GMOクラウド事故｜中小企業が備える外部サービス停止と対策

社長、会社で使っているクラウドサービスが突然停止した場合、見積書や顧客情報、図面などを確認できるでしょうか。外部サービスは便利ですが、利用できなくなったときの対応まで決めている会社は多くないかもしれません。

2026年10月、GMOインターネット株式会社が提供する「お名前.com デスクトップクラウド」で不正アクセスが確認されました。同社は10月21日、被害拡大防止のため全プランのサーバーを順次停止し、その後も顧客情報の保護や二次被害防止に向けた対応を公表しています。

今回の事例は、すべてのGMOクラウドサービスで事故が起きたことを意味しません。特定のサービスで発生した事実を確認しながら、中小企業が外部サービスの停止にどう備えるべきかを考えます。

1．GMOのクラウドサービスで何が起きたのか

GMOインターネット株式会社は2026年10月、「お名前.com デスクトップクラウド」に対する第三者の不正アクセスを公表しました。このサービスは、クラウド上のWindows環境を遠隔利用するサービスで、FXなどの自動取引にも利用されています。

同社の調査では、サービスのシステムにセキュリティ上の問題が存在し、不正アクセスと顧客情報の外部持ち出しが確認されました。10月20日には、一部顧客のサーバー環境で不正なプログラムの設置が確認されています。

ここで重要なのは、クラウドサービスを提供する会社が事故対応のためにサービスを停止する場合、利用者側でも業務や作業に影響が生じる可能性があることです。ただし、今回の事故がGMOのすべてのクラウドサービスに及んだという意味ではありません。

GMOインターネット｜不正アクセスに関する第4報

2．不正アクセスとサービス停止の経緯

GMOインターネットが公表した経緯では、10月19日に顧客からの問い合わせを受けて調査を開始し、翌20日に不正なプログラムの設置を確認しています。その後、被害拡大防止のため、サービスの停止などの措置を取りました。

なお、10月19日は調査開始日であり、不正アクセスの開始日を示すものではありません。また、10月28日のドメイン停止は、流出した情報がすべて回収されたことや、サービスが完全復旧したことを意味しません。

3．顧客情報と不正利用について公表された内容

GMOインターネットは、サービス環境への不正アクセスと顧客情報の外部持ち出しを確認したと説明しています。また、一部顧客から取引口座で身に覚えのない取引に関する報告を受けていることも公表しました。

10月24日の第4報では、現行利用者への一律5,000円の見舞金、独立したクラウド基盤で運用する代替サービスへの移行案内、一定の条件に基づく不正取引の実現損失への補償方針を示しています。これはGMOが今回の事案について発表した特別な対応であり、他のクラウドサービスでも同じ補償が行われるという意味ではありません。

10月27日には攻撃者側による情報公開が確認され、GMOは情報の転載や拡散を控えるよう呼びかけました。10月28日には関連サイトのドメイン停止を確認したと発表していますが、二次被害への警戒は引き続き必要です。

4．確認済みの事実と一般的なリスクを分ける

サイバー事故を経営の参考にする際は、確認された事実と、一般的に想定されるリスクを区別する必要があります。今回確認されたのは、特定サービスへの不正アクセス、情報の外部持ち出し、サービス停止などです。

一方、建設会社の図面が漏えいした、一般企業の会計システムが停止したといったことは、今回のGMOの事故について確認された事実ではありません。これらは外部サービスの利用に伴う一般的なリスクとして考えるべき内容です。

5．クラウド停止が中小企業に与える影響

中小企業では、顧客管理、見積作成、経理、勤怠管理、ファイル共有など、多くの業務でクラウドサービスを利用しています。普段は便利でも、サービスが停止すると、必要な情報を取り出せない可能性があります。

建設業では、図面共有や現場写真の確認ができなくなった場合、現場担当者と協力会社の連携に影響することも考えられます。製造業なら受発注情報、運送業なら配車情報など、業種によって重要な業務は異なります。

まずは、どのクラウドサービスが停止すると業務に影響するのかを把握することが、備えの第一歩です。

6．重要な外部サービスを洗い出す

外部サービスの停止に備えるには、会社で利用しているサービスを一覧にすることが有効です。名称だけでなく、担当者、保存している情報、停止した場合の影響を整理しましょう。

