企業を標的とするサイバー攻撃が相次ぐなか、顧客情報を人質に身代金を要求する手口が問題となっている。仮に企業が支払いを拒否し、その結果として個人情報が流出した場合、その経営判断は法的責任を問われるのだろうか。また、企業が十分なセキュリティ対策を講じていた場合、被害を受けた顧客は誰に補償を求めればよいのか。身代金の支払いをめぐる経営判断の妥当性から、情報漏えい後の損害賠償、被害者救済の課題まで、アディーレ法律事務所の大垣優希 弁護士に尋ねてみた。

身代金の支払い拒否は法的責任を問われるのか

Q1. サイバー攻撃を受けた企業が身代金の支払いを拒否したことで、顧客情報が流出した場合、支払い拒否という経営判断自体が法的責任を問われる可能性はあるのでしょうか？ 一般的な情報管理上の過失とは、どのように区別して考えるべきでしょうか。 

身代金の支払いを拒否したという経営判断そのものが違法とされ、法的責任を問われる可能性は極めて低いと考えられます。

サイバー攻撃による情報漏えいが発生した場合、企業が債務不履行責任や不法行為責任を負うかどうかは、主として事前のセキュリティ対策が十分であったか、また発覚後の初動対応や被害拡大防止措置を適切に講じたかによって判断されます。

一方で、「身代金を支払えば情報公開を防げたかもしれないのに、支払いを拒否した」という点については、そもそも犯罪者に金銭を支払ったとしても、情報が確実に公開されないという保証はありません。実際には、支払い後もデータが公開されたり、再度金銭を要求されたりするケースも考えられます。

そのため、身代金の支払いを拒否したこと自体が過失と評価され、法的責任の根拠になる可能性は低いといえるでしょう。

Q2. 企業が顧客の利益と、犯罪組織への資金提供を避ける判断との間で板挟みになった場合、法的にはどのような観点から判断すべきなのでしょうか。  

企業は、①顧客への被害を少しでも軽減できる可能性があるか、②犯罪組織への資金提供を招くリスクがないか、③支払いによって問題が本当に解決する見込みがあるか、といった複数の観点から判断することになります。

前述の通り、身代金を支払ったとしても情報が確実に削除される保証はありません。実際には、支払い後にデータが公開されたり、さらに追加の金銭を要求されたりするケースもあり、支払えば顧客を守れるとは限りません。

また、攻撃者の正体が明らかでない以上、支払先が反社会的勢力や国際的な制裁対象組織である可能性もあります。その場合、犯罪組織を利するだけでなく、状況によっては外為法違反やマネー・ローンダリング規制との関係などが問題となるケースも考えられます。

さらに、経営陣には会社財産を適切に管理する義務がありますので、効果が不確実なまま多額の資金を支出することが合理的な経営判断といえるかという問題も生じることも念頭に置く必要があります。

Q3. 企業から被害者に向けた見舞金など自主的な補償は、企業の法的責任や、その後の損害賠償請求にどのような影響を与えるのでしょうか？ また、流出した情報が悪用されるなどして顧客の被害が拡大した場合、企業の責任も変化する可能性はありますか。  

自主的な補償を実施したからといって、将来の損害賠償請求を完全に防げるわけではありません。

過去の大規模な情報漏えい事案では、企業が見舞金などの補償を実施した後も、被害者から訴訟が提起され、補償額を超える賠償義務が認められたケースがあります。

そのため、企業が一方的に見舞金を支払っただけでは法的な紛争が完全に解決したことにはなりません。損害賠償請求権まで含めて解決するためには、補償金の支払いと引き換えに将来の請求を行わない旨の示談を個別に締結する必要があります。

また、氏名や住所といった基本的な個人情報の漏えいによる精神的苦痛については、裁判上認められる慰謝料は数千円から数万円程度にとどまることが多い一方、流出した情報が悪用され、クレジットカードの不正利用などの財産的被害が発生したり、プライバシー侵害によって生活に具体的な支障が生じたりした場合には状況が異なります。企業のセキュリティ対策に過失が認められれば、見舞金の額を超える損害賠償責任が認められる可能性があります。

もっとも、実際の訴訟では被害者側が、今回の情報漏えいによって被害が発生したことを立証しなければなりません。個人情報の流出経路が複数考えられることも少なくないため、被害との因果関係を証明するハードルは高いと考えられます。

Q4. 仮に、企業が十分なセキュリティ対策を講じ、攻撃後も適切に対応していたと認められてもなお、顧客情報が流出した場合、被害者はその被害について誰に損害賠償を請求できるのでしょうか？ また、攻撃者の特定や賠償請求が現実的に難しい場合、被害者救済にはどのような法的課題が残るのでしょうか。 

仮に企業が当時の水準として十分なセキュリティ対策を講じており、情報漏えいについて法的な過失が認められない場合、理論上はサイバー攻撃を行った犯人に対して不法行為に基づく損害賠償を請求することになります。

しかし、サイバー攻撃の犯人は海外を拠点としていることも多く、匿名化技術が用いられることもあるため、まず犯人を特定すること自体が容易ではありません。

また、仮に犯人を特定できたとしても、海外にいる個人や組織に対して裁判を起こし、実際に賠償金を回収することは現実には非常に難しい場合があります。

デジタルサービスが社会インフラとなった現在、サイバー犯罪への対応を個々の企業の自助努力だけに委ねるには限界があります。被害者救済の実効性を高めるためには、公的な支援制度の整備など、社会全体で被害を分散・吸収する仕組みを検討していくことも重要になってくると考えられます。

---

■ 担当弁護士

アディーレ法律事務所 大垣優希 弁護士（第一東京弁護士会所属）

大阪大学法学部、同大学大学院高等司法研究科を修了し、2026年にアディーレ法律事務所へ入所。夫婦問題や遺産相続、債務整理などを関心分野とする。日本化粧品検定1級、TOEIC870点の資格・スコアを有するほか、テレビやラジオ、雑誌・WEBメディアでの法律解説、テレビ番組の法律監修など、メディア出演・協力実績も豊富。

アディーレ法律事務所HP：https://www.official.adire.jp/
画像素材：PIXTA

---