サイバー攻撃後の法的対応：損害賠償・行政報告・顧客対応の実務

1　最初に押さえるべき結論：サイバー攻撃対応は6本の線を同時に走らせる

サイバー攻撃発生時には、原因調査が終わってから法務対応を始めるのでは間に合いません。技術的な封じ込めと並行して、少なくとも次の6つの対応を同時に進める必要があります。

2　発覚直後：封じ込めと同時に証拠を残す

ランサムウェアや不正アクセスが発覚すると、直感的には「端末を初期化する」「サーバを再起動する」「ログを消して復旧する」といった対応を急ぎたくなります。しかし、原因究明や責任追及の観点では、証拠を失う行為になり得ます。

警察庁は、ランサムウェア感染が疑われる場合、感染端末をネットワークから隔離する一方、調査に必要なログ等が失われる可能性があるため、むやみに電源を落とさないよう案内しています。2026年1月にPPC等が公表したフォレンジック調査の着眼点も、端末の不用意な初期化等を避け、証拠保全を意識した初動を求めています。

発覚時に残すべき主な記録

法務部門は、これらの資料が後日のPPC報告、顧客説明、保険金請求、委託先への損害賠償請求、訴訟、警察捜査に利用され得ることを前提に、保存対象と保管責任者を早期に決める必要があります。

3　「漏えいしたか」ではなく、まず法的な報告義務を仕分ける

サイバー攻撃を受けたからといって、全ての事案で同じ行政報告が必要になるわけではありません。個人情報保護法上の漏えい等報告、各業法上の事故報告、上場会社の適時開示、重要インフラ関係の報告、契約上の通知は、それぞれ根拠と要件が異なります。

特に、個人情報保護法上の報告対象事態に該当すると同時に業法上の報告対象にも該当する場合、双方の法に基づく対応が必要です。PPCのQ&Aは、一定の場合に一つの報告書を用いて双方の報告をまとめることが可能であることも示しています。

4　個人情報保護法：不正アクセスは「漏えいが確定していない」段階でも問題になる

個人情報保護法26条の報告義務は、漏えい等が実際に確認された場合だけではなく、「発生したおそれ」がある場合も対象となります。不正アクセスは施行規則7条3号の「不正の目的をもって行われたおそれがある行為」に関係しやすく、外部流出の直接証拠が見つからないことだけで直ちに報告不要とはいえません。

PPCの2025年度年次報告でも、不正アクセス等による漏えい等報告が多く、VPN機器やアプリケーションの既知脆弱性放置、推測されやすいID・パスワード、アクセス制御の設定不備等について指導が行われています。攻撃の高度さだけでなく、自社側の安全管理措置に不備がなかったかが後から検証されます。

報告期限の基本

詳細な4類型や本人通知の方法は別途「情報漏えい時の報告義務と対応手順」で整理すべき論点ですが、サイバー攻撃対応では、フォレンジック調査の完了を待たず、現時点の事実に基づいて速報要否を判断することが重要です。

5　2025年から進む「報告様式の一元化」も活用する

サイバー攻撃を受けた企業には、複数の官公署へ似た内容を繰り返し報告する負担が生じます。政府はこの負担軽減のため、2025年10月1日からランサムウェア事案等について共通様式を利用できる仕組みを開始しています。

共通様式を使える場合でも、各法令・ガイドライン上の報告義務そのものがなくなるわけではありません。対象手続、提出先、提出方法、追加情報の要否を確認し、「一つの様式を使えること」と「一回提出すれば全て完了すること」を混同しないことが重要です。

6　2026年10月1日施行予定：重要インフラ関係の新たな報告制度

2025年に成立したサイバー対処能力強化法の官民連携部分は、2026年10月1日から施行される予定です。一般企業全てに新たなサイバー攻撃報告義務を課す制度ではありませんが、対象となる特別社会基盤事業者には重要な影響があります。

同法では、対象事業者が特定侵害事象等の発生を認知した場合、所管大臣等への報告を求める制度が設けられます。既存の業法報告や個人情報保護法上の報告と重なる可能性があるため、対象事業者は2026年秋以降、事故対応フローと報告先一覧を改めて見直す必要があります。

自社が対象事業者でない場合でも、重要インフラ事業者のシステムを受託しているベンダーやクラウド事業者では、顧客契約を通じて迅速な情報提供や調査協力を求められることがあります。法令の直接適用だけではなく、サプライチェーン上の契約義務も確認します。

