GMOサイバー攻撃⑫｜中小企業がクラウドを安全に使う対策

「クラウドを使っているから、会社のデータは安全だろう」。そう考えていませんか。クラウドサービスは便利ですが、サービス提供会社に任せるだけでは、すべてのサイバーリスクを防ぐことはできません。

2026年10月、GMOインターネットが提供する「お名前.com デスクトップクラウド」への不正アクセスが発覚しました。GMOは、サービス環境への不正アクセスと利用者情報の外部持ち出しを確認したと公表し、利用者に対して端末の検査、データのバックアップ、アカウントの保護などを呼びかけています。

今回の事件は、クラウド事業者の安全管理が重要であることを示すと同時に、利用企業が自社のアカウントや重要データを守る必要性について考えるきっかけになります。ただし、利用者向けの注意喚起が行われたことと、今回の事故原因が利用者側にあったことは別です。

この記事では、GMOの公式発表とIPAの「中小企業の情報セキュリティ対策ガイドライン第4.0版」を参考に、中小企業がクラウドを安全に利用するための対策を具体的に整理します。

この記事の結論

クラウドを安全に利用するために、まず確認したいのは「多要素認証」「必要最小限の権限」「端末の更新」「バックアップと復元」「事故発生時の連絡先」です。高額なシステムを導入する前に、今あるサービスの設定を確認することから始めましょう。

目次｜中小企業のクラウド安全対策

GMO事件から学べること
クラウドを使えば安全という誤解
対策① 多要素認証を設定する
対策② アカウントと権限を管理する
対策③ パスワードと認証情報を守る
対策④ 端末とソフトウェアを更新する
対策⑤ バックアップと復元を確認する
対策⑥ 不審なアクセスを早く発見する
対策⑦ クラウド契約と連絡先を確認する
対策⑧ 事故発生時の行動を決める
建設業など中小企業での実践例
社長が確認したい10項目
まとめ｜今日から始める3つの行動

1．GMO事件から学べること

GMOインターネットは2026年10月24日の第4報で、「お名前.com デスクトップクラウド」のシステムにセキュリティ上の問題が存在し、サービス環境への不正アクセスと利用者情報の外部持ち出しを確認したと発表しました。

また、一部の利用者から、取引口座における身に覚えのない操作について報告を受けていると説明しています。10月24日の第5報では、サーバー内に保存されていた取引口座のログイン情報などが第三者に取得され、不正利用された可能性があると公表しました。

GMOは、対象サービスの利用者に対して、端末のウイルスチェック、データのバックアップ、パスワード管理の再点検、多要素認証の有効化を求めています。

GMOが案内した対応	目的
端末のフルスキャン	不審なプログラムの有無を確認する
データのバックアップ	データ消失や利用不能への備え
パスワード管理の再点検	認証情報の悪用リスクを減らす
多要素認証の有効化	パスワードだけに依存しない認証を行う
端末調査への協力	被害状況や対処方法の解明に役立てる

これらはGMOが今回の対象利用者へ案内した対策です。一般的な中小企業にも参考になりますが、今回の事件で個々の利用者にどのような被害が発生したかは、調査結果によって異なります。

公式情報：GMOインターネット・第5報「被害拡大の防止のためのお客様へのお願い」

2．クラウドを使えば安全という誤解

クラウドサービスでは、サーバー設備やサービス基盤などを事業者が管理する一方、利用企業がアカウント、アクセス権限、保存データなどを管理する場合があります。具体的な役割分担は、サービスの種類や契約内容によって異なります。

そのため、クラウド事業者が安全対策を実施していても、利用企業のアカウントが乗っ取られたり、共有設定を誤ったりすれば、情報漏えいなどにつながる可能性があります。反対に、利用企業が適切な設定をしていても、事業者側のシステムに問題が発生することはあります。

主な管理対象	一般的な担当
サービス基盤の運用・保守	クラウド事業者
利用者アカウントの設定	利用企業
従業員のアクセス権限	利用企業
バックアップ・復元機能の提供	サービス仕様・契約による
事故発生時の調査・対応	事業者と利用企業がそれぞれ対応する場合がある

大切なのは、「クラウドだから安心」と考えるのではなく、事業者に任せる部分と、自社で確認する部分を明確にすることです。

3．対策① 多要素認証を設定する

多要素認証とは、パスワードだけでなく、認証アプリやセキュリティキー、生体認証など、異なる種類の認証要素を組み合わせて本人確認を行う方法です。パスワードが漏えいしても、不正ログインのリスクを減らすことが期待できます。

IPAの「中小企業の情報セキュリティ対策ガイドライン第4.0版」でも、情報の重要性に応じて認証方法を決め、多要素認証を活用することが示されています。

優先して設定したいアカウント

クラウドサービスの管理者アカウント
会社のメールアカウント
会計・給与・請求システム
金融取引に利用するアカウント
顧客情報や機密情報を扱うサービス

今日の確認

会社で利用している重要なクラウドサービスを一つ開き、多要素認証が有効になっているか確認してください。利用できる場合は、認証アプリやセキュリティキーなど、サービスが対応する適切な方法を選びましょう。