最低限確認したい項目

• サービス名と契約先
• 社内の管理担当者
• 利用している業務と保存情報
• サービス停止時に困る作業
• 公式の障害情報と問い合わせ先
• 代替手段とバックアップの有無

すべてのサービスを一度に調べる必要はありません。まずは、停止すると売上や顧客対応に影響するサービスを優先しましょう。

7．バックアップとデータの取り出し

クラウドサービスを利用している場合でも、重要なデータをどのように取り出せるか確認する必要があります。サービスのバックアップ機能があることと、利用者が必要なときにデータを取り出せることは同じではありません。

例えば、顧客一覧や見積データをCSVなどで出力できるか、図面や写真を別の安全な場所に保管できるかを確認します。バックアップを作成した後は、実際に復元できるかを試すことも重要です。

ただし、事故が発生したサービスを利用中の場合は、自己判断で不審なデータをコピーしたり、感染が疑われる環境を別のシステムへ接続したりしないでください。事業者の公式案内や専門家の指示を優先する必要があります。

8．サービス停止時の代替業務

クラウドサービスが使えない場合、すべての業務を通常どおり続けられるとは限りません。そこで、停止中でも継続しなければならない業務をあらかじめ決めておくことが大切です。

例えば、顧客からの問い合わせを電話で受け付ける、緊急案件の連絡先一覧を別途保管する、現場で必要な図面の確認手順を決めるといった方法が考えられます。代替手段は情報の機密性にも配慮し、個人情報を無制限に持ち出す運用は避けましょう。

重要なのは、代替サービスの名前だけを決めることではありません。誰が切り替えを判断し、どの順番で業務を再開するかまで考えておくことです。

9．委託先との連絡体制と契約確認

外部サービスで事故が起きた場合、利用者が最初に必要とするのは正確な情報です。サービス提供会社の公式発表、障害情報ページ、契約担当窓口などを普段から把握しておくと、対応しやすくなります。

契約内容についても、障害時の通知方法、データの返却方法、解約や移行の条件などを確認しましょう。サービスレベルに関する取り決めがあっても、必ず無停止で利用できることや、すべての損失が補償されることを意味するわけではありません。

また、重要な外部サービスでは、社内の連絡責任者を決めておくことが必要です。担当者が不在の場合の連絡経路も用意しておくと、初動の遅れを減らせます。

10．外部サービス停止時の影響比較表

表は中小企業が一般的に想定する影響を整理したものです。今回のGMOの事故で、これらすべてのサービスに影響が出たという意味ではありません。

11．社長向け10項目チェックリスト

チェックが付かない項目は、今後の改善課題です。まずは最も重要なサービスについて、停止した場合の影響と代替手段を確認してみましょう。

12．事故が起きたときの初動と注意点

利用しているサービスで不正アクセスや障害が公表された場合、まず公式情報で対象サービスと影響範囲を確認します。次に、自社の契約や利用状況が対象に含まれるかを調べ、必要な対応を担当者と整理します。

GMOの今回の事例では、利用者の端末や認証情報に関する個別の注意喚起も行われています。対象となる利用者は、一般的な復旧手順を自己判断で実施するのではなく、GMOの最新の公式案内を優先してください。

また、攻撃者が公開したとされる情報を確認するために、不審なサイトへアクセスすることは避けましょう。GMOは、関連サイトへのアクセスや情報の転載・拡散を控えるよう呼びかけています。

13．まとめ｜今日できる一つの行動

GMOの「お名前.com デスクトップクラウド」では、2026年10月に不正アクセスが確認され、サービス停止、顧客情報の外部持ち出し、二次被害防止への対応が公表されました。今回の事故は、外部サービスへの依存を経営上どう管理するかを考えるきっかけになります。

中小企業では、顧客管理、経理、図面共有、メールなど、日常業務の多くが外部サービスに支えられています。便利なサービスを使い続けるためにも、停止時の代替手段、バックアップ、連絡体制を確認することが重要です。

公式一次情報

• GMOインターネット｜お名前.com デスクトップクラウドへのサイバー攻撃について（第4報・10月24日）
• GMOインターネット｜不正アクセスに関する第11報（10月27日）
• GMOインターネット｜不正アクセスに関する第13報（10月28日）

※本記事は2026年10月29日時点で確認できる公式発表に基づいています。GMOの特定サービスで確認された事故と、一般的な外部サービス停止のリスクを区別して記載しています。