クラウド事業者がランサムウェア被害に。EUの報告ルールと、自社のバックアップの確かめ方

クラウドに予約や請求のデータを預けている、中小企業・団体の担当者に向けた記事です。事業者がサイバー攻撃を受けたとき、自社のデータを戻せるかを扱います。答えは、規約の確認と、戻す試験の手順です。

例えば水曜の朝、いつものクラウドのサーバーが開かない。事業者のお知らせには「データの取り出しや復元が困難な見通し」とある。2026年10月、国内のクラウド事業者がランサムウェア（データを暗号化して身代金を求める攻撃）を受け、495の企業や自治体に影響が出ました。事業者は翌日、「データの復元はお客さま自身が保持しているバックアップデータからのみ可能」と発表しました。

事業者の側で戻せないことがある理由と、海外の報告ルールとの違いを見たうえで、自社のコピーを確かめる5つの手順を紹介します。

何が起きたか。事業者の中で戻せたのは10社のうち4社ほど

結論は次のとおりです。事業者が被害を受けても、データを戻せるかは、最後は自社が事業者の外に置いたコピー次第です。

経過は、事業者の公式発表で追えます。2026年10月7日午前3時40分ごろに障害が起き、原因は第三者からの不正アクセスでした（第1報）。同じ日の第2報で、原因はランサムウェアと発表されました。

影響を受けたのは、このクラウドを契約している495の企業や自治体です。事業者はネットワークを遮断し、システムを止めました。対象は東日本の1つの区域の一部で、4つのゾーン（サーバーを置く区画）でした（第3報、10月8日）。

第3報には「データについては、取り出しや復元が困難な見通し」とあります。続けて「データの復元はお客さま自身が保持しているバックアップデータからのみ可能」としました。ほかの区域の利用者にも、自分でバックアップを取るよう呼びかけています。

その後、見方が改められます。10月14日の第5報は「困難と見込んでおりましたが」と書き、スナップショット（ある時点の状態をまるごと写し取る機能）を使っていた会社は取り出せると発表しました。10月27日の第7報は、データを取り出せる顧客を206社（10月20日時点）としています。

495のうち206は約4割です（公表された数字からの計算）。10社のうち4社ほどは、事業者の側でデータを取り出せたことになります。残りの6社ほどは、自社のコピーがなければ戻せない可能性があります。

この記事のゴールは、自社のデータがどこにあるかを、次の3つに分けて言えるようにすることです。

①と②は、どちらも同じ事業者のサービスの中にあります。

注：①の停止と②の再開は10月18日時点（第6報）。出所：国内のクラウド事業者の公式発表（第3・5・6・7報）、同社のスナップショットとバックアップの説明ページ（2026-11-03閲覧）。

では、なぜ事業者の中のコピーまで危うくなるのか。攻撃の流れを見ます。

攻撃はどこから入ったか。事業者と利用者の責任の境目

今回の侵入は、利用者の設定ミスではなく、事業者の管理部分から始まりました。10月27日の第7報が、調査の結果として次の流れを示しています。

1. 利用者向けの管理画面（ポータル）の認証の仕組みで、オープンソースソフト（公開されていて誰でも使えるソフト）の脆弱性（弱点）が悪用されました。ソフト名は公表されていません。
2. 攻撃者は、管理コンソール（事業者がサーバー全体を操作する画面）へ進みました。
3. 仮想化基盤（1台の機械の上で多くの仮想サーバーを動かす土台）の管理者権限を奪いました。
4. 仮想サーバーを止めて、暗号化しました。

分かれ目は3つ目の段階です。管理の権限が集まる中心を握られると、そこに載る多くの利用者が一度に被害を受けます。①のスナップショットも同じ事業者の中にあり、事故のあとは機能の停止が続きました（第6報）。

被害の内訳も第7報で更新されました。管理画面の登録情報が不正に照会されたのは最大71社です。個人名などを含むものは最大31社（31件）、パスワードの不正な変更は最大4件でした。事業者は攻撃者と接触しておらず、身代金の支払いや交渉は一切していないとしています。

