企業のパソコンやサーバー内のデータを暗号化し、復旧と引き換えに身代金を要求する「ランサムウェア」の被害が高止まりしています。警察庁「令和7年におけるサイバー空間をめぐる脅威の情勢等について」によれば、令和7年の被害報告226件のうち、被害組織の約6割（143件）を中小企業が占めます。「うちには重要な情報がないから狙われない」という油断は禁物です。攻撃者は、セキュリティの手薄な中小企業を「踏み台」にして取引先の大企業へ侵入したり、顧客リストそのものを人質にしたりします。近年の主流は、暗号化に加えて事前に窃取した情報の公開をちらつかせる「二重恐喝」型であり、バックアップから業務を復旧できても情報漏えいの脅威は残ります。
万が一被害に遭った場合、企業は被害者であると同時に、管理責任を問われる「加害者」の側面も持つことになります。今回は、被害発生時の企業の法的責任と、取るべき初動対応について解説します。
要点チェック：本記事のポイント
●中小企業こそ標的：被害組織の約6割が中小企業で、侵入経路の6割超はVPN機器の脆弱性です。
●身代金は支払わない：データ復旧の保証はなく、再攻撃や制裁法令上のリスクを招きます。
●迅速な初動が肝心：隔離・専門家への連絡・適正な報告が、経営陣の法的責任を最小化します。
1. サイバー攻撃を受けた企業が負う「法的責任」
個人情報や取引先の機密情報が流出した場合、「ウイルスを送りつけられて困った」では済みません。
損害賠償責任（民事上の責任）
漏えいした個人情報の本人（顧客や従業員）から慰謝料などを請求されるほか、取引先の情報が流出して取引先の事業が停止した場合には、多額の損害賠償を求められるリスクがあります。
個人情報保護法上の責任（行政上の責任）
個人データの漏えい等が発生し、又は発生したおそれがある場合、個人情報保護委員会への報告と本人への通知が義務付けられています（法26条）。ランサムウェア被害は、暗号化により内容を確認できない段階でも「漏えいのおそれ」として報告対象となり得る点に注意が必要です。報告を怠れば委員会による指導・勧告・命令の対象となり、命令に違反した場合には、行為者に1年以下の拘禁刑又は100万円以下の罰金、法人にも最大1億円以下の罰金が科され得ます（法178条、184条1項1号）。委員会への虚偽報告等にも罰則（50万円以下の罰金）が定められています。
なお、令和8年7月17日公布の改正個人情報保護法では、一定の悪質な違反行為を対象とする課徴金制度の導入が盛り込まれました（施行は公布から2年以内）。制裁は今後さらに重くなる方向にあります。
2. 身代金は支払うべきか？
被害に遭うと、「期限までに暗号資産を支払えばデータを復元するキーを渡す」といった脅迫文が表示されます。業務が停止し、「背に腹は代えられない」と支払いを考える経営者もいますが、原則として支払うべきではない、というのが弁護士としてのアドバイスです。
現行の日本法に支払いを直接禁止する規定はありませんが、理由は主に3つあります。第一に、支払ってもデータが元に戻る保証はどこにもありません。第二に、一度支払うと「金を払う企業」としてリスト化され、再攻撃の標的になります。第三に、攻撃グループが外為法に基づく資産凍結措置や米国OFACの制裁の対象に指定されている場合、支払いが外為法違反や制裁違反に問われ、銀行取引に支障が生じるおそれがあります。また、十分な検討を経ずに支払いを決断した取締役が、後に善管注意義務違反を問われる可能性も否定できません。警察庁も、身代金の支払いを推奨しない立場を一貫して示しています。
3. 情報漏えい発生時の「初動対応3ステップ」
攻撃の発覚後、以下のステップで初動対応（インシデントレスポンス）をとることが、後の法的責任を最小限に抑える鍵となります。
ステップ①：ネットワークの即時遮断（電源は切らない）
感染が確認された端末のLANケーブルを抜き、Wi-Fiを切断します。社内の他のサーバーや取引先のネットワークへの二次感染を防ぐためです。ただし、端末の電源を切るとメモリ上のデータなど調査に必要な証拠が失われることがあるため、電源は切らずにネットワークだけを遮断するのが原則です。
ステップ②：専門家（専門ベンダー・弁護士）への即時連絡
自社のIT担当者だけで解決しようとせず、サイバーセキュリティの専門調査会社（フォレンジック業者）に、侵入経路と漏えい範囲の調査を依頼します。同時に、報告義務の要否判断や取引先への説明文書の作成、サイバー保険の請求のため、企業法務に強い弁護士を早期に関与させます。所轄警察のサイバー犯罪相談窓口への相談も併せて行いましょう。
ステップ③：速やかな報告・通知（隠蔽は厳禁）
個人情報保護委員会への速報は、事態を知った時点から概ね3～5日以内に行う必要があります。確報は、ランサムウェアのように不正の目的によるおそれがある事案では60日以内が期限です。本人への通知も、事態の状況に応じて速やかに行わなければなりません。令和7年10月からは、ランサムウェア事案用の共通様式も整備されています。「企業のイメージが悪くなるから」と被害を隠蔽することが、最も致命的な結果（厳罰化、SNSでの炎上）を招きます。
まとめ：サイバー対策は経営陣の「リーガルリスク管理」です
セキュリティ対策をシステム部門任せにしている経営者は多いですが、情報漏えいが起きた際に損害賠償や説明責任を背負うのは経営陣です。適切なセキュリティ投資や体制整備を怠っていた場合、取締役が善管注意義務違反として、株主代表訴訟などで個人責任を追及されることさえあります。前掲の警察庁資料でも、調査・復旧費用が1,000万円以上の組織が5割を超え、復旧に1か月以上を要した組織も約半数に上ります。事前の備えは、決して割高な投資ではありません。
当事務所では、サイバーインシデント発生時の緊急法務対応（危機管理・当局対応サポート）はもちろん、平時における「情報セキュリティ基本規程」の策定、個人情報保護法に準拠したプライバシーポリシーの改定など、予防法務の面からも中小企業をサポートしております。不安を感じる企業様は、ぜひお早めにご相談ください。
