GMOサイバー攻撃の金銭被害は誰が補償？責任と条件を解説

「サイバー攻撃でお金を失ったら、誰が補償してくれるのか」。これは、会社の資金や顧客の財産を守る経営者にとって、決して他人事ではない問題です。

2026年10月、GMOインターネットの「お名前.com デスクトップクラウド」がサイバー攻撃を受け、利用者の証券・FX取引口座で身に覚えのない操作が行われたとの報告が寄せられました。GMOは、不正アクセスに起因すると認めた不正取引の実現損失を補償する方針を発表しています。

しかし、サイバー攻撃による金銭被害が発生した場合、必ずクラウド事業者が全額を支払うのでしょうか。それとも金融機関や利用企業が負担するのでしょうか。実際には、事故の原因、契約内容、損害の種類、各当事者の対応などによって判断が変わります。

この記事では、GMOの公式発表をもとに、見舞金と損失補償の違い、補償対象となる損害、金融機関とクラウド事業者の役割、被害を受けた際に必要な記録と手続きを整理します。

1．GMO事件で発表された損失補償

GMOインターネットは2026年10月24日の第4報で、「お名前.com デスクトップクラウド」への不正アクセスと利用者情報の外部持ち出しを確認したと公表しました。また、一部利用者から取引口座における身に覚えのない取引について報告を受けていると説明しています。

同社は利用者保護のため、今回の不正アクセスに起因する不正取引について、調査で認められた実現損失を補償する方針を示しました。同時に、現在の対象サービス利用者に対する一律5,000円の見舞金と、代替サービスの6か月間無償提供も発表しています。

これらはそれぞれ目的の異なる措置です。見舞金を支払うことと、発生したすべての損害を無条件で補償することは同じではありません。

2．金銭被害は誰が負担するのか

サイバー攻撃による金銭被害では、クラウド事業者、金融機関、利用企業など複数の当事者が関係する場合があります。どこで攻撃が発生したのか、どの認証情報が使われたのか、どの取引が行われたのかを確認しなければ、負担する当事者を一律に決めることはできません。

また、事故に関係した事業者と、法律上の損害賠償責任を負う事業者が必ず一致するとは限りません。契約に基づく補償、事業者が自主的に行う補償、法的な損害賠償は分けて考える必要があります。

3．クラウド事業者の責任はどこまでか

クラウド事業者は、契約で定めたサービスを提供し、その運用や安全管理に関する役割を担います。しかし、どの範囲まで責任を負うかは、サービスの仕様、契約条件、事故原因、事業者の対応などによって変わります。

今回GMOは、対象サービスのシステムにセキュリティ上の問題が存在し、不正アクセスと利用者情報の外部持ち出しを確認したと公表しました。そのうえで、対象となる不正取引の実現損失について補償する方針を示しています。

ただし、この補償方針の公表だけをもって、あらゆる損害について法的責任を認めたと解釈することはできません。実際に何が補償されるかは、発表された条件と個別の調査結果を確認する必要があります。

クラウド契約で確認したい項目

• セキュリティ対策と障害対応の役割
• 事故発生時の通知方法と連絡先
• データの保存・バックアップ・復旧条件
• サービス停止時の取り扱い
• 損害賠償や責任制限に関する条項
• 第三者サービスとの連携に関する条件

利用規約に責任制限が書かれていても、その条項が個別の事故でどのように適用されるかは別の問題です。重大な損害が生じた場合には、契約書と事実関係をもとに専門家へ相談することが適切です。

4．金融機関の責任と対応はどうなるか

今回の事件では、クラウドサービス上で利用されていた取引ツールの認証情報が取得され、不正利用された可能性が問題になっています。実際に取引が行われた金融口座については、取引先の金融機関が保有する記録も重要になります。

例えば、金融機関ではログイン日時、注文内容、約定履歴、残高の変化などを確認できる場合があります。利用者は身に覚えのない操作を発見したら、まず金融機関へ連絡し、必要な停止措置や調査を相談することが重要です。