この事業者の規約では、データの保管は利用者の受け持ちです。

出所：国内のクラウド事業者のサービス提供条件（2026-11-03閲覧）、第7報（2026-10-27）。

同じ条件には、データの改ざん・削除・滅失などによる損害について「一切その賠償責任を負わない」とも書かれています。これはこの事業者の規約の内容で、ほかの事業者も同じとは限りません。

バックアップの機能にも、この線引きが表れています。スナップショットは物理的に別の筐体に保存されますが、事業者は「一時保存として」使う機能と書いています。有料のバックアップサービスは別の拠点に保存し、書き換えできない保存（イミュータブル）も選べます。

つまりこの事業者の契約では、別の場所への保存は、利用者が自分で選んで手配するものです。海外では、こうした事故を事業者がどう報告するかを法律で決めています。違いを見ます。

EU・英国・米国の報告ルールと日本の違い

EU・英国・米国の制度が事業者に求めているのは、当局への報告です。EUと英国は、顧客への通知も求めています。ただし、利用者のデータを戻す責任までは事業者に負わせていません。

EU：24時間・72時間・1か月の3段階

EUでは、NIS2指令が対象の事業者に報告を求めています。指令第23条は、報告を基本の3段階に分けています。重大なインシデント（事故）を知ってから24時間以内に早期警報、72時間以内に通知、通知から1か月以内に最終報告です。

対応が1か月で終わらなければ、進捗報告を出します。その場合は、対応を終えてから1か月以内に最終報告を出します。原因が分からない段階でも、まず24時間で知らせる設計です。第23条1項では、適切な場合、サービスの利用者にも遅滞なく通知するとしています。

第21条2項(c)は、事業者がとる対策の1つに「バックアップの管理と災害からの復旧」を挙げています。第34条は制裁金の上限を定めています。必須事業体（特に重要な分野の事業者）は、1,000万ユーロか世界の売上の2%の高い方を下回らない額です。重要事業体は、700万ユーロか1.4%の高い方を下回らない額です。

加盟国は2024年10月17日までに国内法を定め、翌18日から適用する決まりでした（第41条）。ただし欧州委員会は2025年5月7日、国内法化を終えていない19か国に理由を付けた意見を送りました。ドイツ・フランス・オランダも入っています。

英国・米国：報告の期限は似ている

英国は2025年11月12日、サイバーセキュリティと回復力の法案（Cyber Security and Resilience Bill）を議会に出しました。中・大規模のMSP（企業のITを請け負う事業者）を規制に加え、一定規模以上のデータセンターを必須サービスに指定します。最初の届出は24時間以内、本報告は72時間以内です。

デジタルサービス事業者とMSPは、影響を受けたおそれのある顧客を特定して通知します。施行の時期は、法案の成立後に下位法令（法律にもとづく細かい規則）で決めます（英国政府のファクトシート、2026年6月30日更新）。

米国のCIRCIA（重要インフラのサイバー事案報告法）では、事案は72時間以内、身代金を払ったときは24時間以内に報告します。ただし最終規則はまだ出ていません。規則が施行されるまで報告の義務はない、とCISA（米国のサイバーセキュリティ・インフラセキュリティ庁）は説明しています（2026年11月3日閲覧）。

日本：事業者向けの一律の期限は確認できず

クラウド事業者が被害を受けたとき、決まった時間内の報告を一律に求める専用のルールは、取材の範囲では確認できませんでした。今回の事業者は「監督省庁および警視庁」に報告したとしています。

個人情報が漏れた場合は、これとは別のルールがあります。個人情報を扱う会社が対象で、クラウドを使う側の会社も含まれます。速報は発覚から3〜5日以内、確報は30日以内です（不正な目的のおそれがあれば60日以内）。2026年10月1日からは、ランサムウェアの事案を共通の様式で報告できます（個人情報保護委員会）。

海外の3つは「24時間か72時間で第一報」という形がそろっています。

注：日本の個人情報の漏えい報告（速報3〜5日・確報30日）は、クラウド事業者だけに向けたルールではないため、表には入れていません。英国は法案の段階です。米国は最終規則が施行されるまで義務はありません。出所：NIS2指令 第21・23・34・41条（条文掲載サイト）、欧州委員会、英国政府、CISA、個人情報保護委員会。