なお、多要素認証は万能ではありません。偽のログイン画面や不正な承認要求などを利用する攻撃もあるため、不審な通知を安易に承認しないことが重要です。

4．対策② アカウントと権限を管理する

クラウドサービスでは、利用者ごとに閲覧・編集・削除・管理などの権限を設定できる場合があります。全員に管理者権限を与えていると、一つのアカウントが不正利用された際に、被害が広がる可能性があります。

基本となるのは「必要最小限の権限」です。担当業務に必要な範囲だけアクセスできるようにし、管理者権限を持つ人数を絞ることが重要です。

確認すること	実施例
管理者権限	管理者を必要最小限にする
一般従業員の権限	業務に必要な閲覧・編集権限だけを設定する
退職者のアカウント	退職時に停止・削除する
外部委託先の権限	対象データと利用期間を限定する
共有アカウント	可能な限り個人別アカウントへ切り替える

まずは管理者一覧を確認し、現在その権限が必要な人だけが登録されているかを見直しましょう。

5．対策③ パスワードと認証情報を守る

同じパスワードを複数のサービスで使い回していると、一つのサービスから情報が漏れた際、別のサービスへの不正ログインに悪用される可能性があります。重要なアカウントでは、サービスごとに異なる十分に長いパスワードを設定することが基本です。

パスワードの管理が難しい場合は、信頼できるパスワード管理ツールの利用も選択肢になります。また、取引口座や管理者アカウントの認証情報を、不要な場所に保存しないことも重要です。

見直したい3つの習慣

同じパスワードを複数のサービスで使わない
パスワードや認証コードをメールや電話で安易に伝えない
不審なログイン通知や認証要求を見逃さない

「被害金を取り戻す」という連絡にも注意

GMOは今回の事件について、同社がパスワードや認証コードを尋ねることはないと注意喚起しています。また、「被害金を取り戻す」などとして費用を要求する連絡にも応じないよう呼びかけています。事故後は便乗詐欺にも警戒が必要です。

6．対策④ 端末とソフトウェアを更新する

クラウドサービスを利用するパソコンやスマートフォンに脆弱性が残っていると、不正なプログラムへの感染や情報の窃取につながる可能性があります。OS、ブラウザー、業務ソフト、セキュリティ対策ソフトを適切に更新しましょう。

また、サポートが終了したOSやソフトウェアは、必要な修正が提供されない場合があります。会社で使用する端末の一覧を作り、更新状況を確認できるようにしておくことが重要です。

対象	確認すること
パソコンのOS	サポート対象で、必要な更新が適用されているか
ブラウザー	最新のセキュリティ更新が適用されているか
業務ソフト	提供元の更新案内を確認しているか
セキュリティ対策ソフト	有効に動作し、定義情報などが更新されているか
スマートフォン	OS・アプリの更新と画面ロックが設定されているか

今回GMOは対象利用者に端末のフルスキャンを求めています。これは今回の事故への予防的な対応です。一般的な中小企業では、日頃の更新と定期的な安全確認を組み合わせることが大切です。

7．対策⑤ バックアップと復元を確認する

クラウドに保存しているデータでも、サービス停止や不正アクセスなどによって、一時的に利用できなくなる可能性があります。そのため、重要なデータについては、利用しているサービスのバックアップ・復元条件を確認する必要があります。

特に重要なのは、バックアップが存在することだけでなく、必要なときに実際に復元できることです。また、本番環境と同じ認証情報でバックアップまで削除できる状態では、攻撃時に両方を失うリスクがあります。

確認項目	実務上のポイント
保存対象	図面、顧客情報、会計データなど重要情報を含める
保存頻度	業務上許容できるデータ損失の範囲に合わせる
保存場所	本番環境から隔離した保存先も検討する
アクセス権限	バックアップの削除・改変権限を制限する
復元テスト	定期的に実際のデータを復元できるか確認する

社長への質問

明日クラウドが使えなくなった場合、会社の重要なデータを別の方法で取り出せますか。バックアップの保存先だけでなく、復元の担当者と手順も確認しておきましょう。

8．対策⑥ 不審なアクセスを早く発見する

クラウドサービスによっては、ログイン履歴、操作履歴、不審なアクセス通知などを確認できます。こうした機能を利用すると、普段と異なるログインや大量のデータ操作に早く気づける可能性があります。

ただし、すべてのサービスで同じログが保存されるわけではありません。自社が利用するサービスで何を確認できるか、保存期間はどれくらいかを調べておくことが重要です。

確認したい通知・記録

普段と異なる場所や端末からのログイン
管理者権限の変更
大量のファイル削除・共有設定変更
認証方法やパスワードの変更
不審な取引や送金操作

通知を設定していても、誰も確認していなければ対応が遅れる可能性があります。通知を受け取る担当者と、異常を発見した際の連絡先を決めておきましょう。

9．対策⑦ クラウド契約と連絡先を確認する

クラウドサービスの契約時には、料金や機能だけでなく、事故発生時の連絡方法、データの保存条件、復旧支援、サービス停止時の取り扱いも確認しましょう。重要な業務に使うサービスほど、停止した場合の影響が大きくなります。

