体が危険だという話ではありません。便利なサービスであっても停止する可能性を考え、重要な業務の代替手段を準備しておく必要があるということです。

教訓2：事業者と利用企業の役割を確認する

クラウド事業者が管理する範囲と、利用企業が管理する範囲は、サービスの種類や契約によって異なります。アカウントの発行、従業員の権限設定、データの共有方法などは、利用企業が管理する場合があります。

まずは自社が利用しているクラウドサービスを一覧にし、重要なデータの保存先と管理責任者を確認しましょう。

3．教訓3・4｜認証情報と権限を守る

教訓3：パスワードだけに頼らない

パスワードが漏えいすると、第三者にアカウントを不正利用される可能性があります。特にメール、クラウド管理者、会計、金融取引などの重要なアカウントでは、多要素認証を設定することが重要です。

多要素認証は、パスワードに加えて別の認証要素を組み合わせる方法です。ただし、不審な認証要求を承認してしまう攻撃などもあるため、認証通知の内容を確認する習慣が必要です。

教訓4：アクセス権限は必要最小限にする

全従業員に管理者権限を与えていると、一つのアカウントが悪用された際に、広い範囲のデータが変更・削除されるおそれがあります。管理者権限は必要な人に限定し、退職者や外部委託先の不要な権限を解除しましょう。

これらはIPAの中小企業向けガイドラインでも参考になる基本的な考え方です。まずは重要なサービスの管理者一覧を確認することから始めましょう。

4．教訓5｜金融取引を守る

教訓5：取引口座の認証情報を安易に保存しない

今回のGMO事件では、一部利用者から身に覚えのない金融取引について報告が寄せられました。こうした事例から、金融取引に使う認証情報の管理が重要であることが分かります。

会社の銀行口座や送金システムでも、認証情報が悪用されると金銭的な被害につながる可能性があります。重要な取引については、多要素認証、取引通知、送金権限の分離など、利用できる安全対策を確認しましょう。

不正取引を疑ったときの行動

1. 金融機関や取引サービスの公式窓口へ連絡する
2. 必要に応じて取引停止や認証情報の変更を相談する
3. 取引履歴、通知、発見時刻などを保存する
4. 関係機関や専門家への相談を検討する

「被害金を取り戻す」などと称して費用を要求する連絡にも注意が必要です。GMOは今回の事件について、同社がパスワードや認証コードを尋ねることはないと注意喚起しています。

5．教訓6・7｜脅迫と情報公開に備える

教訓6：身代金を払っても解決は保証されない

GMOは攻撃者から金銭要求を受けたことを公表し、要求には応じない方針を示しています。その理由として、金銭を支払っても取得された情報の削除や不正利用の防止が保証されないことを挙げています。

一般に、ランサムウェア攻撃などで金銭を要求された場合、支払えば必ずデータが戻るとは限りません。法令や制裁上の問題が生じる可能性もあるため、独断で判断せず、警察や専門家などに相談することが重要です。

教訓7：攻撃者の発表を事実として広めない

攻撃者は、被害企業や利用者を脅すために、情報の公開や追加攻撃を予告する場合があります。しかし、攻撃者が主張する内容には、未確認の情報や事実と異なる内容が含まれる可能性があります。

企業が事故を公表する際は、確認できた事実、調査中の事項、今後の対応を分けて説明することが大切です。攻撃者が公開したとする個人情報を、興味本位で閲覧・拡散しないことも重要です。

6．教訓8｜バックアップを復元できるか

教訓8：バックアップは保存より復元が重要

バックアップを取得していても、必要なときに復元できなければ業務を再開できません。また、本番システムと同じアカウントでバックアップまで削除できる場合、攻撃時に両方を失うリスクがあります。

重要なデータは、本番環境とは別の管理環境にも保存し、削除・改変の権限を制限することが大切です。定期的に復元を試し、必要な時間内に使える状態へ戻せるか確認しましょう。

バックアップは、単にデータを残すためではなく、会社の仕事を再開するための準備です。

7．教訓9・10｜業務停止と資金繰り

教訓9：止められない業務を先に決める

サイバー攻撃でシステムが使えなくなると、受注、製造、配送、施工、請求などが止まる可能性があります。すべての業務を同時に復旧させることが難しい場合、どの業務から再開するかを事前に決めておくことが重要です。

例えば建設会社なら、現場で必要な図面や工程表、協力会社との連絡が優先される場合があります。製造業では生産指示や出荷情報、運送業では配車や配送先情報が重要になるかもしれません。

教訓10：売上減少と資金繰りを分けて考える

業務停止によって売上が減少しても、その全額が利益の損失になるわけではありません。一方、売上を後日回復できる場合でも、請求や入金が遅れれば資金繰りに影響する可能性があります。

8．教訓11｜取引先への説明を準備する

教訓11：事故対応では情報の伝え方も重要

サイバー攻撃による影響は、自社だけにとどまらない場合があります。納期の遅れやサービス停止が発生すれば、取引先への説明や調整が必要になることがあります。

その際、原因や復旧時期が分からない段階で断定的な説明をすると、後から訂正が必要になる可能性があります。確認できた事実と調査中の事項を分け、次回の連絡予定を伝えることが大切です。

取引先への説明で整理したい内容

• 現在確認できている事実
• 影響を受けている業務の範囲
• 取引先への影響の有無
• 現在実施している対応
• 次回の連絡予定

事故対応は、技術的な復旧だけではありません。関係者へ適切に説明し、業務を継続するための調整を行うことも、経営者の重要な役割です。

9．教訓12｜建設業の現場を守る

教訓12：クラウドが止まっても現場を安全に動かせるか

建設業では、施工図、工程表、工事写真、見積書、協力会社の連絡先などをクラウドで管理する場合があります。これらの情報を利用できなくなると、現場の施工判断や工程調整、検査、請求に影響する可能性があります。