フランスの判例：バックアップを契約していたかで分かれた

2021年3月、フランスのクラウド事業者のストラスブールのデータセンターで火災が起きました。報道によると、リールの商事裁判所は2023年2月、契約で「バックアップ3つ」をうたっていた会社について、事業者に約10.1万ユーロの賠償を命じました。3月にも、別の会社への約15.4万ユーロの賠償を命じています（一審。事業者は控訴の意向）。

一方、バックアップを契約していなかった2社の訴えは、2022年に退けられました。判事は、事業者が多くのデータセンターを持ち、別の場所に保管できたと指摘しています。日本の裁判で同じ結果になるかは分かりません。

日本の中小企業にとっての意味

NIS2の24時間・72時間は、EUの対象事業者の義務です。日本の中小企業に直接かかるものではありません。

海外の3つの制度が決めているのは、主に「いつ、誰に知らせるか」です。事業者にバックアップの管理を求める規定はあっても、利用者のデータを戻す責任までは負わせていません。報道されたフランスの判例でも、バックアップを契約していなかった会社の訴えは退けられました。

では、自社のコピーをどう確かめるか。5つの手順に分けます。

自社のバックアップを確かめる5つの手順

自社に当てはまる場面から、読む手順を選べます。

ほかの業務・業種への広がり

1つの事業者の管理部分が狙われると、そこにデータを預けている多くの組織に影響が広がります。今回の影響先も、事業者の発表で「企業や自治体」の495でした。民間の会社だけの話ではありません。

自社でクラウドを契約していなくても、自社のデータが外のサーバーにあることがあります。例えば、ホームページの制作会社や、会計の委託先が使っているサーバーです。手順1の一覧に「委託先が使っている置き場所」も加えると、見落としを減らせます。

規制の対象も、クラウドを支える周りの事業者へ広がっています。英国は法案で、MSPとデータセンターを規制の対象に加えました。EUのNIS2も、第21条で、取引先とのつながり（サプライチェーン）の安全を事業者の対策に含めています。

最後に、これから何が動きそうかを見ます。

今後の展開

報告のルールがこの先どう変わっても、データを戻す手段を自社で持つ必要は変わらないと見ています。どの国の制度も、事業者に報告と通知を求めるものだからです。以下、公表された予定（事実）と、そこからの見立てを分けて並べます。

半年以内：事業者の再開と続報

事実として、今回の事業者は再開を3段階で進めるとしています。操作の一部の代行、全機能の代行、管理画面の再開の順で、日付は示されていません（第7報）。スナップショットの機能は、第6報の時点で停止が続いていました。

監督省庁の名前や、行政がクラウド事業者に何か求めたかは、取材の範囲では確認できませんでした。注目したいのは、続報で原因のソフトの名前や、監督省庁の対応が示されるかです。

1〜2年：EUの改正案と英国の法案

事実として、欧州委員会は2026年1月20日、NIS2の限定的な改正案を出しました。英国は、法案の成立後に下位法令で施行を決めます。米国のCIRCIAは最終規則がまだ出ておらず、施行日は決まっていません。

見立てとしては、EUの取引先から、委託契約にバックアップや事故の連絡の条項が入ってくる可能性があると見ています。根拠は、NIS2の第21条が、事業者の対策にサプライチェーンの安全を含めていることです。ただし、これは推測です。

その先：委託先にも求められる備え

事実として、英国の法案は、ITを請け負う事業者に、影響を受けたおそれのある顧客を特定して通知するよう求めています。見立てとしては、保守業者やホームページの制作会社などの委託先にも、事故の連絡や備えを契約で求める流れが広がる可能性があります。

2つの道筋と、見ておく兆し

日本で事業者向けの報告ルールの議論が始まるなら、事業者からの連絡が早く、決まった形になっていく可能性があります（A）。始まらないなら、今のように事業者ごとの発表に頼る形が続きます（B）。どちらに進んでも、データを戻す手段は自社で持つことになります。