OANDA証券も今回の事案について、GMOの補償方針を案内するとともに、利用者が被害状況を申告するための支援を行うと公表しています。これは金融機関による対応の一例ですが、すべての金融機関が同じ方法で補償や支援を行うとは限りません。

5．利用企業にも確認すべき責任がある

クラウド事業者が安全対策を行っていても、利用企業が管理するアカウントや端末に問題があれば、不正アクセスのリスクが高まる可能性があります。特に重要なのは、管理者権限、パスワードの保存方法、多要素認証、退職者アカウントの管理です。

ただし、利用企業にセキュリティ上の不備があったとしても、それだけで事業者の責任がなくなるわけではありません。反対に、事業者側に問題があった場合でも、利用企業には被害の拡大を防ぐために必要な対応があります。

利用企業が日頃から確認したいこと

• 重要なシステムの管理者が誰か
• 管理者権限が必要以上に広くないか
• 多要素認証が利用できるか
• 認証情報を安全に管理しているか
• 不審なログインを確認できるか
• 事故発生時の連絡手順が決まっているか

事故発生後に適切な対応を取れるよう、平常時から管理体制を整えておくことが重要です。

6．GMOが補償すると発表した損失

GMOの第4報では、今回の不正アクセスに起因して利用者の意思によらない取引が行われた場合、その取引によって生じた実現損失を補償すると説明しています。具体的には、調査で本件に起因する不正取引と認められた取引差損や手数料などが対象です。

ここでいう実現損失とは、対象となる不正取引によって実際に確定した損失を指します。取引口座の残高が減っていても、そのすべてが今回の事件による補償対象になるとは限りません。

また、金融機関などから返金を受けた場合は、その金額を差し引いた残額についてGMOが対応する方針です。対象となる損失の判断は個別に行われます。

7．補償対象外とされた損失とは

GMOは補償対象を明確にする一方、対象外となる損失も公表しています。市場の変動による損失、得られたはずの利益、その他の間接的な損害は、今回発表された不正取引の損失補償に含まれません。

例えば、通常の相場変動によって生じた損失と、第三者による不正取引で確定した損失は区別する必要があります。また、取引ができなかったことで得られなかった利益も、今回の補償方針では対象外とされています。

8．見舞金5,000円との違い

GMOは今回の事件について、現在の対象サービス利用者に一律5,000円の見舞金を支払うと発表しています。これは不正取引による損失補償とは別の措置であり、金銭被害の有無を問わない点が特徴です。

つまり、不正取引による損失が確認されていない利用者も、発表された条件を満たせば見舞金の対象になります。一方、不正取引の損失補償を受けるには、今回の事件との関係や実現損失の内容について確認が必要です。

見舞金の受け取り手続きと支払時期は、10月30日までに登録メールアドレスへ案内するとされています。不正取引の補償申請方法については、11月6日までに案内する方針です。いずれも案内期限であり、必ずその日までに支払われるという意味ではありません。

9．不正取引が発生した場合の連絡先

不正取引が疑われる場合、補償の申請だけを先に考えるのではなく、被害の拡大を防ぐことが重要です。まず取引先の金融機関へ連絡し、取引停止や認証情報の保護、履歴の確認について相談しましょう。

今回のGMO事件の対象サービス利用者は、GMOの公式窓口にも連絡できます。GMOは本件に関する電話相談を土日・祝日を含め24時間受け付けると案内しています。

連絡する際に伝えたいこと

1. 利用しているサービス名と契約状況
2. 不審な取引や操作を発見した日時
3. 身に覚えのない注文や決済の内容
4. 現在の口座残高と確認できる損失
5. すでに行ったパスワード変更などの対応
6. 取引会社へ連絡した日時と回答

10．補償の判断に必要な証拠と記録

GMOは補償対象かどうかを判断するため、取引記録、アクセス記録、その他の資料を確認すると説明しています。利用者に追加資料の提出を求める場合もあるため、事故に関係する記録を早い段階で整理することが大切です。

取引履歴を保存する際は、単に損失額だけを控えるのではなく、注文日時や決済内容なども確認しましょう。スクリーンショットだけでなく、金融機関が発行する取引報告書などを保存できれば、客観的な説明に役立ちます。

