サイバー攻撃で営業が止まったら？中小企業の資金繰りと5つの備え
Office LOTUS あつみ中小企業診断士事務所
サイバーセキュリティは、大企業だけの話ではなくなっています。ネットショップや予約システム、キャッシュレス決済を使う中小・零細企業にとっても、日々の営業に関わる身近な問題です。
「対策は必要だと思うけれど、何から考えればいいのか分からない」「誰に相談すればいいのだろう」。気になりながらも、日々の仕事に追われ、後回しになっている方も多いのではないでしょうか。
まず整理したいのは、「何が止まると営業に困り、入金や支払いにどんな影響が出るか」です。この記事では最近の注意喚起を確認し、売上・利益・資金繰りへの影響と、今から取り組める5つの備えを考えます。自店の状況を書き込める点検チェックシートも用意しました。
相次ぐ不正アクセスの公表
2026年10月5日、物語コーポレーションは「焼肉きんぐ」公式アプリの会員管理システムへの不正アクセスによる情報漏えいを公表しました。同社の発表によれば、公式アプリは防御措置を講じたうえでサービスを継続しています。同社の公表資料で確認できます。
10月8日には、ローソンが「ローソンID」と「ローソンアプリ予約」への不正アクセスと情報漏えいを公表しました。こちらは対応の一環としてアプリ予約機能を停止しています。ただし、この事実からローソンの店舗営業全体が停止したとは言えません。ローソンの公表資料には、その後の対応も記載されています。
つまり、情報漏えいと営業停止は別の問題です。被害の範囲や原因も事案ごとに異なり、すべてをランサムウェアによる被害と決めつけることはできません。
こうした状況を受け、IPAは10月9日に緊急の注意喚起を公表しました。自社で公開しているシステムの点検に加え、利用している外部サービス、管理アカウント、ログ（操作・アクセスの記録）、保有データの確認を求めています。10月16日には、被害を受けた、または被害の可能性がある組織の初動対応を支援する特別相談窓口も開設されました。
金融庁も2026年10月9日の注意喚起で、金融機関等に対し、サードパーティリスク管理や事故対応の態勢を含めた点検を求めています。サードパーティとは、自社の業務を支える委託先やクラウドサービスなど、社外の関係先のことです。
この注意喚起の対象は金融機関等ですが、「外部に任せているから大丈夫」で終わらせず、任せている範囲と自社で確認すべきことを分けるという視点は、業種や規模を問わず参考になります。EC運営会社や予約・決済サービスを使う小さな事業者も、自店の仕事とのつながりを点検しておきたいところです。
まずは、「何が止まると、自店の営業や支払いに支障が出るのか」を確認してみましょう。使っているサービスと仕事のつながりを整理すると、備えの優先順位を考えやすくなります。
営業停止が経営に与える影響
例えばネットショップなら、注文管理システムが使えないと、商品は倉庫にあっても発送先を確認できないかもしれません。美容室なら予約状況、飲食店なら注文管理や決済が分からなくなる場合があります。実際に何が止まるかは、各サービスの構成や代替手段によって違います。
影響を整理するときは、次の三つを分けてみると分かりやすくなります。
| 経営への影響 | 起こり得ること | 確認したい数字・情報 |
|---|---|---|
| 売上・利益 | 受注できない、予約がキャンセルされる | 後日取り戻せない売上、変動費、限界利益 |
| 資金繰り | 入金が遅れる、復旧費を支払う | 入金予定日、支払予定日、最低限必要な預金残高 |
| 顧客の信頼・事業継続 | 発送・連絡が遅れる、個人情報対応が必要になる | 影響する顧客、説明方法、復旧の優先順位 |
売上と資金繰りは、似ているようで別です。利益が残るかどうかだけでなく、いつ入金され、いつ支払いが来るかまで考えないと、営業停止の影響を見誤ります。
受注停止で売上と利益はどう変わる？
月商500万円のEC事業者が、3営業日、新規注文を受けられなくなった場面を数字で追ってみます。月25営業日、変動費率60％・限界利益率40％で計算すると、売上と利益への影響は次のようになります。
| 項目 | 計算 | 金額 |
|---|---|---|
| 1営業日当たりの売上 | 500万円 ÷ 25日 | 20万円 |
| 3営業日分の売上機会 | 20万円 × 3日 | 60万円 |
| 売上に対応する変動費 | 60万円 × 60％ | 36万円 |
