クラウド不正アクセス、費用400万円超

・ポイント：クラウドへの不正アクセスは、情報の漏えい・消失だけで終わらず、調査・通知・復旧が同時に発生する経営事故です。

・お読みいただきたい方：作業員名簿、資格証、取引先情報、協力会社情報などをクラウドで保存・共有している建設会社の経営者

・リスクへの備え：多要素認証、利用権限の棚卸し、ログ保存、事故連絡先、委託元への報告手順、保険の対象費用を平時に確認

・この記事で分かること：①封じ込めと証拠保全、②法令・委託元への報告、③保険と自己負担の境界

ある建設会社で、海外経由と表示された接続元から業務用クラウドストレージへ不正にログインされ、保存されていた契約関係者、取引先、協力会社等の個人情報を含むファイルが外部へダウンロードされました。

会社は保険会社への事故連絡後、外部専門会社によるフォレンジック調査と危機管理対応を実施しました。侵入経路、影響を受けたアカウント、アクセスされたファイル、漏えいした可能性のある情報、対象者の範囲を整理し、該当する取引先等へ個別に通知しています。

本事例では、フォレンジック調査費用と危機管理コンサルティング費用を合わせて、400万円を超える事故対応費が発生しました。契約内容と事故状況に基づき、これらの費用は保険金の対象として整理されています。

本文中の事例は、関係者が特定されないよう、国名、クラウドサービス名、対象件数等の情報を一部調整しています。

海外のIPアドレスが表示されていても、その情報だけで攻撃者の所在地を断定することはできません。VPN、中継サーバー、侵害された別の端末などを経由している可能性があるためです。

また、クラウドサービスを利用していたこと自体が事故原因とは限りません。認証情報の流出、パスワードの使い回し、外部共有設定、管理者権限の過大付与、退職者アカウントの未削除、利用端末の感染などを切り分けて調査する必要があります。

IPAは、クラウドサービスのセキュリティについて、サービス提供事業者と利用者の双方が役割と責任を分担し、それぞれ必要な対策を実施することが重要だとしています。利用者側でも、取り扱う情報の重要度、運用ルール、サービス事業者の信頼性などを確認する必要があります。

漏えいが疑われる場合は、最初から侵入経路や影響範囲を断定してはいけません。社内責任者へ直ちに報告し、IT保守会社、外部専門家、保険会社または代理店への連絡と、被害拡大を防ぐための封じ込め・証拠保全を並行して進めます。

・不正利用が疑われるアカウント、共有リンク、外部接続の一時停止

・クラウド、端末、メール、ネットワーク機器等のログ保存

・対象端末のネットワークからの隔離

・影響を受けた情報、対象者、取引先、委託元の確認

・保険会社、外部専門家、弁護士、警察、関係先への連絡判断

実施する順序は、システム構成、被害状況、ログの保存方法などによって異なります。外部専門家や保険会社への連絡がつく前でも、被害が拡大する可能性が高い場合は、緊急の遮断や隔離が必要になることがあります。

ただし、端末の電源断、初期化、ログ削除につながる操作は独断で行いません。IPAも、被害拡大を防ぐためにネットワークの遮断、機器の隔離、サービス停止等を行う一方、不用意な電源断などによってシステム上の記録を消さないよう注意を示しています。

次に、漏えいまたは漏えいのおそれがある情報が、個人情報保護法上の個人データに該当するかを確認します。すべての情報漏えいについて、個人情報保護委員会への報告義務が一律に発生するわけではありません。

要配慮個人情報が含まれる場合、不正に利用されることにより財産的被害が生じるおそれがある場合、不正の目的をもって行われたおそれがある場合、または対象となる本人が1,000人を超える場合などは、報告対象となる可能性があります。不正アクセスによって個人データが窃取された場合だけでなく、漏えいのおそれがある場合も対象になり得ます。

報告対象に該当する場合は、事態を認識した日から概ね3～5日以内を目安に速報を行います。その後、原則として事態を認識した日から30日以内、不正の目的をもって行われたおそれがある場合は60日以内に確報を行う必要があります。本人への通知も、事態の状況に応じて速やかに行います。

発注者や元請会社から個人データの取扱いを委託されている場合は、契約上の第一報先だけでなく、法令上の報告主体も整理します。

原則として、委託元と委託先の双方が報告義務を負います。委託元と委託先が連名で報告することもできます。ただし、委託先が法令に従い、報告義務を負う委託元へ事態の発生を通知した場合は、委託先の報告義務が免除されることがあります。委託元の報告義務まで免除されるわけではありません。

調査結果が確定するまで何も連絡しないのではなく、確認済みの事実、未確定の事項、現在調査している範囲、次の報告予定を分けて第一報を行うことが重要です。

なお、本記事の個人情報保護法に関する説明は、2026年8月1日現在の現行法に基づきます。

2026年7月17日に公布された改正法には、本人の権利利益の保護に欠けるおそれが少ない場合に、本人への通知義務を緩和する内容が含まれています。ただし、改正法は現時点では未施行であり、原則として公布日から2年を超えない範囲内で施行されます。具体的な政令、委員会規則、ガイドライン等は今後整備される予定です。

保険で最初に確認すべきなのは、損害賠償金だけではなく事故対応費用です。

一般的なサイバー保険や情報漏えい賠償責任保険では、契約内容によって、フォレンジック調査費用、危機管理コンサルティング費用、弁護士相談費用、本人への通知費用、コールセンター設置費用、データやシステムの復旧費用、法律上の損害賠償金、争訟費用などが対象となることがあります。

