GMO不正アクセス事例｜外部クラウド停止が中小企業に与える損失

「会社のシステムは外部のクラウドに任せているから安心」

そう考えていませんか。

2026年10月、GMOグループが提供する「お名前.com デスクトップクラウド」で第三者による不正アクセスが公表され、サービスのサーバーが停止される事態となりました。

今回の事故で、建設会社の受発注や請求システムが実際に停止したと確認されたわけではありません。

しかし、もし自社の重要なクラウドサービスが突然使えなくなったら、受発注・請求・売上・資金繰りにどのような影響が出るでしょうか。

外部サービスの障害は、単なるITの問題ではありません。経営の問題です。

この記事では、公式発表で確認できる事実と、中小企業で想定される影響を区別しながら、経営者が今日から取り組める備えを紹介します。

1．GMOグループのサービスで何が起きたか

2026年10月21日、お名前.comは「デスクトップクラウド」に対する第三者による不正アクセスを公表しました。

公式発表によると、10月20日に一部の利用者のサーバー環境で不正なプログラムの設置が確認されました。

また、サーバー内に保管された情報が閲覧された可能性があると説明されています。

同社は被害拡大を防ぐため、10月21日午前4時以降、デスクトップクラウド全プランのサーバーを順次停止すると発表しました。

影響の可能性があるサーバー数は26,739件とされています。ただし、これは全件で不正侵入が確認されたという意味ではありません。

出典：お名前.com公式｜第三者による不正アクセスに関するお知らせ

ここで重要なのは、外部事業者のセキュリティ事故が、利用者のサービス停止につながり得るという点です。

2．確認済みの事実と想定リスクの違い

事故の記事を読む際は、確認された事実と、今後起こり得るリスクを区別する必要があります。

10月21日の発表時点では、同社が預かる顧客の個人情報の漏えいや、閲覧された情報の悪用は確認されていないと説明されています。

「情報を閲覧された可能性がある」と「個人情報漏えいが確定した」は同じではありません。

また、今回の事故によって中小企業全般に具体的な売上損失が生じたという数字も、この公式発表からは確認できません。

3．外部クラウド停止が経営問題になる理由

会社の重要な業務がクラウドに集中していると、サービス停止が複数の仕事に影響することがあります。

例えば、見積書を作れない、注文情報を確認できない、請求書を発行できない、といった状況です。

それぞれの問題は小さく見えても、連続すると経営への影響が大きくなる可能性があります。

ただし、この流れは一般的な想定例です。すべての企業で同じ結果になるわけではありません。

大切なのは、自社でこの連鎖が起こり得るかを確認することです。

4．受発注業務が止まった場合の影響

受発注システムが利用できなくなると、注文内容や納期、数量、取引先の連絡先などを確認できなくなる可能性があります。

建設会社であれば、資材発注や協力会社への作業依頼が影響を受ける場合があります。

確認したい項目

• 当日と翌日の発注予定を別の手段で確認できるか
• 重要な取引先の連絡先を把握しているか
• 発注済みと未発注を区別できるか
• 代替手段で発注した内容を後から照合できるか
• 二重発注を防ぐ担当者が決まっているか

電話やメールで代替する場合も、注文内容と承認記録を残すことが重要です。

5．請求業務の停止と入金の遅れ

電子請求書サービスが停止した場合、請求書の作成、送信、受領、保存などに支障が出る可能性があります。

請求の締日が近い場合、対応の遅れが入金時期に影響することも考えられます。

ただし、サービスが停止しただけで、必ず入金が遅れるわけではありません。取引先との取り決めや代替手段によって結果は異なります。

事前に確認したいこと

• 今月の請求締日と支払予定日
• 請求書の発行状況を確認する手段
• 取引先が認める代替の請求方法
• 未請求案件を把握する一覧表
• 復旧後に重複請求を防ぐ照合手順

