サイバー被害の公表で信頼を失う会社と取り戻す会社、分かれ目は「最初の24時間」の情報開示

　2026年9月から10月にかけて、日本企業がサイバー攻撃の被害を公表するケースが相次いでいます。タイムズカーを運営するパーク24は約660万件のアカウント情報が取得されたと公表し、IDCフロンティアのクラウドサービスでは不正アクセスによる障害で、495の企業・自治体のホームページが閲覧できなくなるなどの影響が出ました。 　被害を受けた企業は、プレスリリースや記者会見で状況を説明することになります。自社が同じ被害を受けて公表することになった場合、何をどこまで伝えればよいのだろうと、ふと考えた方もいるのではないでしょうか。被害そのものは防ぎきれないことがありますが、公表の進め方しだいで、その後に寄せられる信頼は大きく変わります。

　2026年9月から10月にかけて、日本企業がサイバー攻撃の被害を公表するケースが相次いでいます。タイムズカーを運営するパーク24は約660万件のアカウント情報が取得されたと公表し、IDCフロンティアのクラウドサービスでは不正アクセスによる障害で、495の企業・自治体のホームページが閲覧できなくなるなどの影響が出ました。 　被害を受けた企業は、プレスリリースや記者会見で状況を説明することになります。自社が同じ被害を受けて公表することになった場合、何をどこまで伝えればよいのだろうと、ふと考えた方もいるのではないでしょうか。被害そのものは防ぎきれないことがありますが、公表の進め方しだいで、その後に寄せられる信頼は大きく変わります。

　今回は万が一のときに慌てないよう、最初の24時間で何を伝え、そのために何を用意しておけばよいかを解説します。 ■公表で問われるのは技術の説明より“誠実さ” 　被害の公表と聞くと、記者会見で専門的な質問にきちんと答えられるかを心配する経営者は多いかもしれません。ですが、高い評価を集めた対応を振り返ると、評価の中心にあったのは技術の詳しさよりも、トップが自分の言葉で隠さずに説明していたかどうかです。 　2022年7月2日未明に起きたKDDIの大規模通信障害(サイバー攻撃ではなく設備の障害)では、翌3日の記者会見に髙橋誠社長が自ら臨み、経緯を説明しました。

　記者の技術的な質問にもよどみなく答える姿はSNSで話題になり、「どの質問にも的確に返されていて良い社長会見でした」といった声が寄せられたとマイナビニュースは伝えています。技術に明るいことが好感を呼んだのは確かですが、発生の翌日にトップが表に出て、質問から逃げずに答え続けた点が信頼につながったと言えるでしょう。 　サイバー攻撃の例では、2019年3月にランサムウェア(身代金要求型のウイルス)の被害を受けたノルウェーのアルミ大手、ノルスク・ハイドロがよく知られています。40カ国、約3万5,000人の従業員に影響が出るなかで同社は身代金を払わないと決め、オスロの本社で毎日記者会見を開いてウェブ中継で質問に答え、Facebookでも状況を更新し続けました。マイクロソフトによると、この透明性のある対応は専門家から称賛されました。

■なぜ「最初の24時間」で評価が決まるのか 　被害の公表直後は、分かっている事実が少ないのに世間の関心だけが一気に高まる時間帯です。会社が何も言わなければ、その空白は臆測やSNSの書き込みで埋まりやすく、あとから正確な情報を出しても最初の印象をくつがえすのは簡単ではありません。 　かといって、急いで出した情報が間違っていれば、それ自体が信頼を損ないます。総務省が発出している「サイバー攻撃被害に係る情報の共有・公表ガイダンス」では、第1報や調査の途中で不確実な情報を確定情報のように伝えることは誤解を与えると指摘しています。

　同ガイダンスでは、第1報で「機微な情報漏洩の被害はない」と公表したものの、その後の調査で漏洩が判明したケースも紹介されています。「被害はありません」と言い切って早く安心させたい気持ちは分かりますが、その一言があとで撤回されると、会社の発表全体が疑われかねません。 　ガイダンスは、この速報性と正確性のジレンマには、初報、第2報と段階を追って開示する方法が有効だとしています。ただし、こまめに公表しても原因調査が進まず被害範囲が変わり続けるような発信では納得を得られないともあるため、回数を増やせばいいという話でもありません。最初の24時間で問われるのは、分かっていることと分かっていないことを分けて示し、次にいつ何を伝えるかを約束できるかどうかなのです。

■最初の24時間に備える「3つの準備」 　事前にできる備えは、情報開示の原則、FAQ、顧客向けの導線の3つです。核になるのは、何を、どの順で、誰の承認で公表するかを決める開示の原則であり、残りの2つはそれを支える工夫です。 　開示の原則を考えるときは、ガイダンスが第1報で示す内容の目安として挙げる項目が参考になります。挙がっているのは攻撃の種類や概要、侵害されたシステムと範囲、影響の内容と範囲、初動対応、所管省庁への報告状況、影響を受ける人の相談先などであり、判明していない項目は調査中であることを明記しておくとよいでしょう。

　パーク24は9月25日の検知当日に第1報を出し、28日の第2報で約660万件、29日には本人確認書類が漏洩したアカウントが約160万件と、判明した順に公表を重ねました(パーク24の発表、NHK)。IDCフロンティアも発生当日に第2報を出し、10月8日の第3報では一部の顧客データについて「取り出しや復元が困難な見通し」と伝えています(IDCフロンティアの発表、Impress Watch)。 　個人情報が漏洩した場合は、個人情報保護委員会への速報が発覚から3〜5日以内とされているため、公表の段取りもこの期限から逆算しておくと迷いません。

　FAQの準備は、必ず聞かれる質問への答え方を平時に決めておく作業です。質問は次の4つの観点に分けて洗い出すと、抜け漏れが少なくなります。 ・事実関係(いつ気づいたのか、何が起きたのか、なぜ公表までに時間がかかったのか) ・影響の範囲(どの情報が何件漏れたのか、自分は対象なのか、取引先や他のサービスに影響はあるのか) ・顧客が取るべき行動(パスワードを変えるべきか、不審なメールや電話が来たらどうするか、どこに問い合わせればよいか)

・会社の対応(補償はあるのか、身代金を払ったのか、次の報告はいつか) 　なかでも補償の有無は、利用者が真っ先に知りたい答えのひとつと言えるでしょう。GMOリサーチ＆AIは、運営するポイントサイト「infoQ」で不正に交換されたポイントを全額補填する方針を示しました(時事通信)。専任の広報がいない中小企業であれば、4つの観点ごとに2〜3問ずつ答えの方針を書き出しておきましょう。 　窓口の連絡先や担当者、扱う個人情報の範囲が変われば答えも古くなるため、人事異動や新サービスの開始に合わせて経営会議で見直しておくと安心です。答えが「調査中」になる質問にも次の報告時期を書き添えておけば、当日に一から言葉を探さずに済みます。