【弁護士解説】サイバー攻撃への対応は？EC企業の初動・情報漏えい対応と予防策

サイバー攻撃への対応について、EC企業の経営者や担当者の方は、次のような疑問やお悩みをお持ちではないでしょうか。

「自社のECサイトに不正アクセスの形跡が見つかった。まず誰に連絡し、何を確認すればよいのだろうか？」

「受注管理の委託先から、顧客情報が漏えいした可能性があると連絡が来た。販売元の当社からも、行政への報告やお客様への通知が必要だろうか？」

「出荷の見通しが立たない。すでに代金を支払ったお客様にどう説明し、キャンセルや返金の希望にどう応じればよいのか？」

「被害に備えて、委託先との契約や社内の対応手順には、何を定めておけばよいのだろうか？」

EC事業では、自社サイトが正常に表示されていても、委託先の受注管理システムや物流システムが攻撃を受けると、注文を受け付けたまま商品を出荷できなくなることがあります。注文情報が流出すれば、実際の注文番号を使って店舗を装い、購入者を偽の返金手続に誘導する二次被害も懸念されます。

こうした場面では、技術担当者や委託先と連携して被害の拡大を防ぎ、調査に必要な記録を保全します。その間にも、EC企業には、新たな受注を続けるか、どのお客様に何を伝えるか、現時点で判明している事実をもとに判断することが求められます。

この記事では、サイバー攻撃を受けた際の初動対応を5つのステップに分けて解説し、加えて、個人情報保護委員会への報告、顧客への通知・公表、委託先との役割分担、出荷停止時の返金対応、平時から整えておきたい予防策について、EC専門の企業弁護士が解説します。

この記事の解説者

弁護士 小野 智博（おの ともひろ）

弁護士法人ファースト＆タンデムスプリント法律事務所　代表弁護士

ECビジネス・Web 通販事業の法務を強みとし、EC事業立上げ・利用規約等作成・規制対応・販売促進・越境ECなどを一貫して支援する「EC・通販法務サービス」を運営している。EC企業からの相談に、法務にとどまらずビジネス目線でアドバイスを行っている。
著書「60分でわかる！ECビジネスのための法律 超入門」

サイバー攻撃を受けたら？まず行う初動対応の5ステップ

① 責任者を決め、経営・IT・法務・顧客対応の連絡体制をつくる

異常を発見した担当者は、発覚時刻と異常の内容を経営者・情報システム担当者に報告します。経営者は初動対応を取りまとめる責任者を決め、受注停止・公表・再開を誰が決定するかを関係者に伝えます。社内メールへの侵入も疑われる場合は、電話など、安全を確認できる手段で連絡を取ります。

② 被害の拡大を防ぎ、③ 調査に必要な証拠を保全する

技術担当者は委託先や専門業者と連携し、影響が疑われる端末の隔離や、外部サービスとの連携停止を検討します。委託先が管理するシステムであれば、対象期間のアクセスログや操作履歴を保存するよう、早い段階で依頼しましょう。

不審なメールや警告画面も調査の手掛かりです。端末の再起動・初期化やファイルの削除によって記録が失われることがあるため、操作は技術担当者の指示に従います。実施した措置は「いつ、誰が、何をしたか」が後から分かるように記録します。

④ 影響範囲を調べ、⑤ 報告・顧客対応・復旧の方針を決める

まず、影響を受けた可能性のある顧客情報・注文情報・決済関連情報を確認します。業務面では、受注・在庫・出荷のどこで支障が生じ、どの注文に個別の案内が必要かを整理します。

個人データの漏えいは、そのおそれがある段階でも行政への報告や本人通知が必要になる場合があります。法務担当者や弁護士とともに、判明した事実をもとに要否と時期を判断しましょう。購入者に偽の返金メールが届いている場合は、調査と並行して正規の問い合わせ窓口を案内します。再開は、技術担当者が安全性を確認し、EC担当者が注文と出荷の状況を照合したうえで判断します。

EC企業の初動対応チェック表

確認事項	主担当	決定・記録する事項
① 社内の連絡体制	経営者	対応責任者、停止・公表・再開の決定者
② 被害が広がる経路	IT担当・委託先	隔離する端末、停止する機能・連携
③ 調査に必要な記録	IT担当・発見者	保存するログ・メール、措置の実施時刻
④ 情報と業務への影響	EC担当・IT担当	対象となるデータ、注文、出荷への影響
⑤ 社外対応と復旧	対応責任者・法務・顧客対応	報告・通知の要否と時期、顧客への案内、再開条件

 

