GMOサイバー攻撃⑪｜業務停止で企業に発生する損失と対策

「会社のシステムが突然使えなくなったら、売上はどうなるのか」。サイバー攻撃による業務停止は、情報システムだけでなく、会社の資金繰りや取引先との信頼にも関わる経営課題です。

2026年10月、GMOインターネットが提供する「お名前.com デスクトップクラウド」がサイバー攻撃を受け、被害拡大防止のためサービスのサーバーが順次停止されました。今回の事例は、クラウドサービスが使えなくなったとき、利用者の業務や資金管理にどのような影響が生じ得るかを考えるきっかけになります。

企業の損失は、単純な売上減少だけではありません。業務が止まっている間も発生する固定費、復旧費用、従業員の追加作業、納期遅延など、複数の負担が重なる可能性があります。

この記事では、GMOが公表した事実と、一般的な企業の業務停止リスクを区別しながら、損失の考え方と中小企業が準備できる対策を解説します。

1．GMO事件でサービスが停止した経緯

GMOインターネットの公式発表によると、2026年10月19日に利用者からの問い合わせを受けて調査が始まり、20日に一部のサーバー環境で不正なプログラムの設置が確認されました。21日午前4時からは、被害拡大防止のため「お名前.com デスクトップクラウド」の全プランのサーバーが順次停止されました。

10月24日の第4報では、サービスのシステムにセキュリティ上の問題が存在し、不正アクセスと利用者情報の外部持ち出しを確認したと公表しています。また、現行のシステム基盤をそのまま再開せず、セキュリティ構成を刷新する方針を示しました。

GMOは、影響の可能性があるサーバーを26,739件と公表しています。ただし、これは不正アクセスや情報取得が確認された件数ではありません。また、すべての利用者に同じ金額の業務損失が発生したと確認されたわけでもありません。

2．業務停止が企業経営に与える影響

サイバー攻撃でシステムが使えなくなると、企業は普段どおりに仕事を進められなくなる場合があります。受注、製造、配送、請求、顧客対応など、停止する業務によって影響は異なります。

例えば、受注システムが停止すれば新しい注文を受けられない可能性があります。会計システムが利用できなければ、請求書の発行や入金確認が遅れるかもしれません。

ここで重要なのは、売上が一時的に減ることと、現金の入金が遅れることを分けて考えることです。会社の利益に大きな影響がなくても、入金が遅れれば資金繰りが厳しくなる場合があります。

3．売上減少と利益の損失は違う

業務停止の損失を考えるとき、「売上が100万円減ったから損失も100万円」と計算するのは正確ではありません。売上が減ることで、仕入れや外注費など一部の費用も発生しなくなる場合があるためです。

経営上の影響を把握するには、失われた売上から、その売上に対応して発生しなくなった変動費を差し引く考え方が役立ちます。これは、失われた限界利益を概算する方法です。

計算例：売上100万円が回復できなかった場合

この例では、売上減少100万円に対して、失われた限界利益は40万円となります。実際の企業では、業種や原価構造、受注の振替可否などによって金額が変わります。

4．業務が止まっても固定費は発生する

サイバー攻撃で仕事が止まっても、家賃や一定の人件費、借入金の返済などが直ちになくなるわけではありません。売上が減る一方で支払いが続けば、会社の資金繰りに負担がかかります。

特に、停止が長引く場合は、当面必要な支払額と利用できる資金を確認することが重要です。利益の損失と、現金支出の負担は分けて整理しましょう。

なお、借入金の元本返済は、会計上の費用と同じものではありません。しかし、実際の資金繰りでは現金支出として重要なため、停止時の資金計画に含めて確認する必要があります。

5．復旧費用と追加費用の内訳

業務停止が発生すると、システムを元に戻すための費用や、代替手段で業務を続けるための追加費用が発生することがあります。被害の調査、端末の確認、データ復元、外部専門家への依頼などが代表例です。

また、顧客や取引先への説明、問い合わせ対応、臨時の外注などが必要になる場合もあります。これらは企業ごとに内容が異なるため、実際に発生した費用を記録しておくことが重要です。

ただし、すべての費用が損害賠償や保険の補償対象になるわけではありません。費用の必要性、事故との関係、契約条件などの確認が必要です。

6．停止期間別の損失シミュレーション

経営者が業務停止の影響を把握するために、仮の数字で計算してみましょう。ここでは、月間売上3,000万円、月間営業日20日、限界利益率40％の会社を想定します。

この会社の1営業日当たりの売上は150万円、限界利益は60万円です。停止した日数に応じて売上を回復できないと仮定すると、次のようになります。

例えば5営業日停止した場合、回復できない売上が750万円、失われた限界利益が300万円という計算です。さらに、仮に復旧・代替運用の追加費用が80万円発生すれば、単純な経営影響額は合計380万円となります。

7．取引先への影響と信用低下のリスク

業務停止による影響は、自社だけにとどまらない場合があります。納品や施工が遅れれば、取引先の業務にも影響し、説明や調整が必要になることがあります。

また、停止の原因や復旧見通しを十分に説明できないと、取引先が不安を感じる可能性があります。事故発生時には、確認済みの事実、現在の対応、次回の連絡予定を分けて伝えることが重要です。