• 今回の事業者の続報で、監督省庁の対応が示されるか
• EUの改正案が採択されるか
• 英国の法案が成立するか
• 取引先から届くチェックシートに、バックアップの項目が増えるか

日本の中小企業にとっての期限の目安は「次の契約更新まで」です。それまでに規約の2か所を確かめ、事業者の外にコピーを持つかを決めておくと、どちらの道筋になっても戻す手段が手元に残ります。今日からできることを4つに絞ります。

今日からできること

1. 使っているクラウド・レンタルサーバーを一覧にし、規約の2か所を写す。
   どうやって：契約の管理画面か規約のページで「バックアップ」「滅失」を検索し、保管の責任と賠償の文を写します。
2. 一番大事なデータ1つを、事業者の外にコピーする。
   どうやって：顧客台帳や請求データを、社内のNASか外付けディスク、または別の事業者に書き出します。
3. そのコピーを別PCに1回戻し、戻した日とかかった時間を書く。
   どうやって：ファイルが開けるか、件数や合計の数字が本番と合うかを照合します。
4. 事業者からのお知らせを読む人と、報告が要るかを判断する人を決める。
   どうやって：被害時の連絡先の紙に、2人の名前と、個人情報保護委員会への速報の期限（発覚から3〜5日以内）を書き足します。

よくある疑問

事業者のスナップショットを取っていれば十分ですか

十分とは言い切れません。今回はスナップショットから取り出せた会社がありました。ただ、事業者自身がスナップショットを「一時保存として」使う機能と書いており、事故のあとは機能の停止が続きました。事業者の外のコピーとは分けて考えると、止まったときの選択肢が残ります。

預けていたデータに個人情報が入っていたら、自社にも報告が要りますか

まず、漏えいなどに当たるかの判断が要ります。当たる場合、速報は発覚から3〜5日以内、確報は30日以内です（不正な目的のおそれがあれば60日以内）。判断に迷うときは、個人情報保護委員会の案内を確かめてください。

DXプランニングで受けられるサービス

この知見を日本の中小企業で使うなら、サーバーのセキュリティ対策（50,000円〜、台数と内容をお聞きしてお見積り）で、バックアップと元に戻す手順の確認をお手伝いできます。IT顧問（月20,000円、月2時間まで）では、バックアップなど決めた項目を定期的に確かめます。

まとめ

事業者が被害を受けたとき、データを戻せるかは、事業者の外にある自社のコピー次第です。海外の報告ルールも、利用者のデータを戻す責任までは事業者に負わせていません。まず規約の2か所を写し、大事なデータ1つを外にコピーして、戻して試すところから始めてください。

出典

• 国内のクラウド事業者の公式発表：第1報（2026-10-07）、第2報（2026-10-07）、第3報（2026-10-08）、第4報（2026-10-09）、第5報（2026-10-14）、第6報（2026-10-18）、第7報（2026-10-27）
• 同社：サービス提供条件、スナップショットの説明、バックアップサービスの説明（いずれも2026-11-03閲覧）
• NIS2指令 第21・23・34・41条（条文掲載サイトで確認。指令は2022-12-27官報掲載）
• 欧州委員会：NIS2の国内法化（2025-07-01更新）、NIS2指令（2026-07-02更新）
• 英国政府：Cyber Security and Resilience Bill、インシデント報告のファクトシート（2026-06-30更新）
• CISA：CIRCIA（2026-11-03閲覧）
• 個人情報保護委員会：漏えい等の対応
• IPA：中小企業の情報セキュリティ対策ガイドライン 第4.0版（2026-09-30更新）
• 報道：Blocks & Files（2023-03-23）、DCD

• 関連するサービスサーバーのセキュリティ対策：サーバーを、狙われにくく、止まりにくく→
• 同じジャンル（セキュリティ）委託先が不正アクセスを受けたら？預けた顧客情報を守る4つの確認と報告の期限→
• 同じジャンル（セキュリティ）SCS★3の要求事項をIPA解説書で読む。準備する5つの設定と14日の修正期限→
• 同じジャンル（セキュリティ）ランサムウェアの入口はVPN機器。中小企業が今日確かめること→