| 受注を取り戻せないときの限界利益の減少 | 60万円 − 36万円 | 24万円 |
限界利益とは、売上高から変動費を差し引いた金額です。家賃や固定給などの固定費を賄う原資にもなります。売上機会60万円と、限界利益24万円は同じ意味ではありません。
さらに、注文を復旧後に受け付けられるかによって影響は変わります。
| 後日取り戻せた割合 | 取り戻せない売上 | 限界利益の減少（40％） |
|---|---|---|
| 0％ | 60万円 | 24万円 |
| 50％ | 30万円 | 12万円 |
| 100％ | 0円 | 0円 |
この表が示すのは、販売機会の回復状況に応じた限界利益の変化だけです。実際には、支払済みの仕入代金、在庫の価値、キャンセル対応費、復旧・調査費用なども影響します。したがって、24万円をそのまま「被害総額」や「現金の減少額」と呼ぶのは正確ではありません。
入金の遅れと資金繰り
売上がなくなることに加え、入金の遅れにも目を向けたいところです。販売済みの商品代金80万円が来週入金される予定だったものの、決済サービスの障害で1週間遅れると、支払いまでの資金に影響が出ます。
最終的に80万円が入金されれば、それだけで売上の損失になるわけではありません。ただし、入金を予定していた週の資金残高は、当初計画より80万円少なくなることになります。仕入、給与、家賃、借入金の返済日は、必ずしも同じだけ後ろにずれてくれません。
このようなときは、資金繰り表で次の三つを別々に見ておくと判断しやすくなります。
- 受注・売上：後から回復できない注文はいくらか。
- 入金：売上は残っても、いつ現金が入るのか。
- 追加支出：調査、復旧、顧客対応にいくら必要か。
同じ「システム停止」でも、利益への影響と資金不足のタイミングは違います。必要な支払日までに現預金を確保できるかを確認し、厳しい場合は早めに取引先や金融機関に相談することも考えられます。
具体的な整理方法は、過去記事「資金繰り表の作り方｜中小企業向けに項目・記入例・6か月予測を解説」で紹介しています。
今から始める5つの備え
経営者がすべての技術的対策を自分で行う必要はありません。ただ、何を守り、誰に確認してもらい、止まったときは誰が判断するかを決めるのは経営の仕事です。以下は、IPAの2026年10月9日の注意喚起と中小企業の情報セキュリティ対策ガイドライン第4.0版を踏まえ、Office LOTUSが小規模事業者向けに整理した順番です。
重要なサービスを把握する
受注、予約、決済、メール、会計などから、使えなくなると営業への影響が大きいものを三つ挙げてみましょう。管理担当者、サービス提供会社、緊急連絡先に加え、「何時間使えないと困るか」を書き添えます。システムの重要度は、便利かどうかではなく、止まったときの影響で考えます。
アカウントと認証を点検する
パスワードの使い回し、退職者のアカウント、過剰な管理者権限がないかを確認します。多要素認証を利用できる場合は有効化を検討してください。クラウドサービスの提供会社が安全対策を行っていても、利用者側のアカウント管理が不要になるわけではありません。
委託先と役割を確かめる
独自のWebサイトやECシステムを運営している場合は、保守委託先に更新状況、不審なアクセスの確認方法、事故時の支援範囲を聞いてみましょう。外部サービスについても、ログを誰が確認できるのか、異常があればどこへ連絡するのかを確かめます。必要以上に保有している顧客情報がないかも、あわせて見直したい点です。
バックアップから復元する
必要なデータが、いつの状態まで、どのくらいの時間で復元できるかを確認します。バックアップがあっても、復元の方法が分からなければ営業再開に結びつきません。なお、IPAが2026年に改訂した中小企業向けガイドラインでは、従来の基本対策に「バックアップを取ろう！」が加わり、情報セキュリティ6か条になっています。
受注や予約が使えないときの案内方法も決めておきましょう。ただし、個人情報を私用端末へ移すなど、代替手段が新たな情報漏えいの原因にならないようにします。
連絡先と判断役を決める
異常を見つけた担当者が誰に知らせるか、サービス提供会社と専門家の連絡先はどこか、顧客への説明と営業再開の判断を誰が行うかを決めます。あわせて、入金・支払いの予定表を誰が更新するかも決めておくと、事故対応と日常の支払いを両立しやすくなります。
業務ごとの確認メモ
| 重要業務 | 止まると困るまでの時間 | 管理担当・連絡先 | 代替手段・次の確認 |
|---|---|---|---|