契約・運用の確認項目	確認したい内容
緊急連絡先	障害・不正アクセス時の問い合わせ窓口
障害時の通知	どの方法で、誰に連絡が届くか
データの取り出し	別環境へ移行する方法があるか
バックアップ・復旧	事業者と利用企業の担当範囲
責任・補償条件	利用規約や契約書に定められた内容

事故発生時の補償や損害賠償については、契約内容や具体的な事実関係によって判断が異なります。クラウド事業者が被害を受けたからといって、利用企業のすべての損害が自動的に補償されるわけではありません。

10．対策⑧ 事故発生時の行動を決める

サイバー攻撃が疑われる場合、最初に必要なのは被害の拡大を防ぐことです。ただし、慌てて端末を初期化したり、記録を削除したりすると、原因調査が難しくなる可能性があります。

まずは社内の責任者に連絡し、必要に応じて影響が疑われる端末やシステムをネットワークから隔離します。電源停止などの対応は、被害状況や証拠保全への影響を考慮し、可能な限り専門家の助言を受けて判断しましょう。

事故が疑われた場合の基本手順

不審な操作や表示を発見した時刻を記録する
社内の責任者とシステム担当者に連絡する
必要な範囲で被害拡大防止措置を行う
ログ、通知、画面などの証拠を保全する
クラウド事業者と専門家へ相談する
顧客・取引先への影響と報告の要否を確認する

GMOの対象利用者は公式案内を優先してください

今回の事件では、GMOが対象利用者に個別の対応を求めています。一般的な対策記事だけを参考に独自の操作を行うのではなく、公式サイトと登録メールアドレスに届く最新案内を確認してください。

11．建設業など中小企業での実践例

建設業では、工事写真、設計図面、工程表、見積書、顧客情報などをクラウドで共有することがあります。現場担当者、事務担当者、協力会社など複数の関係者が利用するため、情報共有の便利さとアクセス管理の両立が重要です。

例えば、協力会社に図面を共有する場合、必要な現場の資料だけを閲覧できるようにし、工事終了後には共有権限を見直します。また、重要な工程表や連絡先については、クラウドが停止した場合の代替手段を準備しておくことが役立ちます。

業務	確認したい対策
工事写真	保存先、共有範囲、バックアップ
設計図面	最新版の管理、閲覧権限、代替閲覧手段
工程表	共有先、緊急時の連絡方法
見積書・請求書	編集権限、変更履歴、データの出力方法
協力会社との共有	アクセス期限、不要な共有権限の削除

製造業では生産管理や設計情報、運送業では配送計画、卸売・小売業では受発注や在庫情報など、重要なデータが異なります。まずは自社で最も止められない業務を一つ選び、その業務を支えるクラウドサービスから対策を始めましょう。

なお、これらは業種ごとの一般的な対策例であり、今回のGMO事件で建設会社の図面や工事写真が流出したと確認されたものではありません。

12．社長が確認したい10項目

ここまでの内容を、経営者が確認できる10項目にまとめました。担当者任せにせず、重要なサービスについて現在の設定と対応状況を確認してみてください。

自社で利用している重要なクラウドサービスを把握している
管理者アカウントに多要素認証を設定している
従業員の権限を必要最小限にしている
退職者・外部委託先の不要な権限を削除している
重要なパスワードを使い回していない
業務端末とソフトウェアを適切に更新している
重要データのバックアップを取得している
バックアップから復元できることを確認している
不審なログインや操作を確認できる
事故発生時の担当者と緊急連絡先を決めている

確認できなかった項目は、すぐにすべてを解決しようとする必要はありません。重要度の高いものから担当者と期限を決め、少しずつ改善していくことが大切です。

13．まとめ｜今日から始める3つの行動

2026年10月のGMOサイバー攻撃では、「お名前.com デスクトップクラウド」への不正アクセスと利用者情報の外部持ち出しが確認されました。GMOは対象利用者に対し、端末の検査、バックアップ、パスワード管理の見直し、多要素認証などを呼びかけています。

今回の事件から中小企業が学びたいのは、クラウドを利用する際にも、自社で管理すべきアカウント、権限、データ、端末があるということです。クラウド事業者の安全対策と利用企業の管理を組み合わせることで、リスクを減らすことが期待できます。

ただし、どれほど対策を行っても、サイバー攻撃のリスクを完全になくすことはできません。侵入を防ぐ対策と、被害が起きた場合に業務を再開するための備えを両方進めることが重要です。

社長が今日から始める3つの行動

最も重要なクラウドサービスの多要素認証を確認する
管理者とアクセス権限を見直す
重要データをバックアップから復元できるか確認する

この3つのうち、まず一つだけでも実行してみてください。会社を守る対策は、特別な設備を導入することだけではありません。日頃の設定確認と小さな改善の積み重ねが大切です。

参考にした公式一次情報

※2026年10月27日時点の公式発表に基づいています。GMO事件で確認された事実と、中小企業向けの一般的なセキュリティ対策を区別して記載しています。実際の対策は、利用するサービスの仕様、契約条件、自社の業務環境に応じて検討してください。