2026年10月、GMOインターネットグループへの大規模なサイバー攻撃を受け、企業による顧客への補償のあり方が注目されています。
GMOは10月24日、外国為替証拠金取引の自動売買サービスを利用する顧客に対し、一律5,000円の見舞金を支払うと発表しました。
さらに、今回の不正アクセスが原因と認められる金融取引上の損失については、手数料なども含めて補償する方針を示しています。
サイバー攻撃による被害は、個人情報の漏洩だけにとどまりません。
不正な金融取引、サービス停止、事業機会の喪失、信用低下など、さまざまな経済的損失につながる可能性があります。
ここで重要になるのが、誰がどこまで損害を負担するのかという問題です。
攻撃を実行した犯罪者に責任があることは当然ですが、サービスを提供していた企業にも損害賠償責任が生じるのでしょうか。
また、企業が自主的に支払う見舞金と、法律上の損害賠償にはどのような違いがあるのでしょうか。
今回は、GMO不正アクセス事件を題材に、民法、個人情報保護法、契約責任、企業会計の観点から、サイバー攻撃による損害負担の仕組みを解説します。
GMOが発表した5,000円の見舞金
GMOインターネットグループは、今回の不正アクセス事件を受けて、サービス利用者全員に一律5,000円の見舞金を支払う方針を発表しました。
同社が提供する「お名前.com デスクトップクラウド」では、2万6,739件のサーバーで顧客情報が閲覧された可能性があるとされています。
また、一部の利用者からは、身に覚えのない外国為替証拠金取引が行われたとの報告も寄せられました。
GMOは被害拡大を防止するためにサービスを停止し、利用者への補償方針を示しました。
ここで注意したいのは、5,000円という金額が法律で定められた補償基準ではないことです。
企業が支払う見舞金は、顧客への配慮や信用回復を目的として自主的に設定される場合があります。
したがって、同じような個人情報漏洩事件であっても、企業によって見舞金の有無や金額が異なることがあります。
また、見舞金の支払いによって、法律上の損害賠償責任が当然に消滅するわけではありません。
見舞金の法的な位置づけや、その後の損害賠償との関係は、支払いの際に示される条件などによって異なります。
見舞金と損害賠償は何が違うのか
見舞金と損害賠償は、似ているようで法的な性質が異なります。
見舞金は、事故や事件によって不安や不便を被った人に対して、企業が自主的に支払う金銭です。
一方、損害賠償は、法律上の責任に基づいて、発生した損害を填補するものです。
例えば、個人情報の漏洩が発生したものの、具体的な経済的損失が確認されていない場合でも、企業が見舞金を支払うことがあります。
これに対し、サイバー攻撃によって金融取引口座が不正操作され、実際に100万円の損失が生じた場合には、その損失を誰が負担するかが問題になります。
ただし、100万円の損失が発生したという事実だけで、サービス提供企業に同額の賠償義務が当然に生じるわけではありません。
企業に法律上の責任があるかどうかは、契約内容、安全管理措置、過失の有無、損害との因果関係などによって判断されます。
今回のGMOの対応では、一律5,000円の見舞金と、不正アクセスに起因すると認められる取引損失の補償が区別されています。
この違いを理解することが重要です。
民法上の損害賠償責任
サイバー攻撃による損害賠償を考える場合、民法上の責任が基本となります。
主な法的根拠として、債務不履行責任と不法行為責任があります。
民法第415条では、契約上の債務を履行しない場合などについて、一定の要件の下で損害賠償を請求できると定めています。
例えば、サービス提供企業が契約上求められる安全管理義務を果たさず、その結果として顧客に損害が生じた場合には、債務不履行責任が問題となる可能性があります。
一方、民法第709条では、故意または過失によって他人の権利や法律上保護される利益を侵害した場合の不法行為責任を定めています。
サイバー攻撃を実行した犯罪者については、不法行為責任が問題になります。
また、サービス提供企業についても、具体的な事情によっては不法行為責任が争われる可能性があります。
ただし、第三者による犯罪が発生したからといって、サービス提供企業が必ず責任を負うわけではありません。
企業がどのような安全管理措置を講じていたか、攻撃を予見できたか、被害を防止できたかなどを個別に検討する必要があります。
個人情報保護法と企業の安全管理義務
個人情報漏洩事件では、個人情報保護法も重要になります。
同法第23条では、個人情報取扱事業者に対して、個人データの漏洩、滅失、毀損を防止するために必要かつ適切な安全管理措置を講じることを求めています。
具体的には、組織的、人的、物理的、技術的な安全管理措置が重要です。
例えば、アクセス権限の適切な設定、認証情報の管理、従業員教育、不正アクセスの監視などが挙げられます。
