2026年10月、世界中のウェブサイトで利用されているプログラム言語PHPに深刻な脆弱性が発見され、日本でも銀行、証券会社、通信会社などが相次いでオンラインサービスを停止しました。
今回の問題では、重大なサイバー攻撃を防ぐため、予防的にサービスを停止する企業が目立ちました。
しかし、仮に脆弱性を悪用され、顧客情報の流出やシステムの乗っ取りが発生した場合、企業にはどのような法的責任が生じるのでしょうか。
また、サービス停止によって顧客や取引先に損害が発生した場合、企業は賠償責任を負うのでしょうか。
サイバー事故に伴う損害賠償責任は、企業経営にとって重要なリスクの一つです。
今回は、民法、個人情報保護法、会社法などの観点から、企業が負う可能性のある責任と実務上の対応について考えます。
サイバー事故によって生じる損害
サイバー事故による損害には、さまざまな種類があります。
例えば、顧客情報が外部に流出した場合には、原因調査、被害者への連絡、問い合わせ対応、再発防止策などに費用が発生します。
システムが停止した場合には、売上機会の喪失や業務の中断による損失が生じる可能性があります。
また、取引先に対する商品やサービスの提供が遅れれば、契約上の問題に発展することも考えられます。
さらに、事故の内容によっては、企業の信用低下や顧客離れが発生する可能性もあります。
ただし、企業に損害が発生したことと、法律上の損害賠償責任が成立することは別の問題です。
損害賠償責任の有無は、契約内容、注意義務違反の有無、損害との因果関係などによって判断されます。
民法上の債務不履行責任
企業が顧客や取引先との契約に基づいてサービスを提供している場合、契約上の義務を果たせなければ債務不履行責任が問題となることがあります。
民法415条では、債務者が債務の本旨に従った履行をしない場合などに、債権者が損害賠償を請求できることを定めています。
ただし、契約その他の債務の発生原因や取引上の社会通念に照らして、債務者の責めに帰することができない事由による場合には、損害賠償責任を負わないとされています。
例えば、企業がオンラインサービスを提供する契約を締結していたにもかかわらず、重大なシステム障害によってサービスを提供できなくなった場合を考えます。
この場合、契約内容や障害の原因、企業が実施していた安全管理措置などを踏まえて、責任の有無が判断されます。
重大な脆弱性が公表されていたにもかかわらず、合理的な理由なく必要な対策を怠っていた場合には、責任が問題となる可能性があります。
一方、未知の脆弱性を悪用した高度な攻撃など、合理的な対策を尽くしても防止が困難だった場合には、責任が認められない可能性もあります。
不法行為責任が問題となる場合
契約関係がない場合でも、民法709条に基づく不法行為責任が問題となることがあります。
不法行為責任が成立するには、故意または過失による権利や法律上保護される利益の侵害、損害の発生、因果関係などが必要です。
例えば、企業が管理する個人情報が流出し、本人に損害が発生した場合には、企業の安全管理上の過失が問題となることがあります。
ただし、個人情報が流出したという事実だけで、常に損害賠償責任が成立するわけではありません。
企業がどのような情報を管理していたのか、どのような安全管理措置を講じていたのか、事故の発生を予見できたのかなどが重要になります。
また、被害者側が損害の発生や因果関係をどのように立証するかも問題となります。
サイバー事故の損害賠償では、技術的な原因分析と法律上の責任判断が密接に関係するのです。
個人情報保護法に基づく企業の義務
個人情報保護法では、個人情報取扱事業者に対して、個人データの安全管理のために必要かつ適切な措置を講じることを求めています。
また、従業者や委託先に対する必要かつ適切な監督も求められています。
例えば、顧客情報を保管するシステムについて、アクセス権限の管理や不正アクセス対策を実施することが考えられます。
ソフトウェアの脆弱性への対応も、取り扱う情報やリスクに応じて重要な安全管理措置となります。
さらに、一定の要件に該当する個人データの漏洩等が発生した場合には、個人情報保護委員会への報告や本人への通知が必要になります。
ここで注意したいのは、個人情報保護法に基づく報告義務と、民事上の損害賠償責任は異なるという点です。
報告義務が発生したからといって、直ちに損害賠償責任が成立するわけではありません。
一方、適切な安全管理措置を講じていなかった場合には、民事上の責任を判断する際にも重要な事情となる可能性があります。
サービス停止による損害は賠償対象になるのか
今回のPHP問題では、多くの企業が予防的にオンラインサービスを停止しました。
このような停止によって顧客に不利益が生じた場合、企業は損害賠償責任を負うのでしょうか。
例えば、オンラインショップが一時停止したことで、顧客が予定していた商品を購入できなかった場合を考えます。
また、金融機関のサービス停止によって、顧客が予定していた手続きを進められなかった場合も考えられます。
しかし、サービスが停止したという事実だけで、当然に損害賠償責任が成立するわけではありません。
契約上のサービス提供義務の内容、利用規約、停止の必要性、代替手段の有無、実際に発生した損害などを検討する必要があります。
重大なサイバー攻撃を防止するための合理的な停止であれば、責任が認められない場合も考えられます。
一方、必要以上に停止が長期化したり、適切な対応を怠ったりした場合には、別の評価となる可能性があります。
利用規約の免責条項は万能ではない
オンラインサービスの利用規約には、システム障害やサービス停止による損害について、企業が責任を負わないとする免責条項が設けられていることがあります。
しかし、免責条項が存在すれば、すべての損害賠償責任を免れるわけではありません。
例えば、消費者契約法では、事業者の損害賠償責任を免除する条項について一定の制限が設けられています。
事業者の故意または重大な過失による損害について、責任を免除する条項が無効となる場合があります。