ただし、今回のGMO事件で建設会社の図面や工事写真が流出したと確認されたわけではありません。ここで紹介するのは、建設業に一般的に想定されるリスクです。

現場を止めないことは重要ですが、安全性が確認できない古い図面を使って施工を続けることは避ける必要があります。最新版を確認できない場合の判断手順も、事前に決めておきましょう。

10．教訓13｜事故対応の責任者を決める

教訓13：社長が判断すべきことを明確にする

サイバー攻撃が疑われる場合、技術的な調査は専門家に依頼できても、業務停止や取引先への説明などの経営判断は会社側で行う必要があります。事故発生時に誰が判断するのか決まっていなければ、対応が遅れる可能性があります。

小規模な会社でも、社内責任者、ITの相談先、取引先への連絡担当者を決めておくことは可能です。社長自身がすべての技術的な内容を理解する必要はありませんが、誰に連絡するかを把握しておくことが大切です。

事故発生時の基本手順

1. 異常を発見した日時と内容を記録する
2. 社内の責任者へ連絡する
3. 必要に応じて被害拡大防止措置を行う
4. ログや通知などの証拠を保全する
5. サービス事業者や専門家へ相談する
6. 顧客・取引先への影響を確認する
7. 必要な報告・通知の有無を確認する

ただし、今回のGMO事件の対象利用者には、GMOが個別の緊急措置を案内しています。対象者は一般的な手順だけで判断せず、GMOの最新の公式案内を確認してください。

11．教訓14・15｜契約と保険を確認する

教訓14：クラウド事業者の補償条件を確認する

GMOは今回、対象利用者への一律5,000円のお見舞金と、一定の不正取引損失に対する特別な補償を発表しました。ただし、これはGMOが今回の事故について公表した対応であり、すべてのクラウド事業者が同じ補償を行うという意味ではありません。

利用企業は、契約中のクラウドサービスについて、障害時の連絡先、データの取り出し方法、サービス停止時の取り扱い、責任や補償の条件を確認しておくことが重要です。

教訓15：サイバー保険の補償範囲を確認する

サイバー保険には、一定の事故対応費用、損害賠償責任、業務停止による利益損失などを対象とする商品があります。しかし、不正送金や不正取引による直接的な金銭損失まで、自動的に補償されるわけではありません。

加入中の保険については、商品名だけで判断せず、保険証券、特約、約款を確認しましょう。特に、外部クラウド事業者の事故、業務停止損失、不正取引損失の扱いは分けて確認する必要があります。

12．社長のための15項目チェックリスト

これまでの15の教訓を、経営者が自社で確認できるチェックリストにまとめました。まずは現状を把握し、未対応の項目のうち、重要度の高いものから改善しましょう。

1. 重要なクラウドサービスを把握している
2. クラウド事業者と自社の管理範囲を確認している
3. 重要なアカウントに多要素認証を設定している
4. 管理者・従業員・外部委託先の権限を適切に管理している
5. 金融取引の認証情報と取引通知を適切に管理している
6. 攻撃者から金銭要求を受けた際の相談先を把握している
7. 未確認情報を拡散しない社内ルールがある
8. 重要データのバックアップと復元を確認している
9. 止められない業務と再開の優先順位を決めている
10. 業務停止時の資金繰りへの影響を確認できる
11. 取引先への緊急連絡方法を決めている
12. 現場や事業所で使う重要情報の代替手段がある
13. 事故発生時の社内責任者を決めている
14. クラウドサービスの停止・補償条件を確認している
15. 加入中の保険の補償対象と事故連絡先を確認している

13．まとめ｜今日から始める3つの行動

GMOサイバー攻撃特集では、事件の経緯、金銭要求、クラウドサービスの停止、不正取引、見舞金、損失補償、業務停止、建設業への影響、サイバー保険などを取り上げてきました。

これらに共通するのは、サイバー攻撃が情報システムだけの問題ではなく、経営上の問題でもあるということです。業務が止まれば売上や資金繰りに影響する可能性があり、情報が漏えいすれば顧客や取引先への対応も必要になります。

一方、すべての中小企業が高額なセキュリティシステムを導入しなければならないわけではありません。重要なアカウントの認証設定を確認し、アクセス権限を整理し、バックアップを復元できるか試すことなど、今ある環境で始められる対策もあります。

会社を守るために大切なのは、対策を一度行って終わりにしないことです。担当者と確認時期を決め、事業内容や利用サービスが変わった際には見直していきましょう。

公式一次情報

• GMOインターネット｜第4報・お見舞金と不正取引損失の補償方針（2026年10月24日）
• GMOインターネット｜第5報・利用者へのセキュリティ対策のお願い（2026年10月24日）
• GMOインターネット｜第7報・利用者保護と端末解析（2026年10月26日）
• GMOインターネットグループ｜第8報・現在の対応と緊急対策（2026年10月27日）
• IPA｜中小企業の情報セキュリティ対策ガイドライン

※2026年10月27日時点で確認できる公式情報に基づいて作成しています。GMO事件で確認された事実、攻撃者による予告、一般的な中小企業のリスクを区別しています。個別の損害賠償責任や保険金の支払可否を判断するものではありません。最新の事故情報はGMOの公式発表をご確認ください。