ソフトバンク不正アクセスの試み｜サイト停止判断と企業の備えとは

自社のシステムに不正アクセスの兆候が見つかったとき、社長はサービスを止める判断ができるでしょうか。

止めれば顧客に不便をかける。しかし、何もせず使い続ければ、被害が拡大するかもしれない。

2026年10月19日、ソフトバンク株式会社は、会員向けサイト「My SoftBank」の一部関連システムに対し、第三者による不正アクセスの試みがあったと発表しました。

同社は10月17日に異常を自動検知し、疑わしい通信経路の遮断などを実施。顧客情報の安全確保のため、「My SoftBank」「My Y!mobile」「My Menu」のウェブサイトを一時停止しました。

一方、各サービスのアプリ版は継続して利用できると説明しています。

今回のニュースから中小企業が学べるのは、不正アクセス対策だけではありません。異常を発見したときに、何を止め、何を残し、いつ再開するかという経営判断です。

この記事では、ソフトバンクの公式発表を整理しながら、中小企業が今日から準備できる具体的な対策を解説します。

※事故に関する事実は2026年10月19日の公式発表に基づきます。中小企業向けの対策は一般的なリスク管理上の解説であり、ソフトバンクの内部管理に問題があったと指摘するものではありません。

1. ソフトバンクで何が起きたのか

ソフトバンク株式会社は2026年10月19日、会員向けサイト「My SoftBank」の一部関連システムに対し、第三者による不正アクセスの試みがあったと発表しました。

同社によると、10月17日に監視システムが異常な動きを自動検知しました。

その後、関連システムの一部停止や、外部からの疑わしい通信経路の遮断などを速やかに実施したと説明しています。

さらに、顧客情報を守るための安全措置として、会員向けウェブサイトの一時停止とセキュリティ強化のためのメンテナンスを行っています。

ここで注目したいのは、異常を検知した後、システムの利用を制限する判断が行われたことです。

2. 10月17日から19日までの経緯

10月19日の公式発表では、サイトの再開について、準備が整い次第知らせるとしています。

停止の判断を考えるときは、最初に異常が発生した日時と、利用者向けのサービスを止めた日時を区別することが重要です。

3. 停止したサービスと利用できるサービス

今回、一時停止の対象となったのは、次のウェブサイトです。

つまり、すべてのサービスを一律に止めたという発表ではありません。

ウェブ版の利用を制限しながら、アプリ版の利用を継続できる状態を維持しています。

ただし、今回の公式発表だけでは、ウェブ版とアプリ版を分けて運用できた技術的な理由までは確認できません。

中小企業が参考にしたいのは、「どの機能を停止し、どの機能を継続できるか」を事前に整理する発想です。

4. 不正アクセスの試みと情報漏えいの違い

今回のニュースを読むうえで、特に注意したい点があります。

ソフトバンクが公表したのは「第三者による不正アクセスの試み」です。

10月19日の公式発表では、顧客情報が漏えいしたと確認された旨の記載はありません。

そのため、今回の事案を「ソフトバンクで顧客情報が漏えいした」と断定して伝えるのは適切ではありません。

これらは関連する場合がありますが、同じ意味ではありません。

企業が事故を公表する際も、確認された事実と、まだ調査中の内容を分けて説明する必要があります。

5. なぜサービス停止という判断が重要なのか

経営者にとって、システムの停止は簡単な判断ではありません。

予約システムを止めれば予約が受け付けられなくなるかもしれません。通販サイトを止めれば注文を受けられず、売上に影響する場合があります。

一方、不正アクセスが疑われる状態で運用を続けることにもリスクがあります。

状況によっては、攻撃の継続や被害範囲の拡大を防ぐため、接続の遮断や機能の一部停止が必要になります。

重要なのは、常に「全部止める」ことが正しいわけではないという点です。

対象システム、異常の内容、影響範囲、利用できる代替手段などを踏まえて判断します。

実際の事故では、システム管理者や専門家と連携し、必要な証拠を保全しながら対応することも大切です。

6. 社長が迷いやすい三つの判断

不審な動きを検知した際、経営者は主に三つの判断を求められます。

判断① どこまで停止するか

問題が疑われるシステムだけを止めるのか、関連する機能も止めるのかを判断します。

関連システムが接続されている場合は、見えている異常だけで判断しないことが重要です。

判断② どの業務を継続するか

顧客対応、受注、請求、現場連絡など、停止中でも継続が必要な業務を確認します。

電話、紙の帳票、別の安全なシステムなどを利用できる場合は、代替手段を検討します。

判断③ いつ再開するか

サービスを早く再開したい気持ちがあっても、原因や影響範囲を確認せずに再開すると、同じ問題が続くおそれがあります。

再開には、安全性の確認、必要な対策、動作確認などを踏まえた判断が必要です。

7. 中小企業で起こり得る具体例

ここからは、今回のソフトバンクの事故とは別に、中小企業で起こり得る仮想事例を考えます。

これらは一般的な想定例であり、今回のソフトバンクの事案で実際に発生した事象ではありません。

自社の業務に置き換えて、「このシステムが止まったら何ができなくなるか」を考えてみてください。

8. 異常を早く発見するための準備

不正アクセスへの備えは、侵入を防ぐことだけではありません。

異常に気づく仕組みを持つことも重要です。

• 管理者アカウントへのログインを記録する
• 普段と異なる時間帯や場所からのアクセスを確認する
• 大量のデータ取得などの異常を検知できるか調べる
• 管理者権限を必要最小限にする
• 利用可能なシステムでは多要素認証を設定する
• 異常を検知したときの通知先を決める
• ログの保存期間と調査に使える範囲を確認する