7　警察への通報は「一律の法定義務」ではないが、早期相談の価値は大きい

旧稿では「警察への通報は必須」と一律に説明されていましたが、一般企業の全てのサイバー攻撃について、警察通報を一律に義務付ける一般法があるわけではありません。

もっとも、警察庁はランサムウェア被害について、最寄りの警察署又はサイバー犯罪相談窓口への通報・相談を案内しています。攻撃者の特定、復号ツール等の情報、他事案との関連、被害拡大防止に関する助言を得られる場合があるため、重大事案では初動段階から相談するのが実務的です。

警察に提出する資料は、後に顧客説明や行政報告にも影響するため、事実関係の表現を統一し、技術チーム・法務・広報で矛盾した説明を出さないよう情報管理を行います。

8　ランサムウェアの身代金：支払う・支払わないを誰がどう決めるか

身代金支払いは、情報システム部門だけで決める事項ではありません。事業継続、顧客影響、制裁規制、保険、警察対応、株主・取引先への説明、攻撃者に追加資金を与えるリスクを含む経営判断です。

警察庁は、身代金の支払いについて、犯罪グループ等の活動資金となる懸念があること、支払ってもデータ復号が保証されないことを被害者に説明しています。さらに二重脅迫型では、復号鍵を得ても窃取データの削除が保証されるわけではありません。

支払い判断の前に確認する事項

9　公表は「必ず行う」でも「できるだけ隠す」でもない

サイバー攻撃を受けた事実について、全ての企業に一律の公表義務があるわけではありません。個人情報保護法上の本人通知は、本人に直接知らせることが原則であり、会社ウェブサイトへの公表と同じではありません。他方で、被害規模、サービス停止、取引先への影響、SNS等での拡散、上場会社の適時開示、業法上の要請などから、公表が必要・相当となる場合があります。

公表文では、早く断定しすぎることも、曖昧にしすぎることもリスクです。2026年9月にIPAが公開したランサムウェア教訓集も、「漏えいなし」の証明が難しいことを指摘しています。フォレンジック調査が続いている段階では、「現時点で確認されていない」ことと「発生していない」ことを区別します。

初回公表で整理したい項目

・何が発生したか、いつ発覚したか

・現在確認できている影響と、調査中の事項

・サービス停止・復旧見込み、利用者が取るべき措置

・個人情報・機密情報の影響について分かっている範囲

・警察・PPC・関係当局等への報告状況

・問い合わせ窓口と次回更新の予定

原因や責任主体を十分な根拠なく特定すると、後に事実と異なった場合の信用低下や、委託先との紛争を招くことがあります。初報・続報・最終報を分け、事実が更新されたら速やかに修正する設計が安全です。

10　顧客・取引先への通知は契約条項を先に確認する

法人向けSaaS、システム開発、BPO等では、サイバー攻撃が発生した場合の顧客通知期限が契約で定められていることがあります。24時間以内、48時間以内など、個人情報保護法の速報目安より短い期限が設定されているケースもあります。

そのため、インシデント発生後に契約書を探し始めるのではなく、重要顧客については平時から「通知先・期限・様式・対象事象」を台帳化しておくことが有効です。契約上の通知が遅れた場合、攻撃そのものとは別に契約違反が問題となる可能性があります。

通知文で避けたい表現

11　自社が被害者でも、顧客から損害賠償請求を受けることがある

サイバー攻撃の直接の加害者は攻撃者ですが、サービス提供者が顧客に対して負う契約上のセキュリティ義務や、個人情報取扱事業者としての安全管理義務が別途問題になります。したがって「犯罪被害者なのだから不可抗力で責任はない」と一律には整理できません。

損害賠償責任は、契約内容、求められるセキュリティ水準、既知脆弱性への対応状況、認証情報管理、アクセス制御、バックアップ、監視、委託先監督、事故後の対応、損害との因果関係等を踏まえて判断されます。民法上は債務不履行責任や不法行為責任が中心となり得ます。

契約書で確認する主要条項

不可抗力条項がある場合でも、サイバー攻撃という名称だけで自動的に免責されるとは限りません。合理的に予防・軽減できたか、契約上求められた対策を実施していたか、通知義務を履行したか等を含めて判断します。

11-1　裁判例：サイバー攻撃の発生だけで責任は決まらない

大阪高等裁判所平成19年6月21日判決では、インターネット接続等のサービスにおける顧客情報の不正取得について、サービス提供会社の注意義務違反が問題となりました。裁判所は、多数のデジタル化された個人情報は外部からの不正取得の危険にさらされているとして、組織面・システム面・技術面で不正取得防止策を講じる必要があるとした上、退職者が知り得たアカウントの削除・パスワード変更等を行わず、パスワード変更やアカウント削除という異常を把握した後も十分な調査やアクセス管理の強化をしなかった点を問題としました。