| 受注確認・発送 | 当日中 | 受注担当／EC運営会社 | 影響する注文と顧客への案内方法 |
| 予約・顧客連絡 | 翌営業日まで | 店舗責任者／予約サービス会社 | 安全な告知手段、予約情報の復元 |
| 入金確認・支払い | 支払日前 | 経理担当／決済会社 | 入金予定と必要な預金残高の再計算 |
表 事業継続のための確認メモ
システムごとに連絡先と優先順位が見えれば、対策を外注するときにも、何を相談すべきかがはっきりします。
自店の点検チェックシート
点検チェックシートを無料で使う
入力して継続管理する方はExcel版、印刷して書き込む方はPDF版をご利用ください。メールアドレスの登録は不要です。
入力して使う Excel版（.xlsx）印刷して使う PDF版（A4・2ページ）
Office LOTUS作成／v1.0・2026年10月17日。社内や委託先との点検にお使いいただけます。
まずは分かるところから埋めてみてください。状態は「確認済・要対応・未確認」から選び、要対応・未確認には担当者と確認期限を書き添えます。重要なサービスに関わる項目から、委託先や専門家と一緒に確かめましょう。
点検日：＿＿年＿＿月＿＿日 事業者名：＿＿＿＿＿＿ 確認者：＿＿＿＿＿＿
| 点検項目 | 確認したいこと | 状態 | 担当・期限 |
|---|---|---|---|
| 重要サービス | 受注・予約・決済など、止まると困るサービスと管理担当者を一覧にした | □確認済 □要対応 □未確認 | 担当：＿＿＿ 期限：＿＿＿ |
| 管理アカウント | 退職者のIDや不要な管理権限、パスワードの使い回しを確認した | □確認済 □要対応 □未確認 | 担当：＿＿＿ 期限：＿＿＿ |
| 多要素認証 | 管理画面で利用できる認証方法と設定状況を確認した | □確認済 □要対応 □未確認 | 担当：＿＿＿ 期限：＿＿＿ |
| 更新・ログ | 委託先に更新状況とログを確認する担当・手順を聞いた | □確認済 □要対応 □未確認 | 担当：＿＿＿ 期限：＿＿＿ |
| 委託先の対応 | 緊急連絡先、受付時間、復旧支援の範囲を確認した | □確認済 □要対応 □未確認 | 担当：＿＿＿ 期限：＿＿＿ |
| 保有データ | 保存している顧客情報と、不要なデータの削除方針を確認した | □確認済 □要対応 □未確認 | 担当：＿＿＿ 期限：＿＿＿ |
| バックアップ | 取得日時だけでなく、復元方法・必要時間・保管先の保護を確認した | □確認済 □要対応 □未確認 | 担当：＿＿＿ 期限：＿＿＿ |
| 代替手段 | 受注・予約が使えない間の安全な案内・業務手順を決めた | □確認済 □要対応 □未確認 | 担当：＿＿＿ 期限：＿＿＿ |
| 初動の役割 | 異常の連絡先、顧客説明・営業再開の判断役を決めた | □確認済 □要対応 □未確認 | 担当：＿＿＿ 期限：＿＿＿ |
| 資金繰り | 入金遅延・復旧費を加え、支払日までの資金残高を確認した | □確認済 □要対応 □未確認 | 担当：＿＿＿ 期限：＿＿＿ |
次に確認することを一つ決める：＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿
より詳しく点検したい方は、IPAの中小企業向けガイドラインと付録の自己診断も活用できます。
異常に気づいたときの初動
見覚えのない管理者アカウントや不審なログイン記録などが見つかったら、責任者と保守委託先・セキュリティ専門家へ速やかに連絡し、指示を仰ぎましょう。被害拡大を防ぐ措置が必要な場合もありますが、原因調査のための記録を消さないことにも注意が必要です。状況を確認せず、自己判断で端末を初期化することは避けてください。
個人情報の漏えいが疑われる場合は、個人情報保護委員会の案内を参照し、報告や本人通知の対象かを確認します。報告義務のある事案の速報は、発覚後おおむね3～5日以内、確報は原則30日以内（不正目的のおそれがある事案は60日以内）とされています。実際の義務や期限の判断は事案によるため、専門家・関係機関に早急に相談してください。
不正アクセス被害が現に発生している、またはその可能性がある組織には、IPAの不正アクセス特別相談窓口もあります。相談先や受付時間は公式案内で最新情報を確かめてください。
安心してデジタル化を続けるために
