サイバー攻撃による損害賠償を委託先ベンダーにどこまで請求できるか 有名事件における認容額と裁判所の判断ポイント

1.　SQLインジェクション事件 ¹

1-1　事案の概要

2011年に被害が発生したSQLインジェクション事件は、被告（委託先ベンダー）が設計・開発し、保守等を受託していた原告（発注元）のECサイトの商品受注システムについて、SQLインジェクション攻撃に対する脆弱性が残っており、その脆弱性を突いた攻撃により、ECサイトの顧客のクレジットカード情報を含む個人情報7,316件、クレジットカード情報を含まない個人情報9,482件が流出した可能性が生じた事案です。

原告はシステムの設計・保守等を受託した事業者に対して、合計1億958万4,809円の損害賠償を請求しました ²。原告が請求した請求金額の内訳およびその合計は、以下のとおりです。

1-2　損害が認められた項目と賠償額

原告と被告の間で締結されていた契約においては、被告がシステム開発を行うに際して、適切なセキュリティ対策がとられたアプリケーションを提供すべき義務が明示的に定められていたわけではありませんでした。しかし、裁判所は、システム開発の発注を受けた以上は、その当時の技術水準に沿ったセキュリティ対策を施したプログラムを提供することについての合意があったといえるとしました。そのうえで、本件当時に経済産業省や独立行政法人 情報処理推進機構（以下、IPA）がSQLインジェクション対策に関する注意喚起を行っていた事実を踏まえ、被告には、SQLインジェクション対策としてバインド機構の使用またはエスケープ処理を施したプログラムを提供すべき義務があったと判断しました。

そのうえで、被告には当該義務違反があるとして、下表のとおり、請求額の約29.5％に相当する3,231万9,568円について、被告の損害賠償義務を認めました ³。

2.　SQLインジェクション対策不備事件（2018年判決）⁴

2-1　事案の概要

SQLインジェクション対策不備事件（2018年判決）は、実際に情報漏えいやシステムへの侵入が確認された事案ではありません。本件は、被告（委託先ベンダー）が原告の発注を受けて制作した車、バイクの一括査定システム（原告のウェブサイト上で提供されるもの）について、SQLインジェクションに関する脆弱性が外部のポータルサイトに公開されているとの連絡をIPAから受けたことを契機に、SQLインジェクション対策に不備があることが判明し、対応措置が必要になった事案です。

原告は、システムの制作を受託した被告に対して、合計923万1,600円の損害賠償を請求しました。請求金額の内訳は、以下のとおりです。

2-2　損害が認められた項目と賠償額

裁判所は、原告と被告の間で取り交わされていた確認書において「システムの制作に当たってはセキュリティを十分に確保し、インターネット上の様々な環境においてもエラーや投稿情報漏れを無くし、個人情報の流出に対して十分な対策を備えるよう努める」と定められていたこと、また仕様書にもセキュリティに関して気を付ける点として「SQLインジェクション」が既知の脆弱性の1つとして明記されていたこと等を踏まえ、被告の責任を認めました。

しかし、相当因果関係のある損害として賠償請求が認められたのは、下表のとおり請求金額の約10％である95万1,095円に留まりました。

3.　ECサイト管理画面侵入事件（2022年判決）⁵

3-1　事案の概要

ECサイト管理画面侵入事件（2022年）は、原告が被告に対してホームページの制作とオンラインショップ機能の組込み等を委託したECサイトについて、組み込まれていた通販システムのアプリケーションログが公開領域に置かれていたほか、管理画面へのアクセス制御が行われておらず侵入が可能となっていたこと等に起因して、システム内の複数のファイルの改ざんや顧客のクレジットカード情報の流出が生じた事案です。

原告は、被告（制作会社およびその代表取締役）に対して、合計1,027万7,942円の損害賠償を請求しました。請求金額の内訳は、以下のとおりです。

3-2　損害が認められた項目と賠償額

裁判所は、原告および被告の間で契約上特段の定めはなされていなかったものの、オンラインショップ機能を有し、クレジットカード情報を扱うサイトを構築する以上、クレジットカード会社が定めるセキュリティ要件（具体的には、クレジットカード業界におけるセキュリティ基準であるPCI DSS）を満たすように構築すべき義務があったと判断し、義務違反との間に相当因果関係が認められないと判断した従業員の人件費を除いた合計1,009万742円について損害賠償を認容しました。

4.　前橋市不正アクセス事件 ⁶

4-1　事案の概要

前橋市不正アクセス事件は、原告である前橋市の教育情報ネットワーク（MENET）に関するデータセンター移管設計・構築業務および保守業務に関し、被告である受託事業者によるファイアウォール設定不備等に起因して内部ネットワークへの侵入を許し、学校関係者の多数の個人情報について情報漏えいの高い可能性が生じた事案です。

前橋市は、フォレンジック調査や外部ネットワークの調査、保護者等への通知、第三者委員会の設置、端末復旧等の各種インシデント対応のほか、MENETの再構築を余儀なくされたとして、受託事業者に対して合計1億7,735万6,440円の損害賠償を請求しました。請求金額の内訳は、以下のとおりです。

4-2　損害が認められた項目と賠償額

裁判所は、まずソフトウェア開発に係る業務委託契約では、契約締結の前後に提案依頼書（RFP）、提案書、要件定義書、基本設計書などをやり取りすることにより業務の内容が確定されていくという一般論を述べたうえで、受託者が負う債務の内容は、契約書の記載内容だけではなく、提案依頼書（RFP）、提案書、要件定義書、基本設計書等の内容を総合的に考慮して確定すべきであるとしました。

そのうえで、これらの書面の記載を踏まえ、被告は、システムの提供にあたってファイアウォールを適切に設定して通信制限を行うべき義務を負っていたと判断し、下表のとおり1億4,298万444円についての損害賠償を命じました。

なお、本件に関しては、前橋市の公表資料 ⁷ において、控訴審で、相手方が9,500万円の解決金を支払う内容の和解案が東京高裁から提示された旨が公表されています。

「委託先ベンダーに起因するサイバー被害の損害回復 損害賠償請求における実務上の留意点」では、上記の裁判例を題材として、サイバー攻撃が企業にもたらし得る損害の類型とその回復可能性、システム開発・運用・保守等の委託先ベンダーへの損害賠償請求を見据えた実務対応、セキュリティ担当者が果たすべき役割、さらにはサイバー保険を活用する場合の留意点について、実務の観点から解説しています。