サイバー被害とは｜企業責任と初動対応を被害類型から把握

サイバー被害は、攻撃の有無だけでなく、情報漏えい等のおそれや業務停止、対外説明まで含めて判断が求められるため、経営・管理部門ほど定義と範囲の整理が欠かせません。たとえば個人データでは「本人の数が1,000人を超える漏えい等」が報告・通知判断に直結し、技術対応と法対応を並行させる場面が現実に起こります。整理が曖昧なままだと、役員会説明・取引先照会・当局相談のいずれでも判断根拠が揃わず、復旧と説明責任の両方で手戻りが生じがちです。以下では、サイバー被害の判断材料として定義・範囲と実務上の認定基準、企業影響の見立て方を示します。

サイバー被害とは何か

サイバー攻撃との違いと関係

サイバー脅威・サイバー攻撃・サイバー被害は、実務では「リスクの存在→行為の発生→結果としての損失」という因果で区別します。サイバー攻撃は、端末やサーバ等へ不正に侵入し、データの破壊・改ざん・窃取、システム停止などの損害を与える行為です。これにより、事業上の損失として顕在化したものがサイバー被害です。

法律面では、たとえば他人のパスワード等（識別符号）を用いてアクセス制御のあるコンピュータに侵入し、制限された機能を利用できる状態にする行為は「不正アクセス行為」と整理され、違法性が問題になります（不正アクセス禁止法3条。記事内では法令マーカー対象外のため法令名のみ記載）。また、企業側の管理が著しく不十分で損失を招いた場合、取締役の善管注意義務（適切なリスク管理）との関係で、会社に対する責任（会社法第423条）や第三者に対する責任（会社法第429条）が争点になり得ます。

どこまでをサイバー被害と呼ぶか

サイバー被害は、情報システム上の機能障害（サーバ停止、暗号化、改ざん等）に限られず、法対応・対外説明・契約上の責任まで含めて捉えるのが実務的です。特に個人データについては、漏えい「そのもの」だけでなく、ガイドラインがいう「おそれ」（その時点の事実関係から漏えい等が疑われるが確証がない状態）でも、追加の措置や当局相談が必要になる場面が出ます（個人情報保護委員会の個人情報保護法ガイドライン（通則編）3-5-2の考え方）。

また、個人データの漏えい等については、一定の類型に該当すると、個人情報保護法上の報告・通知が問題になります（個人情報保護法第26条）。たとえば、クレジットカード番号の漏えい等（財産的被害が生じるおそれ）や、不正の目的をもって行われたおそれのある漏えい等（サイバー攻撃による漏えい等）、本人の数が1,000人を超える漏えい等は、社内で「被害」として扱うべき典型です。

被害認定の分かれ目はどこか――不正アクセス・情報漏えい疑い・業務影響の3基準で整理する

被害認定は「技術的に起きたこと」と「法的に求められる次アクション」を結び付けて行う必要があるため、不正アクセス、情報漏えい等の疑い、業務影響の3基準で整理すると判断がブレにくくなります。

個人データの漏えい等では、報告対象類型の一つとして「本人の数が1,000人を超える」ケースが挙げられ、たとえばダイレクトメール送付リストに1,500人分の個人データが含まれていた事例では、この基準を満たすため個人情報保護委員会への報告および本人通知が義務付けられる整理になります（個人情報保護法第26条）。

サイバー被害の種類と影響

情報漏えいと個人情報流出

情報漏えいは、営業秘密、研究開発資料、取引先契約情報など「非公開情報」一般の流出を広く含みます。一方、個人情報流出（個人データの漏えい等）は、顧客・従業員等の個人データに関する漏えい等を指し、法的義務との結び付きが強い点が実務上の違いです。

個人データの漏えい等については、一定の条件を満たす場合、個人情報保護委員会への報告および本人への通知が必要です（個人情報保護法第26条）。報告対象は「漏えい等」だけでなく「おそれ」も含まれ得ること、また類型として「要配慮個人情報」「クレジットカード番号等（財産的被害のおそれ）」「不正の目的をもって行われたおそれ（サイバー攻撃・従業員持ち出し等）」「本人1,000人超」などが整理されています。

金銭被害と業務停止の実像

金銭被害は、身代金要求や不正送金といった直接損失だけでなく、調査・復旧・対外対応まで含めて膨らみます。特にランサムウェアは、データ暗号化により業務停止を起こすだけでなく、盗取したデータの暴露を示唆する二重脅迫型が広く想定され、企業は「情報流出が起こっている可能性がある」前提で、当局相談・取引先説明・顧客対応を並行せざるを得なくなります。

