予約や受発注をシステムに頼っている会社にとって、ランサムウェア（＝データを勝手に暗号化し、元に戻す代わりに金銭を要求するウイルス）の被害は「復旧」と同じくらい「誰にいつ知らせるか」が悩ましい問題です。早く知らせたい気持ちと、原因も影響範囲も分からないまま話してよいのかという迷いが、同時にやってきます。
「ランサムウェアの被害を取引先やお客様にいつ・どう知らせればいいのか分からない」
先に結論をお伝えします。「全部が分かってから連絡する」のではなく、「分かっていることと分かっていないことを分けて、段階的に知らせる」のが基本です。そして、個人情報が漏れた可能性がある場合は、お客様への連絡とは別に、国の機関（個人情報保護委員会）への報告が法律で義務づけられている場合があります。
この記事では、被害を受けた会社が誰に・どの順番で連絡するかの考え方と、被害が起きる前に開発会社と決めておきたい4つのこと、そのまま使えるチェックリストと質問例を解説します。法律に関わる部分は一般的な考え方の紹介にとどめますので、実際の判断は弁護士や公式の相談窓口に確認してください（本記事は2026年10月時点の情報です）。
ランサムウェア被害で「連絡」が難しい3つの理由
理由1：最初は何が起きたのか、誰にも正確に分からない
被害の直後は、システムが止まっていることは分かっても、「いつから侵入されていたか」「情報が外に出たか」は調べないと分かりません。調査には時間がかかるため、分からない状態で連絡する場面がどうしても出てきます。
理由2：連絡先が一つではない
連絡する相手は、お客様だけではありません。取引先、警察、国の窓口、保険会社、システムを預けている開発会社など、複数の相手に、それぞれ異なる理由で連絡する必要があります。
理由3：復旧作業と問い合わせ対応が同時に押し寄せる
JPCERT/CC（＝日本のサイバー攻撃対応を支援する民間の非営利組織）のよくある質問では、取引先やステークホルダーからの照会に迅速に対応するため、早い段階で対外対応の体制を整えることが重要だとされています。復旧する担当者と、外に説明する担当者を分けておかないと、どちらも止まってしまいます。
誰に・どの順番で知らせるか：5つの連絡先
状況によって順番は変わりますが、一般的には次の順で考えると整理しやすくなります。
| 順番 | 連絡先 | 何のために | ポイント |
|---|---|---|---|
| 1 | 社内の責任者・開発会社 | 被害の拡大を止める | まず社内の判断者を一人決める。開発会社には運用契約の範囲で初動を依頼する |
| 2 | 警察・専門の相談窓口 | 被害の届け出と初動の助言 | 警察（都道府県警察のサイバー犯罪相談窓口）、JPCERT/CC、IPAの相談窓口などが紹介されています |
| 3 | 個人情報保護委員会（該当する場合） | 法律上の報告義務 | 個人情報の漏えいのおそれがある場合。後述 |
| 4 | 取引先・提携先 | 業務への影響の共有、二次被害の防止 | 影響が出る範囲から先に。分かっている事実だけを伝える |
| 5 | お客様（利用者） | 二次被害の防止と安心の確保 | 情報が漏れたおそれがある場合は特に急ぐ |
JPCERT/CCのFAQでも、個人情報などの機微な情報が漏えい・滅失・毀損しているおそれがある場合は、所管省庁への届け出やステークホルダーへの連絡などの速やかな対応が望まれるとされています。また、警察への通報、JPCERT/CC、IPA、都道府県警察のサイバー犯罪相談窓口などが相談先として紹介されています。
個人情報保護委員会への報告は「お客様への連絡」とは別にある
個人情報保護法では、2022年4月から、一定の漏えい等が起きたときに個人情報保護委員会へ報告することが義務になっています。対象になるのは、たとえば次のような事態です。
- 要配慮個人情報（病歴など、取り扱いに特に配慮が必要な情報）が漏えいした、またはそのおそれがある
- 財産的な被害が出るおそれがある（クレジットカード番号など）
- 不正アクセスなど、不正の目的によって漏えいしたおそれがある
- 漏えいした人数が1,000人を超える
報告は2段階で、事態を知ってから速やかに行う「速報」と、原則30日以内（不正の目的によるおそれがある場合は60日以内）の「確報」です。速報は「報告時点で分かっている内容」で構いません。また、お客様（本人）への通知は、委員会への報告と同じタイミングでなくてもよく、本人が状況を把握するために必要な事項を伝えるものとされています。