重要な請求予定だけでも、クラウド以外の適切に管理された場所で確認できるようにしておくと役立ちます。

6．売上への影響をどう考えるか

クラウドが停止すると、仕事が遅れることはあります。しかし、仕事の遅れがそのまま売上損失になるとは限りません。

後日対応できる業務であれば、売上が失われずに済む場合もあります。

一方、納期に間に合わないことで注文が取り消されたり、販売機会を失ったりする可能性もあります。

売上の遅れ、売上の消失、利益の減少は別の問題です。

経営判断や損害の整理では、これらを分けて確認する必要があります。

7．資金繰りへの影響を確認する

中小企業では、入金予定日と支払予定日のずれが経営に影響することがあります。

特に建設業では、材料費、外注費、給与など、工事代金の入金前に支払いが発生することもあります。

仮に請求業務の遅れによって入金が後ろ倒しになると、予定していた資金残高を下回る可能性があります。

簡単な資金確認の例

次の数字は今回の事故による実際の損失ではなく、確認方法を説明するための仮定です。

この例では、入金が遅れると一時的に150万円の資金不足が生じます。

ただし、これは150万円の損失が確定したという意味ではありません。資金の不足と、最終的な損失は区別する必要があります。

クラウド停止への備えとして、重要な入金・支払予定を確認できるようにしておくことが役立ちます。

8．建設会社で注意したい業務停止

建設会社では、現場業務と事務業務の両方でクラウドを利用することがあります。

これらは今回のお名前.comの事故で実際に確認された建設会社の被害ではなく、一般的に想定される影響です。

外部サービスに依存するリスクについては、クラウド事業者に依存するリスクと企業の備えも参考にしてください。

9．取引先への連絡と代替手段

クラウドが停止したとき、すべての業務を無理に続ける必要はありません。

まず、今日中に対応が必要な業務と、復旧後でも間に合う業務を分けましょう。

優先順位を決める例

1. 人命や安全に関係する現場業務
2. 当日中の発注・納品・支払
3. 締日が近い請求業務
4. 取引先への状況連絡
5. 復旧後に対応できる一般事務

電話やメールで代替する場合は、送信先を確認し、機密情報を不用意に送らないことが大切です。

また、クラウドが復旧した後は、代替手段で処理した内容を照合し、二重発注や二重請求を防ぎます。

10．障害発生時に保存する記録

障害時の経緯を記録しておくと、社内での振り返りや、サービス事業者への問い合わせに役立ちます。

• 異常に気づいた日時
• サービス事業者の公式通知
• 利用できなくなった業務
• 取引先への連絡日時と内容
• 追加で発生した作業や費用
• 請求・入金・納期への具体的な影響
• 復旧後に確認した内容

ただし、記録を保存すれば必ず損害賠償を受けられるわけではありません。

利用規約、責任の所在、損害との因果関係、損害額の立証などによって判断が異なります。

サイバー保険についても、外部サービスの停止や利益損失が補償されるかは契約条件によって異なります。

11．無料で始める業務継続対策

クラウド停止への備えは、高額なシステムの導入から始める必要はありません。

まずは次の五つを確認してください。

1. 重要サービスを一覧化する。 会社が利用するクラウドと担当者を整理します。
2. 公式の障害情報を登録する。 異常時にすぐ確認できるようにします。
3. 緊急連絡先を保存する。 サービス会社と主要取引先の連絡先を確認します。
4. 代替手段を決める。 電話・メール・安全に保管した必要書類などで、最低限の業務を継続できるか確認します。
5. 重要な入出金予定を把握する。 システムが使えない場合でも、直近の資金予定を確認できるようにします。

必要なデータのバックアップも重要です。ただし、保存先や個人情報の管理には注意し、社内のルールに沿って実施してください。

IPAの中小企業の情報セキュリティ対策ガイドライン第4.0版では、バックアップや事故対応、クラウドサービスの安全利用に関する実務資料が公開されています。

緊急時の連絡体制については、サイバー事故に備える緊急連絡先の準備も参考になります。

12．社長向け実務チェック表

自社の状況を、次の表で確認してみてください。

一度にすべてを整える必要はありません。まずは、停止すると当日困る業務から確認しましょう。

13．今日の一歩とまとめ

今回のGMOグループのサービスに関する不正アクセス事例は、外部クラウドに依存することのリスクを考えるきっかけになります。

ただし、今回の事故で建設会社の受発注や請求に実際の損失が発生したと断定するものではありません。

経営者が考えたいのは、自社の重要なクラウドが明日使えなくなったら、何が止まり、いつ資金繰りに影響するかという点です。

システムの復旧を待つだけではなく、重要な業務を続けるための準備が必要です。

事故時の費用や保険の確認については、中小企業のサイバー保険と実務上の確認ポイントも参考にしてください。補償の有無は個別の契約条件と事故状況によって異なります。

※本記事は2026年10月21日の公式発表と、2026年10月23日までに確認した公開情報をもとに作成しています。今回の事故に関する確認済み事実と、一般的な中小企業の業務停止リスクを区別しています。仮の金額例は実際の事故損失を示すものではありません。