また、一定の重大な個人データ漏洩などが発生した場合には、個人情報保護委員会への報告や本人への通知が必要になります。
ただし、個人情報保護法に違反したという事実だけで、被害者に対する一定額の損害賠償義務が自動的に発生するわけではありません。
民事上の損害賠償については、別途、責任の成立要件や損害の内容などを検討する必要があります。
企業にとっては、個人情報保護法への対応と、顧客に対する民事上の責任を区別して考えることが重要です。
不正な金融取引による損失は誰が負担するのか
今回のGMO事件では、外国為替証拠金取引の自動売買サービスが攻撃を受けたことから、金融取引上の損失が重要な問題となっています。
例えば、利用者が自動売買システムを通じて取引していたところ、第三者が不正に注文を実行し、100万円の損失が生じたとします。
この場合、最初に確認すべきなのは、不正注文がどのような経路で実行されたのかという点です。
クラウドサービスの認証情報が流出したのか、利用者自身の端末が侵害されたのか、金融機関側のシステムに問題があったのかによって、責任関係は異なります。
また、クラウドサービス事業者と金融取引業者が別の企業である場合、それぞれの契約上の義務を確認する必要があります。
さらに、利用者が認証情報をどのように管理していたかも、個別の事情として問題になる可能性があります。
ただし、利用者側に何らかの管理上の問題があったとしても、それだけで企業の責任が全面的に否定されるとは限りません。
今回、GMOは不正アクセスが原因と認められる取引損失を補償する方針を示しています。
この対応は、法的責任の最終的な判断とは別に、利用者保護と信用回復を重視した経営判断として捉えることができます。
サービス停止による損害は補償されるのか
サイバー攻撃による損害は、不正取引や情報漏洩だけではありません。
サービス停止によって発生する損害も重要です。
例えば、企業がクラウドサービスを利用して受注管理を行っていた場合、サービス停止によって注文を受け付けられなくなる可能性があります。
また、金融取引の自動売買サービスでは、システム停止によって予定していた取引が実行できなくなる場合があります。
しかし、サービスが停止したことによって生じた損失のすべてが、当然に補償対象となるわけではありません。
特に、取引できていれば得られたはずの利益については、その発生や金額を客観的に立証することが難しい場合があります。
民法第416条では、債務不履行による損害賠償の範囲について定めています。
通常生ずべき損害と、特別な事情によって生じた損害では、賠償範囲の判断が異なります。
また、クラウドサービスの利用規約に、サービス停止時の責任範囲や補償条件が定められている場合もあります。
ただし、契約上の免責条項が常に有効になるわけではなく、契約の性質や当事者の関係、消費者契約法などとの関係を検討する必要があります。
企業が負担する損害は補償金だけではない
サイバー攻撃を受けた企業には、顧客への補償以外にも多くの費用が発生します。
例えば、不正アクセスの原因調査、外部専門家への依頼、システムの復旧、セキュリティー対策の強化などです。
また、顧客への通知、問い合わせ窓口の設置、代替サービスの提供などにも費用がかかります。
さらに、サービス停止による売上減少や、顧客離れによる将来の収益への影響も考えられます。
上場企業の場合には、事件が企業価値や株価に影響する可能性もあります。
ただし、株価が下落したからといって、その下落額が企業の会計上の損失として直接計上されるわけではありません。
企業の経済的損失と、株式市場における企業価値の変動は区別する必要があります。
経営者には、直接的な事故対応費用だけでなく、中長期的な信用低下や事業への影響も踏まえた対応が求められます。
サイバー攻撃による損失の会計処理
サイバー攻撃によって企業に損失が発生した場合、会計処理も重要になります。
例えば、顧客への見舞金の支払いが確定した場合には、その内容に応じて費用や債務を認識することになります。
また、損害賠償請求を受けている場合には、将来の支払い可能性や金額の見積もりを検討する必要があります。
日本の会計基準では、将来の特定の費用または損失について、発生の可能性が高く、金額を合理的に見積もることができるなどの要件を満たす場合、引当金を計上します。
例えば、サイバー攻撃による顧客補償について、支払いが見込まれ、その金額を合理的に見積もれる場合には、引当金の計上が問題となります。
一方、損失の発生可能性や金額が不確実な場合には、偶発債務としての注記の必要性などを検討することになります。
また、システムの停止や事業環境の悪化によって、関連する固定資産の回収可能性が低下した場合には、減損会計への影響も考えられます。
ただし、サイバー攻撃が発生したという事実だけで、直ちに引当金や減損損失を計上するわけではありません。
具体的な事実関係と会計基準に基づく判断が必要です。