EC企業に生じる被害と、実際のサイバー攻撃事例

ランサムウェア・不正アクセス・DDoS攻撃で起こること

ランサムウェア攻撃では、データが暗号化されて受注・出荷業務が止まり、顧客情報も盗まれることがあります。不正アクセスでは、第三者が管理画面やサーバーに侵入し、注文情報を持ち出す被害などが生じます。DDoS攻撃では、多数の端末から通信が集中し、購入者がサイトを開けず、注文できなくなることがあります。

公表事例から見る販売停止と情報漏えいへの対応

攻撃を受けた企業・サービス	事業への影響	企業が公表した対応	自社で確認したいこと
アスクルの物流システム等（2025年10月発生）	ランサムウェアにより物流センターの出荷が止まり、顧客・取引先の情報も流出。	外部専門機関と被害を調査し、対象の顧客・取引先に個別通知。	倉庫との連携が止まったとき、未出荷の注文を特定できるか。
Eストアー「ショップサーブ」（2026年10月に最終報）	不正アクセスで購入者・会員情報等が漏えい。過去の利用店舗を含む7,858店が対象。	対象者への通知や関係機関への報告を行い、脆弱性の修正などの再発防止策を公表。	利用を終了したサービスに、どの顧客情報が残っているか。
受注管理システム「WASABI SWITCH」（2026年10月公表）	注文情報等が流出し、店舗を装った偽の返金メールを確認。	店舗ごとに調査結果を案内し、購入者に不審な連絡への注意を呼びかけた。	購入者が返金案内の真偽を確かめられる窓口があるか。

注文情報を悪用した偽の返金案内にどう備えるか

購入者にとって、自分の氏名や注文番号が書かれたメールは、本物に見えやすいものです。実際に、返金を口実にLINEへ誘導し、カード情報の入力を求める手口が確認されています。

店舗の公式サイトやモールの店舗ページには、正規の返金手順と問い合わせ先を掲載しましょう。顧客対応担当者も同じ案内を使い、不審なメールを受け取った方には、メール内のリンクを開かず、購入履歴から店舗に問い合わせる方法を伝えます。システムの復旧後も、不審な連絡の報告を受け付け、新たな手口が分かれば注意喚起を更新します。

 

情報漏えいが疑われる場合の報告・本人通知・公表への対応

個人情報保護委員会への報告が必要となる場合と期限

個人情報保護法第26条に基づき、個人データの漏えい・滅失・毀損が発生し、または発生したおそれがあり、次のいずれかに該当する場合は、原則として個人情報保護委員会に報告します。

①　病歴などの要配慮個人情報を含む場合
②　クレジットカード番号など、不正利用により財産的被害が生じるおそれのあるデータを含む場合
③　不正アクセスなど、不正な目的で行われたおそれのある行為による場合
④　対象となる本人の数が1,000人を超える場合

例えば、不正アクセスにより顧客の氏名・住所を含む注文情報が盗まれたおそれがあれば、対象が数人でも③に該当し得ます。速報は、社内のいずれかの部署が報告対象となる事態を知った後、速やかに行います。目安は概ね3～5日以内です。 確報の期限は、同じ事態を知った日から原則30日以内、③の場合は60日以内です。業種によっては、権限の委任を受けた所管省庁等に報告します。

顧客への通知・注意喚起には何を書くか

報告対象となる場合、影響を受けたご本人にも、状況に応じて速やかに通知します。通知には、事案の概要、対象となる情報、判明している原因、二次被害の有無やおそれを記載します。調査中の事項はその旨を示し、お客様が取れる対策と正規の問い合わせ先を添えましょう。

ECモール経由の注文でメールアドレスを取得していない場合は、モールのメッセージ機能や郵送など、本人に直接知らせる方法を検討します。個別通知が困難な場合は、本人の権利利益を守るために必要な代替措置を講じることが条件です。例えば、事案と問い合わせ窓口を公表し、お客様がご自身の情報が対象かどうかを確認できるようにします。

ウェブサイトでの公表・記者会見・取引先への連絡をどう判断するか

偽の返金メールが広く出回っている場合は、対象者への個別通知と並行して、公式サイトやモールの店舗ページにも注意喚起を掲載すると、購入者が正規の案内を確認できます。記者会見を開くかは、影響を受ける範囲、出荷停止の見通し、二次被害のおそれ、広く説明する必要性を踏まえて判断します。公表前に承認者と次の更新時期を決め、攻撃に悪用され得る技術情報の開示範囲も確認しましょう。

対応	伝える相手	目的	判断すること
行政への報告	個人情報保護委員会等	法令に基づく報告	対象類型、知った日、速報・確報の期限
本人通知	影響を受けた顧客本人	本人の権利利益の保護	いつ、どの手段で届けるか
一般公表	購入者・サイト利用者等	二次被害の防止、事業への影響の説明	公表先、内容、更新時期
取引先への連絡	モール運営者、決済・物流会社等	契約上の通知、業務の調整	契約上の連絡期限、影響する注文、対応分担