今回の事例では、漏えい経路や対象情報を特定するためのフォレンジック調査費用と、関係者への通知方法等を検討する危機管理コンサルティング費用が、契約内容と事故状況に基づき保険金の対象として整理されました。

一方、工期遅延に伴う追加費用、通常の人件費、行政調査への社内対応費用、再発防止を目的とする全面的なシステム刷新費用、行政上の制裁金等は、保険で必ずしも対象となる費用ではありません。

PR会社や危機管理会社への相談費用は、契約により対象となることがあります。一方、信用低下そのものによる売上減少や企業価値の低下は、当然に補償対象となるものではありません。

利益損害や営業継続費用を対象とする契約であっても、対象となる事故原因、待機期間、補償期間、支払限度額などの条件を満たす必要があります。補償対象は、契約内容、特約、事故状況、免責金額、費用を支出した時期によって異なります。

日本損害保険協会も、サイバー事故によって生じる費用を、事故対応費用、損害賠償費用、利益損害・営業継続費用の3つに整理し、実際の補償内容は保険会社やプランによって異なると説明しています。

事故発覚後、保険会社への連絡前に外部専門会社へ正式発注すると、利用する専門会社、費用の必要性、金額、事前承認の有無をめぐって調整が必要になる場合があります。

緊急の遮断や隔離など、被害拡大防止のために必要な措置を優先しながら、可能な限り早く保険会社または代理店へ連絡し、利用できる専門会社、事前承認、見積書、調査報告書、支払限度額などを確認する必要があります。

執筆者の意見

この事例は、損害賠償請求が発生する前から、原因調査と通知判断のために多額の費用が発生することを意味します。

実務上は、保険に加入しているかだけでなく、事故時の連絡先、利用できる専門会社、事前承認が必要な費用、委託元への報告手順まで確認することが問われます。

弊社は、多要素認証や権限管理と、事故対応費用を対象とする保険の確認を一体で行う必要があると考えます。

実務上は、元請会社、協力会社、作業員への説明を遅らせないためにも、情報管理責任者と第一報の連絡経路を平時から決めておくことが欠かせません。
 

前田朗伸（まえだ あきのぶ）

株式会社イカリエージェンシー（1956年創業／AIG損保 AMA認定代理店）

損害保険トータルプランナー／AIG Executive Risk Manager（ERM）※AIG損保リスクマネジメント制度 最上位認定

建設業の労災・賠償・工事保険を専門に、実務15年以上。契約実績330社以上。

あわせて確認しておきたい記事

「建設会社のサイバー攻撃対策」
https://www.e-kojihoken.com/basic/column/post-48/

「建設会社が見直したい5つの下請取引NG行為」
https://www.e-kojihoken.com/basic/column/post-41/

「標準約款改正と契約書見直し」
https://www.e-kojihoken.com/basic/column/post-45/

Q1．海外からログインされていたら、個人情報漏えいは確定ですか？

A．海外のIPアドレスからのログイン履歴だけでは、個人データが外部へ取得されたと確定できません。ログイン後の操作履歴、ファイルのダウンロード履歴、共有設定、端末やクラウドのログなどを調査します。

ただし、漏えいが確定していなくても、漏えいのおそれとして法令上の報告対象となる可能性があります。不正アクセスの疑いがある段階から、早期に事故連絡と専門家への相談を行う必要があります。

Q2．多要素認証を設定すれば、不正アクセスを防げますか？

A．パスワードだけの認証と比べて、不正ログインの危険を下げる効果が期待できます。ただし、不正な承認操作、セッション情報の窃取、管理者権限の悪用、端末の感染などを完全に防げるわけではありません。

管理者アカウントの制限、退職者アカウントの削除、共有権限の見直し、ログの保存、端末やソフトウェアの更新なども併せて行います。

Q3．フォレンジック調査費用はすべて保険の対象になりますか？

A．調査費用がすべて保険の対象になるとは限りません。対象となる事故、調査の必要性、利用する専門会社、事前承認、支払限度額、免責金額などは契約によって異なります。

緊急の被害拡大防止措置を行いながら、外部専門会社へ正式に依頼する前に、保険会社または代理店へ事故を連絡し、必要な手続を確認してください。

参考

独立行政法人情報処理推進機構『中小企業のためのクラウドサービス安全利用の手引き』（2026年8月閲覧）
https://www.ipa.go.jp/security/guide/sme/ug65p90000019cbk-att/sme_guideline_v4.0_app_cloudservice.pdf

独立行政法人情報処理推進機構『中小企業のためのセキュリティインシデント対応の手引き』（2026年8月閲覧）
https://www.ipa.go.jp/security/guide/sme/ug65p90000019cbk-att/sme_guideline_v4.0_app_incidenttebiki.pdf

個人情報保護委員会『漏えい等の対応とお役立ち資料』（2026年8月閲覧）
https://www.ppc.go.jp/personalinfo/legal/leakAction/

個人情報保護委員会『委託先において個人データが漏えいしてしまった場合の対応はどのようにすればよいでしょうか。』（2026年8月閲覧）
https://www.ppc.go.jp/all_faq_index/faq3-qb3-8/

個人情報保護委員会『令和8年 改正個人情報保護法について』（2026年8月閲覧）
https://www.ppc.go.jp/personalinfo/legal/r8kaiseihogohou/

一般社団法人日本損害保険協会『サイバー保険』（2026年8月閲覧）
https://www.sonpo.or.jp/sme_insurance/cyber-hoken/

最終確認日

2026年08月01日

※本コラムに掲載している図解は、一般的な仕組みや考え方をわかりやすく説明することを目的としたイメージ図です。具体的な補償範囲、支払可否、条件等は各契約内容および事故状況等により異なります。