また、契約内容や取引の性質によっては、免責条項の適用範囲そのものが問題となることもあります。
企業は、利用規約に免責条項を設けるだけでなく、実際の安全管理体制を整備する必要があります。
外部委託先が原因の場合の責任
企業のウェブサイトや業務システムは、外部の専門業者によって開発・運用されている場合があります。
例えば、ある企業が顧客向けの予約システムを外部業者に委託していたとします。
その委託先が古いソフトウェアを利用し、必要な更新を実施していなかったために、重大な情報漏洩が発生した場合を考えます。
この場合、委託先の契約違反や過失が問題となる可能性があります。
しかし、委託元の企業についても、顧客との契約上の義務や個人情報保護法上の委託先監督義務などが問題となる場合があります。
委託先に任せていたという理由だけで、委託元の責任が当然になくなるわけではありません。
そのため、委託契約では、ソフトウェアの更新責任、事故発生時の報告義務、損害賠償の範囲、再発防止措置などを明確にしておくことが重要です。
また、委託先の安全管理状況を定期的に確認することも必要になります。
取締役の損害賠償責任との関係
サイバー事故によって企業に多額の損害が発生した場合、取締役の責任が問題となる可能性もあります。
会社法423条では、取締役などの役員等が任務を怠ったことによって会社に損害を与えた場合、会社に対する損害賠償責任を負うことを定めています。
例えば、重大なサイバーリスクについて繰り返し報告を受けていたにもかかわらず、経営陣が合理的な理由なく必要な対策を放置していた場合を考えます。
その結果、重大な事故が発生し、企業に多額の損害が生じれば、取締役の任務懈怠が問題となる可能性があります。
ただし、事故が発生したという結果だけで、取締役の責任が認められるわけではありません。
判断当時の情報、危険性の程度、対応策の合理性、意思決定の過程などを踏まえて検討する必要があります。
重要なのは、経営陣がサイバーリスクを適切に認識し、合理的な管理体制を整備していたかという点です。
損害賠償額はどのように決まるのか
サイバー事故による損害賠償額は、事故の内容や被害の程度によって異なります。
例えば、企業の営業秘密が流出した場合には、事業上の損失が問題となる可能性があります。
個人情報が流出した場合には、情報の内容や漏洩の状況などに応じて、精神的損害に対する慰謝料が問題となることがあります。
また、システム停止によって取引先に損害が発生した場合には、契約上の責任や損害との因果関係が重要になります。
ただし、事故に関連して発生した費用のすべてが、そのまま法律上の損害賠償額として認められるわけではありません。
損害の範囲、因果関係、予見可能性などについて検討する必要があります。
そのため、企業は事故発生後の対応費用や損害の内容を適切に記録しておくことが重要です。
サイバー保険でどこまで備えられるのか
企業がサイバーリスクに備える方法の一つとして、サイバー保険があります。
サイバー保険では、契約内容に応じて、事故対応費用、原因調査費用、損害賠償費用、訴訟対応費用などが補償対象となる場合があります。
また、一定の条件のもとで、システム停止による利益損失などを補償する商品もあります。
ただし、すべてのサイバー事故が補償されるわけではありません。
保険契約には、補償限度額、免責金額、補償対象外となる事由などが定められています。
例えば、古いソフトウェアの利用や安全管理措置の不備がある場合の取り扱いについては、契約条件を確認する必要があります。
サイバー保険は、事故による経済的損失に備える手段ですが、事故そのものを防止するものではありません。
基本となる安全管理対策と組み合わせて活用することが重要です。
実務で考える損害賠償責任の事例
例えば、ある中小企業がオンラインショップを運営しているとします。
ウェブサイトは外部業者が管理しており、PHPを利用しています。
重大な脆弱性が公表されたものの、委託先からは特に連絡がありませんでした。
企業側も影響を確認せず、サービスを継続していました。
その後、脆弱性を悪用した攻撃によって顧客情報が流出したと仮定します。
この場合、まず攻撃の原因と情報漏洩の範囲を調査する必要があります。
次に、委託先が適切な更新管理を実施していたか、企業側が必要な監督を行っていたかを確認します。
さらに、顧客にどのような損害が発生したか、企業や委託先の行為と損害との間に因果関係があるかを検討します。
その結果によって、企業や委託先の損害賠償責任が問題となる可能性があります。
この事例から分かるのは、サイバー事故の法的責任を判断するうえで、平時の管理体制と事故発生後の対応記録が重要になるということです。
結論
今回のPHPの脆弱性問題は、サイバーリスクが技術的な問題にとどまらず、企業の法的責任にも関わることを示しました。
情報漏洩やサービス停止によって損害が発生した場合には、民法上の債務不履行責任や不法行為責任が問題となる可能性があります。
また、個人情報保護法に基づく安全管理義務や報告義務、会社法上の取締役の責任についても検討が必要になる場合があります。
ただし、サイバー事故が発生したという事実だけで、企業や取締役の損害賠償責任が当然に成立するわけではありません。
重要なのは、事故を予見できたか、合理的な安全管理措置を講じていたか、事故発生後に適切な対応を取ったかという点です。
今後、AIによって未知の脆弱性が次々と発見される時代には、企業がすべての事故を完全に防止することは一層難しくなる可能性があります。
だからこそ、平時からリスク管理体制を整備し、重大な問題が発生した際には迅速に対応できることが重要です。
サイバーセキュリティー対策は、情報システムを守るためだけのものではありません。
顧客の権利を守り、企業の法的責任を適切に管理し、事業の継続と信用を維持するための重要な経営課題なのです。
参考
日本経済新聞 2026年10月22日 プログラム言語「PHP」欠陥、世界でサイト停止 AIが脆弱性発見
日本経済新聞 2026年10月22日 PHP欠陥、銀行や通信でもサービス停止広がる みずほ銀など一部再開