越境ECで海外の顧客が含まれる場合は、対象となる国・地域についても、適用法と追加の報告・通知の要否を個別に確認します。

 

委託先がサイバー攻撃を受けた場合、自社はどう対応するか

委託先での事故でも、委託元の報告・本人通知が必要になる

個人データの取扱いを委託し、そのデータについて法令上の報告対象となる漏えい等が生じた場合、原則として委託元・委託先の双方が報告・本人通知の義務を負います。委員会への報告は、両社の連名で行うこともできます。

一方、委託先が、報告義務を負う委託元に対し、所定の事項のうちその時点で把握している内容を速やかに通知した場合は、委託先の報告・本人通知義務が免除されます。この場合、報告と本人通知を担うのは委託元です。 クラウドサービスでは、提供会社が個人データを取り扱う契約・運用かどうかで整理が変わります。利用企業が報告義務を負い、提出を提供会社に代行させる場合もあります。

委託先に確認すべき情報を整理する

委託先から受け取った一覧が注文単位であれば、同じお客様の複数注文が含まれます。自社の注文履歴と照合し、対象の注文件数とお客様の人数を分けて把握しましょう。

確認項目	委託先と確認する内容
対象情報と人数	発生・発覚日時、対象期間、該当する店舗・注文、流出した可能性のある情報
対応の分担	報告の名義、本人通知の送信者、購入者からの問い合わせ窓口
期限と記録	速報・確報の提出担当と期限、提出後に共有する報告書の控え・受付番号
調査と再開	侵入経路の遮断状況、次の調査結果が届く日時、安全に連携を再開できると判断した根拠
契約と費用	調査・通知・問い合わせ対応を誰が手配し、当面の費用を誰が支払うか

責任・費用負担は契約と実際の管理状況から検討する

委託先に調査費用や顧客通知費用を請求できるかは、契約で定めた安全管理、事故通知、調査協力、再委託の条件と、両社が実際に講じた措置を照らして判断します。損害賠償の対象や責任上限、免責条項も確認しましょう。

費用の分担に協議を要する間も、お客様への注意喚起や期限のある報告は進めます。後から負担額を協議できるよう、各社への依頼内容、作業記録、請求書を保管しておきましょう。

購入者が入力したカード情報は、委託契約の「秘密情報」に含まれますか？

受注システムから顧客のカード情報が流出した実際の裁判で、この点が争われました。委託契約には「クレジットカード番号」が明記され、秘密保持義務に違反した場合は、損害賠償額に上限を設けない規定もありました。ところが、この契約が保護するのは、原則として、契約当事者の一方が相手方に開示し、秘密であると明示した情報でした。裁判所は、購入者が入力したカード情報はその条件を満たさず、秘密保持義務違反に関する規定は適用されないと判断しました。この事案では、別途、システム会社のセキュリティ対策に重大な過失が認められたため、最終的に賠償額の上限は適用されませんでした（東京地裁平成26年1月23日判決）。

自社の契約書でも、まず「秘密情報の定義」と「損害賠償」の条項を並べて読んでみてください。購入者がフォームに直接入力する情報や、モールから自動で取り込む注文データまで対象に入るでしょうか。 また、それらが流出したとき、原因調査や顧客への通知にかかる費用を誰が負担するか、契約書から読み取れるでしょうか。

判断に迷う場合は、委託契約書とあわせて、「お客様がどの画面に入力し、どの会社のシステムに保存されるか」をお知らせください。弁護士法人ファースト&タンデムスプリント法律事務所では、実際のデータの流れに沿って、見直すべき条項と委託先に確認すべき事項を整理します。下記のバナーから、ECシステムの委託契約・情報漏えい時の費用負担について相談できます。

 

出荷停止・返金・損害賠償・対応費用をどう整理するか

受注済みの注文と新規受注を分けて判断する

受注済みの注文は、注文番号ごとに決済記録と倉庫の出荷記録を照合します。別の倉庫から発送できる注文には代替の配送日を案内し、見通しが立たない注文には、次に状況をお知らせする日時とキャンセルの窓口を伝えます。顧客への連絡履歴と返金の処理状況を同じ一覧に残すと、二重返金や返金漏れを防げます。

新規注文については、自社サイトと各モールの商品ページ、注文の最終確認画面、広告の「翌日お届け」などの表示を点検します。実際に守れる納期に更新し、引渡時期を示せない商品は注文受付や広告配信を一時停止します。