ランサムウェアは「不正の目的」による事態に当たることが多く、データを暗号化されただけでなく、盗まれた可能性がある場合は特に注意が必要です。報告が必要かどうか、いつまでに何を出すかは、必ず最新の公式情報と専門家で確認してください。
📰 出典：個人情報保護委員会「漏えい等の対応とお役立ち資料」
連絡の中身：「分かっていること」と「分かっていないこと」を分ける
取引先やお客様に最初に出す連絡は、立派な説明でなくて構いません。次の4点が入っていれば、誠実さは伝わります。
- 何が起きたか：システム障害として、ランサムウェアによる被害の可能性がある、と分かっている範囲で
- 影響が出ているもの：止まっているサービス、遅れている業務
- まだ分かっていないこと：情報が外に出たかどうか、調査中であること
- 相手にお願いしたいこと・次の連絡時期：パスワードの変更、不審なメールへの注意、次に状況を伝える日時
やってはいけないのは、調べる前に「情報は漏れていません」と言い切ることです。後から事実が変わると、信頼の傷が大きくなります。「現時点では確認できていない」「調査中」といった言い方にとどめましょう。
被害が起きる前に開発会社と決めておきたい4つのこと
連絡の遅れは、多くの場合、事前の取り決めがないことから起こります。システムを預けている開発会社と、平時のうちに次の4つを決めておくと、いざというときに動けます。
1. 誰が最初に気づき、誰に連絡するか
開発会社の運用担当、自社の責任者、それぞれの休日・夜間の連絡先を一枚にまとめます。担当者個人の携帯だけに頼らず、代わりの人も決めておきましょう。
2. ログ（＝システムの操作記録）がどこに、いつまで残っているか
「何が見られたか」を調べるには、ログが必要です。保存期間が短い、あるいはそもそも取っていないと、影響範囲を説明できません。
3. どんな個人情報を、どこに預けているか
お客様に連絡が必要かどうかは、そのシステムにどんな情報が入っているかで決まります。氏名・住所・カード番号・健康に関わる情報など、種類と件数を把握しておきましょう。
4. 開発会社に調査と報告を頼める範囲
被害時の調査や連絡の支援が、保守契約に含まれるのか、別費用になるのかを確認します。クラウドなどの外部サービスを使っている場合は、その事業者の連絡窓口も確認が必要です。
やりがちな失敗
- 全容が分かるまで連絡を待ち、取引先が別のルートで先に知ってしまう
- 連絡窓口が複数あり、取引先ごとに説明が食い違う
- 調査前に「情報は漏れていません」と伝えてしまう
- 復旧作業の担当者が、問い合わせ対応も兼ねて動けなくなる
- 犯人への支払いの判断を、社内で相談しないまま進めてしまう
発注者がやること チェックリスト
- ☐ 被害時に判断する責任者と、その代理を決めた
- ☐ 取引先・お客様への連絡窓口を一本化する担当を決めた
- ☐ 開発会社・クラウド事業者の夜間・休日の連絡先を一覧にした
- ☐ システムに入っている個人情報の種類と件数を把握した
- ☐ 警察・JPCERT/CC・IPAなどの相談窓口の連絡先を控えた
- ☐ 取引先向けの連絡文のひな形（分かっていること／調査中／次回連絡）を用意した
- ☐ サイバー保険に入っている場合、保険会社への連絡手順を確認した
- ☐ 年に一度、連絡の流れを机上で確認する日を決めた
開発会社への質問例
- 「ランサムウェアなどの被害が疑われるとき、御社へはどの窓口にどの順で連絡すればよいですか。夜間や休日も対応いただけますか」
- 「システムのログはどこに何か月分残っていますか。影響範囲の調査に使えますか」
- 「このシステムに保存している個人情報の項目と件数を、一覧で教えてください」
- 「被害時の調査や報告書の作成は、現在の保守契約に含まれますか。別費用の場合の目安を教えてください」
- 「クラウドなど外部サービスで事故が起きたとき、その事業者への連絡はどちらが行いますか」
まとめ
ランサムウェア被害の連絡で大切なのは、完璧な説明ではなく、分かっていることと分かっていないことを分けて、段階的に、一つの窓口から知らせることです。個人情報が関わる場合は、個人情報保護委員会への報告が必要になることがあるため、速やかに公式窓口や専門家へ相談しましょう。
そして連絡の遅れの多くは、事前の取り決めがないことから生まれます。まずはチェックリストの最初の3項目だけでも、今週中に開発会社と確認してみてください。
あわせて読みたい関連記事