世界的な被害規模の予測としては、Cybersecurity Venturesの推計として、ランサムウェア被害額が2015年3億2,500万ドルから増加し、2024年420億ドル、2026年715億ドル、2031年には2,650億ドル（日本円換算で約37兆1,000億円）に達する見通しが示されています。

被害額の見落としはどこで起きるか――復旧費・逸失利益・補償費を社内で切り分ける

被害額の見落としは、「直接コスト（復旧）」だけを拾い、逸失利益や補償・対外対応費が後追いで増えることで起きがちです。特に個人データが関わる場合、個人情報保護法上の報告・通知（個人情報保護法第26条）に伴う社内外の作業が発生し、調査・広報・問い合わせ対応・委託費等が継続的に積み上がります。

サイバー被害の動向を知る

国内統計でみる被害の推移

国内では、犯罪・インシデントの双方の観点から「増加傾向」を示すデータが参照されています。たとえば警察庁の統計として、2024年のサイバー犯罪の検挙件数が1,155件（前年比155件増）で、2020年の563件と比べて約2倍に増加した、という整理があります。また、ランサムウェア被害の報告件数として2022年230件、2023年197件、2024年222件という高水準の推移が示されています。インターネットバンキングの不正送金では、2024年の被害件数4,369件、被害総額約86.9億円とされ、フィッシング起因が多い点が注意点になります。

さらに、インシデント報告の増加として、JPCERT/CCの公開情報では、2014年の受領インシデントが20,284件で、2004年の5,196件と比較して約4倍というデータが示されています。

世界の脅威認識と被害傾向

世界では、被害の高額化と「経営課題化」が並行して進んでいます。世界的な認識面では、世界経済フォーラムの報告で、サイバーセキュリティ責任者の72%が自組織のサイバーリスクが増加していると認識しているという整理があります。

被害額の見通しとしては、Cybersecurity Venturesの推計で、ランサムウェア被害額が2024年420億ドル、2028年1,570億ドル、2031年2,650億ドル（約37兆1,000億円）まで増加する予測が示され、2031年には2秒に1回どこかで被害が起きるという見立ても併記されています。経営層向けには、これらを「珍しい有事」ではなく、発生頻度と影響の双方が増している前提で、BCP・委託管理・保険・広報体制を点検する材料にすることが実務的です。

サイバー攻撃別の被害像

ランサムウェアとマルウェア被害

マルウェアは悪意あるソフトウェアの総称で、破壊・拡散・窃取・遠隔操作など目的が多様です。ランサムウェアはその一類型で、データを暗号化して利用不能にし、金銭要求を行います。近年は、暗号化に加えて事前にデータを盗み、公開をちらつかせる二重脅迫型が典型化しており、企業は「復旧」だけでなく「漏えい等のおそれ」を前提に、当局・取引先・顧客への説明準備が必要になります。

被害の位置付けとしては、暗号化という業務停止だけでなく、盗取が疑われる時点で個人データの報告・通知（個人情報保護法第26条）が論点化するため、インシデントの種類（暗号化／窃取）を早期に切り分けることが重要です。

DDoS・標的型攻撃・内部不正

DDoSはサービス妨害、標的型攻撃は特定組織の機密窃取、内部不正は正規権限の濫用というように、目的と痕跡が異なります。脅威の優先順位付けの観点では、IPA「情報セキュリティ10大脅威 2022」で、組織向け脅威の上位に「ランサムウェアによる被害」「標的型攻撃による機密情報の窃取」「サプライチェーンの弱点を悪用した攻撃」「内部不正による情報漏えい」「ビジネスメール詐欺による金銭被害」等が挙げられており、経営・管理部門が守るべき対象（業務停止・情報・送金）を整理するのに有用です。

メール起点かVPN起点かで初動はどう変わるか――侵入口別に止めるべきアカウントと端末

侵入口がメールかVPN等の外部接続かで、初動で止めるべき範囲が変わります。メール起点では、感染端末の隔離や当該ユーザーの認証情報のリセットが中心になります。一方、VPN起点では、侵入後に認証基盤やファイルサーバへ横展開している可能性が高いため、VPNアカウント停止やセッション無効化、管理者アカウントの一斉対処、場合により接続自体の停止まで視野に入ります。