見舞金や損害賠償金の税務上の取り扱い
企業が支払う見舞金や損害賠償金については、法人税上の取り扱いも重要になります。
一般に、事業に関連して発生した損害賠償金などは、その内容や支出の原因に応じて損金算入の可否を判断します。
ただし、役員や従業員の行為に関連する損害賠償などについては、個別の事情による検討が必要です。
また、顧客に支払う見舞金についても、その実態や支払目的によって税務上の取り扱いが異なる可能性があります。
例えば、事故によって迷惑をかけた顧客に対し、合理的な範囲で支払う見舞金と、取引先への贈答を目的とする支出では、性質が異なります。
消費税についても、損害賠償金は原則として資産の譲渡等の対価に該当しないため、課税対象外となります。
ただし、損害賠償金という名称であっても、実質的に商品やサービスの対価に該当する場合には、課税関係が異なることがあります。
企業は支払いの名称だけで判断するのではなく、その実質に基づいて会計処理と税務処理を検討する必要があります。
サイバー保険による損害の補填
企業がサイバー攻撃による損失に備える方法として、サイバー保険があります。
サイバー保険は、不正アクセスや情報漏洩などによって生じる一定の損害や事故対応費用を補償する保険です。
契約内容によっては、原因調査費用、顧客への通知費用、損害賠償金、訴訟費用、事業中断による損失などが補償対象となる場合があります。
ただし、すべてのサイバー攻撃による損失が補償されるわけではありません。
保険契約には、補償限度額、免責金額、対象となる事故、補償対象外となる損害などが定められています。
また、国家が関与する攻撃や大規模な社会的混乱を伴う事案については、契約上の免責条項が問題となる場合もあります。
企業は、保険に加入しているという事実だけで安心するのではなく、どのような損害が補償されるのかを具体的に確認する必要があります。
サイバー保険は重要なリスク移転手段ですが、日常的な安全管理措置を代替するものではありません。
企業経営者が整備すべき補償対応体制
サイバー攻撃が発生した場合、企業は短期間で多くの判断を迫られます。
まず、被害の拡大を防止し、原因を調査する必要があります。
同時に、顧客への情報提供、監督当局への報告、警察への相談などを進めなければなりません。
さらに、損害賠償責任の有無や補償方針についても検討する必要があります。
このような対応を事故発生後に初めて検討するのでは、判断が遅れる可能性があります。
そのため、企業は平常時から事故対応の責任者や意思決定手順を明確にしておくことが重要です。
また、法務部門、経理部門、情報システム部門、広報部門などが連携できる体制も必要です。
特に、顧客への補償では、対象者の範囲、損害の確認方法、支払い基準、問い合わせ対応などを整理する必要があります。
補償方針が不明確なままでは、顧客の不安や不信感をさらに高める可能性があります。
迅速で公平な補償対応は、企業の信用回復に直結する重要な経営判断となります。
結論
GMOインターネットグループへの不正アクセス事件は、サイバー攻撃による損害を誰が負担するのかという重要な問題を浮き彫りにしました。
今回、GMOは利用者に一律5,000円の見舞金を支払い、不正アクセスに起因すると認められる金融取引上の損失を補償する方針を示しています。
しかし、見舞金と法律上の損害賠償は同じものではありません。
企業の損害賠償責任については、民法、個人情報保護法、契約内容、安全管理措置、損害との因果関係などを踏まえて判断する必要があります。
また、サイバー攻撃による企業の損失は、顧客への補償金だけではありません。
原因調査費用、システム復旧費用、事業停止による損失、信用低下など、多方面に影響が及びます。
そのため、企業経営者には、事故発生時の補償方針だけでなく、会計処理、税務処理、保険によるリスク移転まで含めた総合的な対応が求められます。
重要なのは、サイバー攻撃を受けた場合に誰が悪いのかを考えるだけでなく、被害者をどのように保護し、企業の事業継続と信用回復を実現するかという視点です。
サイバーセキュリティー対策は、情報を守るための技術的な投資であると同時に、企業の財務基盤と顧客との信頼関係を守るための経営投資でもあります。
今後、サイバー攻撃の高度化が進む中で、企業の損害賠償責任と補償制度の重要性は一段と高まっていくと考えられます。
参考
日本経済新聞 2026年10月25日 朝刊「GMO、『能動的サイバー防御』適用を政府に要請 不正アクセス問題」
日本経済新聞 2026年10月25日 朝刊「FX自動取引、トレーダー『いったん止める』 GMO不正アクセスで動揺」
日本経済新聞 2026年10月25日 朝刊「能動的サイバー防御をGMO要請 適用は政府判断、重大・緊急性考慮」
GMOインターネットグループ 2026年10月24日 不正アクセス事件に関する発表
民法 第415条 第416条 第709条
個人情報保護法 第23条