もっとも、この事件の不正取得当時は、個人情報保護法の個人情報取扱事業者の義務規定が施行される前であり、現在の個人情報保護法上の安全管理義務を直接判示したものではありません。民事上の注意義務・過失判断の裁判例として位置づける必要があります。

これに対し、東京地方裁判所令和3年8月24日判決は、外部からの不正アクセスにより暗号資産NEMが流出した事件で、仮想通貨交換業者が顧客の仮想通貨を適切に管理する義務を負うこと自体は認めつつ、事故当時はNEMについて実用に耐えるコールドウォレットの開発が技術的・人材的に非常に困難で、他の交換業者でもホットウォレット管理が行われていたことなどから、ホットウォレットで管理していたこと自体を直ちに不適切とはいえないとして管理義務違反を否定しました。

また同判決は、事故後にサービスを停止し、サーバーを外部ネットワークから遮断し、外部の情報セキュリティ専門会社によるログ解析・ヒアリング・フォレンジック調査等を実施した事情を踏まえ、原因不明の段階で被害拡大を防ぐためのサービス停止について必要性・合理性を認め、2か月以上に及んだ停止も不当に長期間とは評価しませんでした。

これらの裁判例からも、サイバー攻撃による被害が発生したという結果だけで責任が決まるわけではなく、事故当時の技術水準、予見可能性、具体的な異常兆候、採られていた安全対策、事故後の対応等を個別具体的に検討する必要があるといえます。

12　委託先・ベンダーに責任追及する場合は、原因と契約を分けて整理する

自社の委託先やクラウド事業者の脆弱性・設定不備・監視不足等が原因で攻撃を受けた場合、委託先への損害賠償請求や補償交渉を検討することがあります。しかし、事故発生直後から「委託先の責任」と決めつけると、原因調査や協力関係を損なうことがあります。

まず、技術的原因と契約上の義務を分けます。フォレンジック上の侵入経路が委託先システムであっても、契約上その対策が誰の責任だったかは別問題です。逆に、原因が完全に特定できなくても、事故報告義務、ログ保存義務、バックアップ義務、再委託管理義務等の違反が独立して問題になる場合があります。

責任追及に備えて確保する資料

・契約書、個別契約、SLA、DPA、仕様書、提案書

・セキュリティ回答書、監査結果、認証書、過去の是正要請

・障害・事故通知、チケット、メール、会議議事録

・フォレンジック報告書、ログ、脆弱性情報、パッチ公開時期

・復旧費、外部専門家費、顧客対応費、売上減少等の損害資料

請求可能性を残すため、原因調査中の段階でも、契約上の通知期限や請求期限、損害拡大防止義務を確認し、必要に応じて権利を留保した通知を行います。

13　経営者・取締役の責任：サイバーセキュリティは情報システム部門だけの問題ではない

経済産業省の「サイバーセキュリティ経営ガイドラインVer.3.0」は、サイバーセキュリティ対策を経営者の責務として位置づけ、経営者がリーダーシップを取ること、サプライチェーン全体に目配りすること、平時・緊急時に社内外の関係者と積極的にコミュニケーションすることを3原則として示しています。

同ガイドラインは、サイバーセキュリティ対策を適切に講じない場合、善管注意義務違反や任務懈怠に基づく責任が問題となり得ることにも言及しています。実際の取締役責任は事案ごとの判断ですが、重大事故後には「なぜこの投資をしなかったのか」「既知の脆弱性をなぜ放置したのか」「危機対応計画はあったか」といった経営判断の過程が検証されます。

重大インシデント時に取締役会等で記録しておきたい事項

結果的に被害を完全に防げなかったことと、経営判断が不合理であったことは同じではありません。平時からリスクを把握し、合理的な対策を選択し、事故後も適切に意思決定した記録を残すことが重要です。

14　上場会社は「サイバー攻撃＝必ずTDnet」ではなく重要性で判断する

上場会社では、サイバー攻撃による損害や業務停止が投資判断に重要な影響を与える場合、適時開示の検討が必要です。東京証券取引所は、災害に起因する損害や業務遂行の過程で生じた損害等を発生事実として整理しており、重要性が認められる場合には開示対象となります。

したがって、攻撃を受けたという事実のみで機械的に開示するのではなく、サービス停止の範囲、財務影響、顧客数、復旧見通し、事業継続への影響等を踏まえて判断します。一方、調査中で損害額が確定していないことだけを理由に開示判断を先送りするのも適切ではありません。