証拠となる可能性がある情報は、むやみに削除しないことが重要です。端末の不正アクセスが疑われる場合、初期化やログの削除を行う前に、サービス提供会社やセキュリティ専門家へ相談しましょう。

11．業務停止や顧客被害はどう考えるか

サイバー攻撃による金銭被害は、不正取引だけではありません。システム停止による売上減少、復旧作業にかかる費用、顧客対応のための追加費用など、企業活動にさまざまな影響が生じる場合があります。

ただし、今回GMOが公表した不正取引の損失補償は、こうした企業の損害すべてを対象とするものではありません。業務停止や復旧費用などについては、契約条件や個別の事情を確認する必要があります。

企業がサイバー保険に加入している場合でも、これらの損害が自動的にすべて補償されるわけではありません。補償対象、免責事項、支払限度額、事故通知の条件などは、実際の保険契約によって異なります。

また、クラウド事業者から受け取る補償と保険金との関係についても、二重の補填とならないよう確認が必要な場合があります。事故が発生したら、保険会社または代理店へ早めに連絡し、契約内容を確認することが大切です。

12．社長が確認したい10項目

今回のGMO事件を踏まえ、サイバー攻撃による金銭被害に備えて経営者が確認したい項目をまとめました。金融取引を行う企業だけでなく、クラウドサービスを利用する中小企業にも共通する内容です。

1. 会社の資金管理に利用しているサービスを把握している
2. 重要なアカウントに多要素認証を設定している
3. 取引や送金の権限を必要最小限にしている
4. 重要な取引を複数人で確認する仕組みがある
5. 不審なログインや取引を通知で確認できる
6. クラウド事業者の事故対応窓口を把握している
7. 金融機関の緊急連絡先を把握している
8. 取引履歴や操作記録を保存できる
9. クラウド契約の責任範囲や補償条件を確認している
10. 加入している保険の補償内容と事故連絡方法を確認している

13．まとめ｜補償に頼る前に被害を防ぐ

2026年10月のGMOサイバー攻撃では、「お名前.com デスクトップクラウド」への不正アクセスが確認され、一部利用者から金融取引口座での不正操作が報告されました。GMOは、今回の不正アクセスに起因すると認めた不正取引の実現損失について、補償する方針を発表しています。

一方、サイバー攻撃による金銭被害を誰が負担するかは、すべての事故で同じではありません。クラウド事業者、金融機関、利用企業それぞれの契約や対応、事故原因、損害の内容などを確認する必要があります。

今回のGMOの補償方針でも、対象となるのは認定された不正取引の実現損失であり、市場変動による損失や得られたはずの利益などは対象外とされています。また、見舞金5,000円は損失補償とは別の措置です。

中小企業の経営者にとって大切なのは、被害が起きてから補償先を探すだけでなく、日頃から認証情報、取引権限、操作履歴、緊急連絡先を管理しておくことです。

まずは、会社の資金管理に関係するサービスを一つ選び、不審な取引があった場合に誰へ連絡し、どの記録を保存するかを確認してみてください。被害を小さくし、その後の調査や補償手続きを進めるための第一歩になります。

参考にした公式一次情報

• GMO｜不正アクセス第4報・見舞金と不正取引の損失補償（2026年10月24日）
• GMO｜第5報・利用者へのセキュリティ対策のお願い（2026年10月24日）
• GMO｜第7報・現在の対応について（2026年10月26日）
• GMO｜第8報・利用者保護と端末調査の状況（2026年10月27日）
• OANDA証券｜本件に伴うGMOの損害補償と対応方針について
• IPA｜中小企業の情報セキュリティ対策ガイドライン

※2026年10月27日時点の公式発表に基づいています。GMOの補償方針は今回の事件に関するものであり、他のサイバー事故にも同じ条件が適用されるわけではありません。個別の損害賠償責任、金融機関の補償、保険金支払いの可否については、契約内容と具体的な事実関係に基づく確認が必要です。