専門的な監視を外部の会社に任せている場合は、どのような異常を検知でき、誰に連絡が来るのか確認しておきましょう。

「監視サービスを契約している」というだけでは、事故時の対応が決まっているとは限りません。

9. 止める範囲を決めるための優先順位

事故時に停止範囲を考えるため、平常時からシステムを整理しておくことが役立ちます。

実際の停止範囲は事故の状況によって異なります。平常時に作成した一覧は、専門家と相談する際の判断材料として活用できます。

10. 停止中の業務を支える代替手段

サイバー事故への備えでは、システムを守る対策と、業務を続ける対策を組み合わせることが重要です。

例えば、建設会社で工程管理システムが利用できなくなった場合を考えます。

現場責任者の連絡先、当日の作業予定、協力会社との連絡手順などを安全な別手段で確認できれば、停止の影響を抑えられる場合があります。

ただし、感染や侵害が疑われる端末から、安易にデータを別のシステムへコピーすることは避ける必要があります。

代替手段が安全に使えるかも確認してください。

中小企業庁の事業継続計画（BCP）関連情報も参考になります。

また、事前の連絡体制についてはサイバー事故の緊急連絡先を事前に準備する重要性も確認してください。

11. 顧客への説明と復旧判断

サービスを一時停止する場合、顧客は「何が起きたのか」「いつ使えるのか」「別の手段はあるのか」を知りたいはずです。

企業が準備したい説明項目は次のとおりです。

• 利用できないサービスと機能
• 停止の開始日時
• 利用可能な代替手段
• 現在確認されている事実
• 調査中である事項
• 次回の案内予定または確認先
• 問い合わせ窓口

今回のソフトバンクの発表でも、ウェブ版は停止し、アプリ版は利用できることが明示されています。

自社でも、停止中に使えるサービスがある場合は、顧客に分かりやすく案内することが重要です。

復旧については、単に画面が表示できることだけでなく、安全性の確認や必要な対策が完了したかを確認して判断します。

顧客管理などにクラウドサービスを利用している企業は、クラウド事業者のリスクと企業が確認したいことも参考にしてください。

12. 事故対応費用とサイバー保険の確認

不正アクセスの疑いが生じると、被害の有無にかかわらず、調査やシステム停止への対応が必要になる場合があります。

状況によっては、外部専門家による調査、システム復旧、顧客への案内、法律相談などの費用が発生します。

サイバー保険では、契約内容や事故状況によって、これらの費用や事業中断による損失の一部などが補償対象となる場合があります。

ただし、不正アクセスの試みだけで保険金が支払われるとは限りません。

保険商品によって事故の定義、補償対象、免責金額、待機期間、支払限度額などが異なります。

自社の契約では、どのような事故が補償対象になるか、保険会社への通知はいつ必要かを確認しておくことが重要です。

詳しくは中小企業が知るべきサイバー保険の全貌と実務ポイントも参考にしてください。

13. 社長向けチェックリストと今日の一歩

自社のシステムについて、次の項目を確認してみましょう。

• □ 顧客情報を保存するシステムを把握している
• □ 異常なアクセスを検知する仕組みがある
• □ 異常発見時の社内連絡先が決まっている
• □ システム停止を判断する責任者がいる
• □ 停止できる機能と止められない業務を整理している
• □ 代替手段を安全に利用できるか確認している
• □ システム提供会社の緊急連絡先を把握している
• □ 顧客への案内を担当する人が決まっている
• □ 復旧時の安全確認と承認手順がある
• □ サイバー保険の事故対応条件を確認している

今回のソフトバンクのニュースは、サイバー事故への対応が技術だけの問題ではなく、事業をどう守るかという経営判断でもあることを考えるきっかけになります。

大切なのは、事故が起きてから初めて「止めるべきか」を考える状態を減らすことです。

今日の一歩は、自社で最も重要なシステムを一つ選び、「停止を決める人」「停止中の代替手段」「再開を判断する人」の三つを書き出すことです。

この準備が、顧客情報を守りながら事業を続けるための第一歩になります。

【公式・参考情報】

• ソフトバンク株式会社｜お客さま向け会員サイト「My SoftBank」の一時的な停止について（2026年10月19日）
• IPA｜中小企業の情報セキュリティ対策ガイドライン
• 中小企業庁｜事業継続計画（BCP）関連情報