加えて、侵入口対策としては「脆弱性対策と認証強化」が明示されており、VPN・OS・外部公開サーバの脆弱性情報に注視して緩和策や修正パッチを迅速適用すること、パッチ適用後でも認証情報窃取で侵入され得るため可能な限り多要素認証を取り入れることが、実務上の基本線になります。

サプライチェーン被害と責任

攻撃者の目的と加害者化リスク

攻撃者は、最終標的（大企業や重要インフラ）に直接当たるのではなく、委託先・子会社・取引先など「つながり」を悪用して侵入することがあります。この場合、当初侵入された企業は被害者であると同時に、踏み台化により他社へ被害を波及させる加害者化リスクを負います。

実務で問題になりやすいのは、取引先から「いつ被害に遭ったのか」「原因は何か」「どの情報が漏れた可能性があるのか」「あなたの会社から来るメールは安全と言えるのか、その根拠は何か」といった具体的な照会が一気に来る点です。ここで説明が崩れると、損害賠償だけでなく、監査強化・契約解除・取引停止に直結します。

委託先経由の被害と契約管理

委託先経由の漏えい等は、委託元が「自社は直接侵害されていない」だけでは整理できません。個人データの取扱いを委託している場合、委託先で漏えい等（またはおそれ）が生じれば、委託元としても個人情報保護法上の報告・通知（個人情報保護法第26条）や、顧客・取引先への説明が必要になります。

契約管理では、平時から「何を守らせ、何を報告させ、証跡をどう残すか」を条項と運用で固定します。

委託元・委託先・グループ会社で責任の見え方はどう違うか――説明先と証跡の持ち方

同じインシデントでも、立場により説明先と求められる証跡が異なります。委託元は、顧客・取引先・個人情報保護委員会への説明の主体となりやすく、委託先の選定・監督を適切に行っていたことの証跡が重要です。委託先は、技術的原因と事実経過（侵入経路、影響範囲、ログの整合）を説明する責任が重くなります。グループ会社では、親会社が統一基準と報告フローを機能させた証跡が問われます。

また、営業秘密等を含むデータが盗まれた場合に、簡単な管理用パスワードの放置など管理不備が重いと評価されると、取締役の任務懈怠として会社に対する責任（会社法第423条）や第三者に対する責任（会社法第429条）が問題になり得る、という法的構図も押さえておく必要があります。

サイバー被害への対応策

初動対応とインシデント対応体制

初動では、被害拡大を止める「封じ込め」と、後日の説明責任に耐える「証跡保全」を同時に成立させる必要があります。特に不正アクセスやフィッシング等で警察への届出を検討する場合、被害特定に至った状況、被害内容、ログイン履歴・アクセスログ、ログ解析結果報告書等が提出物として整理されており、ログが残っていない／改ざん疑いがある状態は致命的です。

体制面では、インシデント分析、オンサイト対応支援、遠隔支援、対応調整（関係者調整）といった「インシデントハンドリング」の作業を、発生後に初めて組み立てると漏れが出ます。経営・法務・広報を含む役割分担、連絡先、外部支援の呼び方を、CSIRT等の枠組みで事前に文書化しておくことが実務上の前提になります。

組織的対策と中小企業の重点

中小企業では、すべてを高度化するより「侵入口の基本対策」と「報告・停止の運用」を優先した方が効果が出やすいです。参照されている対策観点として、攻撃者は脆弱性のあるVPN・OS・外部公開サーバを足掛かりにしやすいため、脆弱性情報に注視し、緩和策や修正パッチを迅速に適用できる運用を持つことが重要です。また、パッチ適用だけでは認証情報窃取による侵入が残るため、可能な限り多要素認証を取り入れることが推奨されています。

発生から24時間で誰が何を決めるか――経営層・法務・情シス・広報の役割分担

最初の24時間は、技術対応だけでなく、法的義務・対外説明・取引先対応の「筋」を同時に作る時間帯です。特に個人データが関係する場合、漏えい等やそのおそれの評価に基づき、個人情報保護委員会への報告および本人通知（個人情報保護法第26条）の要否を早期に整理します。

よくある質問

サイバー被害と情報漏えい事故はどう違うのですか

サイバー被害は、不正アクセス、ランサムウェアによる暗号化、DDoS等による停止、金銭被害、レピュテーション毀損などを含む「結果としての損失」全般を指します。情報漏えい事故は、そのうち「情報が外部に漏れた（または漏えい等のおそれがある）」局面に焦点を当てた概念です。