返金・損害賠償・任意のお詫びを区別する

項目	顧客対応での判断
代金の返金	未出荷の商品について契約が解除された場合は、受領済みの代金を返還します。返金方法と処理予定日を案内します。
損害賠償	買い直しの差額などを請求された場合は、納期を守れなかったことについて販売元に責任があるか、遅延によってどのような損害が生じたかを確認します。
任意のお詫び	お詫びとしてポイントやクーポンを提供する場合は、対象者と付与基準を社内で統一します。

問い合わせ窓口には、担当者がその場で案内できる返金手順と、責任者に引き継ぐ賠償請求の基準を共有しておきましょう。

調査・復旧・顧客対応の費用とサイバー保険を確認する

調査・システム復旧、法律相談、顧客への通知、代替倉庫からの出荷にかかった費用は、項目ごとに発注内容と請求書を保管します。休業による利益減少は別に集計します。

サイバー保険に加入している場合は、初動と並行して事故を連絡し、調査会社へ発注する前に、業者の指定や支出の事前承認が必要かを確認しましょう。事故の通知期限、自己負担額、支払限度額、休業損失を補償する特約の有無も確認すると、自社が当面負担する金額を見積もりやすくなります。

 

サイバー攻撃に備える予防策と、復旧・再発防止の進め方

技術担当者と確認するアクセス管理・更新・バックアップ

まず、自社と委託先の誰が受注管理画面に入れるかを点検します。管理者には多要素認証を設定し、担当者の権限は業務に必要な範囲に絞ります。退職者や契約を終えた委託先のアカウントが残っていないか、システムの更新やアクセス記録の保存・監視を誰が担うかも確認しましょう。

バックアップの一部は稼働中のシステムから切り離して保管し、定期的に復元を試します。前夜のデータに戻す想定なら、翌朝から停止時刻までに入った注文を、モールや決済会社の記録と照合できるかまで確かめます。

委託契約・事故対応マニュアル・顧客向けの案内を整える

委託契約には、不正アクセスを疑った段階での連絡先と第一報の期限、ログの保全・調査への協力、再委託先で事故が起きた場合の連絡経路、費用負担を定めます。社内では、休日に連絡を受けた担当者でも動けるよう、受注停止・公表・再開の決定者とその代理者を決めておきます。顧客への第一報やFAQのひな形も、同じ手順書から参照できるようにしましょう。

安全を確認して段階的に再開し、訓練で手順を見直す

再開前には、技術担当者が侵入経路を遮断できたかを評価し、不正なアカウントの有無や、侵害された認証情報の更新を確認します。EC担当者は、復元した注文を決済・倉庫の記録と照合し、二重出荷や出荷漏れを防ぎます。責任者は双方の結果を踏まえて再開する業務を決め、再開後も異常な通信や注文処理を監視します。

平時の訓練には、「セール期間中の金曜夜に倉庫との連携が止まった」といった自社で起こり得る場面を使います。代替手順で出荷できる注文を特定し、お客様に次の案内時刻を伝えるところまで試せば、連絡が途切れる箇所や判断に迷う箇所が分かります。見つかった課題には担当者と改善期限を決め、次の訓練で改善を確かめましょう。

 

サイバー攻撃への対応でよくある質問

Q1．情報漏えいが確定していなくても相談すべきですか？

はい。不審なログインや委託先からの事故連絡があれば、その段階で相談できます。最初に異常に気づいた日時、影響が疑われる情報やサービス、すでに取った措置を時系列で伝えましょう。委託先から届いた第一報も残しておくと、次に確認すべき事項を整理しやすくなります。

Q2．漏えいした人数が少なくても、行政への報告は必要ですか？

必要になる場合があります。例えば、不正アクセスによって顧客の氏名・住所を含む注文データが盗まれたおそれがあれば、対象が数人でも報告対象になり得ます。人数と併せて、どの情報に、どのような経緯で漏えいのおそれが生じたかを確認してください。報告の要件と期限は、前掲の「情報漏えいが疑われる場合の報告・本人通知・公表への対応」で解説しています。

Q3．システム会社に調査を依頼していても、弁護士に相談する必要はありますか？

顧客への通知や補償、委託先との責任分担に迷うときは、技術調査と並行して弁護士に相談するとよいでしょう。例えば、どの注文データにアクセスされた可能性があるかはシステム会社が調べ、その結果を踏まえて、誰に、いつ、どのような文面で知らせるかを弁護士と検討できます。

 

サイバー攻撃への対応についてのお悩み、リスク、課題は解決できます

 

しかも、頼りになる専門家と一緒に解決できます！

 

※本稿の記載内容は、2026年11月現在の法令・情報等に基づいています。
本稿は一般的な情報提供であり、法的助言ではありません。正確な情報を掲載するよう努めておりますが、内容について保証するものではありません。個別のケースについては、被害の状況や契約内容に応じてご相談ください。