PPCのQ&Aも、漏えい等報告の「その他参考となる事項」として、上場会社の場合の適時開示の実施状況・予定を例示しています。個人情報保護対応と証券開示を別々の部署で進めず、法務・IR・広報で情報を合わせることが重要です。

15　フォレンジック調査は「報告書をもらう」だけでは足りない

2026年1月にPPC等が公表した「不正アクセス発生時のフォレンジック調査の有効活用に向けた着眼点」は、平時のIT環境把握・ログ保管・対応フロー整備に加え、有事には適切な情報連携と封じ込め、不用意な端末初期化の回避、専門調査会社への依頼を示しています。

調査報告書を受け取った後も、その前提条件と限界を理解する必要があります。「ログが残っている期間は30日だけだった」「特定サーバは調査対象外だった」「暗号化前の通信ログが取得できなかった」といった事情があれば、「漏えいを確認できなかった」という結論の意味は変わります。

法務がフォレンジック報告書で確認したい点

16　サイバー保険：事故後すぐに通知し、勝手に費用を確定しない

サイバー保険に加入している場合、フォレンジック、法律相談、危機広報、本人通知、コールセンター、事業中断、第三者賠償等が補償対象となり得ますが、補償範囲は契約ごとに異なります。

保険契約によっては、指定ベンダーの利用、一定額以上の費用支出に対する事前承認、事故発覚後の速やかな通知等が求められることがあります。事故対応を急ぐあまり、高額な外部業者を独自に発注してから保険会社へ連絡すると、補償範囲を巡る争いが生じる可能性があります。

保険対応の初動

17　海外顧客・EU個人データがある場合は72時間ルールを別枠で管理する

EU一般データ保護規則（GDPR）が適用される場合、個人データ侵害について、原則として認識後72時間以内に監督機関へ通知する枠組みがあります。日本法の速報目安である3～5日と似ているようで、起算点・要件・報告先が異なるため、海外対応を日本の報告フローにそのまま乗せないことが重要です。

また、複数国の顧客や拠点がある場合、各国のデータブリーチ通知法、業法、契約上の通知義務が重なることがあります。インシデント対応表には「国・法令・通知先・期限・担当」を一覧化し、海外子会社や現地代理人と連携できるようにします。

18　実務対応タイムライン

このタイムラインは一例であり、業法、契約、海外法、事業継続上の緊急性によって前倒しが必要です。最も重要なのは、「誰が期限を管理するか」を事故発生後に決めないことです。

19　サイバー攻撃後の法務チェックリスト

20　よくある質問

21　まとめ

サイバー攻撃後の法的対応で最も危険なのは、「原因が分かってから報告する」「技術部門が復旧してから法務を呼ぶ」「攻撃者が悪いのだから自社責任はない」と考えることです。事故直後から、証拠保全、報告義務、契約通知、公表、顧客対応、保険、責任整理を並行して進める必要があります。

2026年は、PPCのフォレンジック調査資料やIPAのランサムウェア教訓集が公表され、10月にはサイバー対処能力強化法の官民連携部分の施行も予定されています。企業は、サイバー攻撃を単なるシステム障害ではなく、法務・経営・広報・事業継続が一体となる危機管理事案として扱うことが重要です。

平時から、報告先・通知先・契約期限・外部専門家・保険会社・警察相談窓口を一覧化し、インシデント対応訓練の中で法務判断まで確認しておくことが、被害発生後の信用・損害を左右します。

22　主要な裁判例・一次資料・公式情報

• 【裁判例】大阪高等裁判所平成19年6月21日判決（平成18年（ネ）第1704号）
• 【裁判例】東京地方裁判所令和3年8月24日判決（平成30年（ワ）第17483号）
• 個人情報保護委員会「漏えい等の対応とお役立ち資料」
• 個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」
• 個人情報保護委員会「不正アクセス発生時のフォレンジック調査の有効活用に向けた着眼点」
• 個人情報保護委員会「令和7年度個人情報保護委員会 年次報告」
• 警察庁「ランサムウェア被害防止対策」
• IPA「ランサムウェア被害から学ぶ教訓集 ～経営者のためのランサムウェア対策ハンドブック～」
• 経済産業省「サイバーセキュリティ経営ガイドライン Ver.3.0」
• 日本取引所グループ「適時開示が求められる会社情報」
• 内閣官房「サイバー対処能力強化法及び同整備法」
• EUR-Lex「General Data Protection Regulation（GDPR）Article 33・34」