実務上は、個人データが関係すると、漏えい等（およびおそれ）について報告・通知義務が問題になります（個人情報保護法第26条）。また、報告対象類型として、クレジットカード番号の漏えい等（財産的被害のおそれ）、不正の目的をもって行われたおそれのある漏えい等（サイバー攻撃や従業員持ち出し等）、本人1,000人超などが整理されています。

サイバー被害が発生したとき、まずどこに相談すべきでしょうか

相談先は「技術」「犯罪」「個人データ」の3系統に分けて準備すると迷いにくいです。インシデント相談・報告の窓口としては、IPAやJPCERT/CCが挙げられ、IPAには標的型攻撃対応支援を目的としたサイバーレスキュー隊（J-CRAT）や、標的型攻撃メールと思われるメールを受信した際の特別相談窓口があると整理されています。

犯罪性が明確な場合（不正アクセスやフィッシング等）は、都道府県警察のサイバー犯罪相談窓口への相談が実務的です。届出を見据える場合、被疑者（不詳を含む）、被害特定に至った状況、被害内容、Webサイトやサーバのログイン履歴・アクセスログ、ログ解析報告書等が必要資料として整理されています。

中小企業でも狙われるサイバー被害の典型パターンはありますか

典型は、サプライチェーン上の弱点を狙う攻撃と、ランサムウェア等の侵入・暗号化です。IPA「情報セキュリティ10大脅威 2022」でも、組織向け脅威として「サプライチェーンの弱点を悪用した攻撃」や「ランサムウェアによる被害」「ビジネスメール詐欺による金銭被害」等が上位に挙げられています。

また、不正アクセスは「他人の識別符号（パスワード等）を入力してアクセス制御を突破する」形で成立し得るため、推測されやすい簡単なパスワード（例として「password」）の放置は、侵入の現実的リスクになります。侵入後は二重脅迫型ランサムウェア等により、暗号化と窃取が同時に進む前提で、漏えい等のおそれ評価と封じ込めを並行する必要があります。

クラウドサービスを利用していればサイバー被害リスクは下がるのでしょうか

クラウドは、事業者側の基盤セキュリティを活用できる一方、利用企業側の設定・運用が原因で侵害される余地が残ります。実務では、クラウド上でも認証情報窃取による侵入が起こり得るため、可能な限り多要素認証を取り入れ、管理者権限の統制とログ監視を継続することが重要です。

また、漏えい等やそのおそれが生じた場合には、オンプレミスかクラウドかにかかわらず、個人データであれば報告・通知（個人情報保護法第26条）の要否判断が必要になります。クラウド利用時は、委託・再委託の構造になりやすいため、委託先管理（報告義務、ログ保全、調査協力）を契約と運用で担保しておくことが、リスク低減に直結します。

まとめ：サイバー被害への対応で次にすべきこと

サイバー被害は「攻撃という行為」ではなく「結果としての損失」であり、技術的事実と法的に求められる次アクションを結び付けて整理することが、経営・管理部門の起点になります。実務では、不正アクセスの痕跡、情報漏えい等の疑い（おそれを含む）、業務影響の3基準で認定し、個人データであれば「本人の数が1,000人を超える漏えい等」などの類型に照らして報告・通知（個人情報保護法第26条）の要否を早期に切り分けます。次のアクションとしては、初動で封じ込めと証跡保全（ログイン履歴・アクセスログ等）を同時に回し、24時間以内に情シス・法務・広報・経営層で判断事項（隔離範囲、通知方針、公表統制、予算措置）を揃えることが重要です。加えて、委託先・グループ会社を含む場合は、説明先と証跡の持ち方を平時から契約・運用に落とし込み、取引先照会に耐える前提を作ります。個別案件の評価は事実関係で結論が変わるため、必要に応じて技術支援や法務の専門家に相談しながら進めてください。

Baseconnect株式会社
サイト運営会社

本メディアは、「企業が経営リスクを正しく知り、素早く動けるように」という想いから、Baseconnect株式会社が運営しています。

当社は、日本最大級の法人データベース「Musubu」において国内1200万件超の企業情報を掲げ、企業の変化の兆しを捉える情報基盤を整備しています。

加えて、与信管理・コンプライアンスチェック・法人確認を支援する「Riskdog」では、年間20億件のリスク情報をAI処理、日々4000以上のニュース媒体を自動取得、1.8億件のデータベース等を活用し、取引先の倒産・不正等の兆候の早期把握を支援しています。

運営会社情報ページへ