ITツールを使わないことが、サイバーインシデントへの答えではありません。デジタル化によって、小さなお店でも受注や予約を効率よく処理でき、遠くのお客さまとつながれるようになります。だからこそ、便利さを活かすための備えを経営の中に組み込んでおきたいところです。
今回のニュースをきっかけに、まずは紙を一枚用意して、営業に欠かせないサービスを三つ書き出してみてください。次に、それぞれが明日一日使えなかったら何が止まるかを考える。その小さな確認から、必要な対策や優先順位が見えてくると思います。
よくある質問
Q．小規模事業者でも、セキュリティ対策が必要ですか？
会社の規模だけでリスクは決まりません。顧客情報、管理画面、外部サービスとの連携など、自社が利用している仕組みを把握することが出発点です。
Q．クラウドサービスに任せていれば安心でしょうか？
サービス提供会社が守る範囲と、利用者が管理するID・権限・データなどは異なります。利用条件と管理画面の設定を確認しましょう。
Q．どこから始めればよいか分かりません。
IPAの中小企業向けガイドラインと付録の自己診断を参考に、管理アカウント、バックアップ、連絡先から点検する方法があります。技術面は保守委託先や専門家に相談してください。
業務・資金繰りのご相談
この記事では、サイバーセキュリティを「技術的な侵入防止」だけでなく、営業を続け、入金と支払いを守るための経営課題として整理しました。Office LOTUSでは、財務・経営改善・デジタル活用の観点から、事業への影響や優先順位を考えるお手伝いをしています。自社の資金繰り表や業務の見直しについては、お問い合わせからご相談ください。侵入経路の調査やシステム復旧などの技術対応は、専門のセキュリティ事業者に依頼する領域です。
参考資料・確認先
- 物語コーポレーション「『焼肉きんぐ』公式アプリ…情報漏えいに関するお詫び」（2026年10月5日）
- ローソン「第三者による不正アクセスに伴う個人情報漏えいに関するお詫びとお知らせ」（2026年10月8日公表・10月13日更新）
- IPA「不正アクセスによる漏えい等の事案を踏まえ、速やかに実施すべき対策等について」（2026年10月9日）
- IPA「不正アクセス特別相談窓口の開設について」（2026年10月16日）
- IPA「中小企業の情報セキュリティ対策ガイドライン 第4.0版」（2026年改訂）
- 個人情報保護委員会「漏えい等の対応とお役立ち資料」
- 金融庁「現下の情勢を踏まえたサイバーセキュリティ対策の強化と各種取引申込等における対応について」（2026年10月9日）
試算・記入例について
本文と図解の月商500万円、受注停止3営業日、入金遅延80万円などは、経営への影響を考えるための架空のケースです。紹介した企業の被害額や、Office LOTUSの支援実績を示すものではありません。試算は税抜、月25営業日、日々の売上は均等、変動費率60％・限界利益率40％、固定費は一定としています。図解の24万円は受注を後日取り戻せず、対応する変動費36万円を回避できる条件での限界利益の減少であり、被害総額や現預金の減少額ではありません。確認メモの時間・役割も記入例です。自社の契約や支払い条件に合わせて置き直してください。
情報確認日：2026年10月17日。チェックシートはIPA資料と本記事をもとにOffice LOTUSが作成した初回点検用です。確認できた項目数で安全性を判定するものではありません。
この記事を書いた人
-
渥美 友道｜中小企業診断士
Office LOTUS あつみ中小企業診断士事務所 代表。金融機関に勤務しながら、副業で中小企業診断士として活動しています。
本業では、営業、経営企画、DX推進などの業務を経験。現在も金融の現場に立ちながら、中小企業の経営改善、財務・資金繰り、事業計画、DX・Web活用などを支援しています。
副業だからこそ、日々の実務で得た感覚や変化を経営支援に持ち込めることを強みとしています。机上の理論だけでなく、現場で使える考え方を、できるだけ分かりやすくお伝えします。
中小企業診断士 登録番号：425952
詳しいプロフィールを見る
最新の投稿
経営改善・業務改善2026年10月17日サイバー攻撃で営業が止まったら？中小企業の資金繰りと5つの備え- 経営改善・業務改善2026年10月14日砂糖の卸値が3％上昇｜菓子店の価格を、商品別原価から考える
- 経営改善・業務改善2026年10月6日上場企業の決算書、こう読むと面白い｜しまむらの上期決算を例に
- 経営改善・業務改善2026年9月28日愛知県最低賃金1,195円へ｜飲食店・美容室・小売店の人件費増と必要売上【2026年】