取引先への説明で押さえたいこと

• 現在停止している業務の範囲
• 納期やサービス提供への影響
• 代替手段の有無
• 現時点で確認できている事実
• 次に状況を連絡する予定

復旧時期が未確定であれば、確実な根拠がない日程を約束しないことも大切です。情報を整理して継続的に説明することが、取引先との信頼関係を守るうえで役立ちます。

8．建設業で想定される業務停止

建設業では、工事写真、図面、工程表、見積書、請求情報などをクラウドサービスで共有するケースがあります。これらが突然使えなくなると、現場の作業だけでなく、元請会社や協力会社との連絡にも影響する可能性があります。

例えば、最新図面を確認できなければ作業を進められない場合があります。また、工事写真や検査記録が取り出せないと、進捗報告や完了確認が遅れるおそれがあります。

これらは建設業の一般的な想定リスクであり、GMO事件で建設会社の工事が停止したと確認されたものではありません。

9．製造・物流・小売業への影響

業務停止の影響は、業種によって異なります。製造業では生産管理や受発注、物流業では配送計画、小売業では販売や在庫管理など、業務を支えるシステムが停止することで影響が広がる可能性があります。

ただし、代替手段を用意する際は、個人情報の保護や誤入力の防止にも配慮が必要です。緊急時だからといって、顧客情報を無制限に持ち出すことは避けましょう。

10．損失は誰が補償するのか

サイバー攻撃による業務停止で損失が発生した場合、その費用を誰が負担するかは一律には決まりません。サービス提供会社との契約、事故原因、損害の内容、保険契約などを確認する必要があります。

今回GMOは、10月24日の第4報で、今回の不正アクセスに起因すると認められた不正取引の実現損失について補償する方針を発表しました。一方、通常の市場変動による損失、得られたはずの利益、その他の間接的な損害は、この特別な補償の対象外としています。

したがって、GMOが不正取引の損失補償を発表したことをもって、すべての利用者の業務停止損失や逸失利益が補償されると考えることはできません。

11．事業を早く再開するための備え

サイバー攻撃による業務停止に備えるには、すべてのシステムを同時に復旧させることよりも、重要な業務から優先して再開できる体制を整えることが大切です。

そのために役立つのが、事業継続計画（BCP）の考え方です。自社で止められない業務を特定し、必要な人員、情報、システム、取引先との連絡方法を整理します。

最低限決めておきたい5つのこと

1. 最優先で再開すべき業務は何か
2. その業務を何日以内に再開したいか
3. 必要なデータはどこにあるか
4. クラウド停止中の代替手段は何か
5. 社内外の誰が復旧判断を行うか

バックアップを取得していても、実際に復元できなければ業務再開にはつながりません。重要なデータについては、復元手順を確認し、定期的に試すことが重要です。

12．社長が確認したい10項目

自社がサイバー攻撃によって停止した場合に備え、経営者が確認したい10項目をまとめました。すべてを一度に整備する必要はありませんが、重要度の高い業務から取り組みましょう。

1. 会社で最も止められない業務を把握している
2. その業務が依存しているシステムを把握している
3. クラウドが停止した場合の代替手段がある
4. 重要データのバックアップを取得している
5. バックアップの復元テストを行っている
6. 停止時の売上・利益への影響を概算できる
7. 固定的な支払いと当面の資金を確認できる
8. 事故発生時の社内責任者を決めている
9. 取引先への緊急連絡方法を決めている
10. クラウド契約と加入保険の補償条件を確認している

13．まとめ｜会社を止めないためにできること

2026年10月のGMOサイバー攻撃では、「お名前.com デスクトップクラウド」への不正アクセスを受け、被害拡大防止のため全プランのサーバーが順次停止されました。GMOは現行のシステム基盤をそのまま再開せず、刷新する方針を公表しています。

この事件から中小企業が学びたいのは、クラウドサービスが突然使えなくなった場合の備えです。業務停止は、売上減少だけでなく、固定的な支払い、復旧費用、取引先への影響など、複数の経営課題につながる可能性があります。

また、売上減少額と利益の損失、利益の損失と資金繰りへの影響は区別して考える必要があります。補償についても、サービス契約や保険契約の条件を確認しなければ判断できません。

まずは、自社で最も止められない業務を一つ選び、「3日間停止したら何が困るか」を確認してみてください。そして、重要なデータを復元できるか、代替手段で仕事を続けられるかを確かめることが、会社を守るための具体的な第一歩になります。

参考にした公式一次情報

• GMOインターネット｜第4報・不正アクセスと利用者への補償方針（2026年10月24日）
• GMOインターネット｜第5報・被害拡大防止と利用者へのお願い（2026年10月24日）
• お名前.com｜第7報・現在の対応について（2026年10月26日）
• IPA｜中小企業の情報セキュリティ対策ガイドライン
• 中小企業庁｜公式サイト（事業継続計画・経営支援情報）

※2026年10月27日時点の公表情報に基づいています。GMO事件で確認された事実と、一般的な企業の業務停止リスクを区別しています。損失シミュレーションは架空のモデルであり、実際の被害額、損害賠償額、保険金支払額を示すものではありません。