サイバー攻撃は、企業の情報システムを停止させるだけでなく、売上高、利益、キャッシュフロー、さらには企業価値にまで影響を及ぼす経営リスクです。
2026年10月に発生したGMOインターネットグループへの大規模な不正アクセス事件は、そのことを改めて浮き彫りにしました。
今回の事件では、外国為替証拠金取引の自動売買などに利用されるクラウドサービスが攻撃を受け、顧客情報の流出や不正な金融取引の疑いが生じました。
GMOは被害拡大を防止するためにサービスを停止し、利用者への見舞金や取引損失の補償方針を発表しました。
しかし、企業が負担する経済的損失は、顧客への補償金だけではありません。
システムの復旧費用、外部専門家への調査費用、売上高の減少、顧客離れ、信用低下など、多くの影響が考えられます。
さらに、上場企業では、サイバー攻撃が将来の収益力に対する投資家の評価を変え、株価や企業価値に影響する可能性があります。
今回は、サイバー攻撃が企業価値を毀損する仕組みを、企業会計、財務分析、情報開示、経営戦略の観点から考えます。
サイバー攻撃による損失は補償金だけではない
サイバー攻撃による企業の損失は、大きく直接的な損失と間接的な損失に分けられます。
直接的な損失には、システム復旧費用、原因調査費用、顧客への補償金、外部専門家への報酬などがあります。
例えば、不正アクセスによって顧客情報が漏洩した場合、企業は被害の範囲を調査し、顧客への通知や問い合わせ対応を行う必要があります。
また、システムの安全性を確認するために、外部のセキュリティー専門会社へ調査を依頼する場合もあります。
これらの費用は、比較的短期間で発生することが特徴です。
一方、間接的な損失には、サービス停止による売上減少、顧客離れ、取引先からの信用低下などがあります。
例えば、企業が提供するクラウドサービスが長期間停止すれば、利用者が競合サービスへ移行する可能性があります。
その結果、サービスが復旧した後も、以前の売上水準に戻らないことが考えられます。
サイバー攻撃による経済的影響を評価する際には、事故発生直後の費用だけでなく、将来の収益への影響も考慮する必要があります。
GMO事件で発生する可能性がある経済的負担
GMOインターネットグループは、今回の不正アクセス事件を受け、利用者に一律5,000円の見舞金を支払う方針を発表しました。
また、不正アクセスが原因と認められる外国為替証拠金取引の損失についても、補償する方針を示しています。
さらに、サービスの乗り換えを希望する利用者には、代替サービスを6カ月間無償で提供するとしています。
これらの対応には、一定の費用が発生します。
仮に2万6,739件のサーバーに対応する契約がすべて見舞金の支払対象となり、各契約に5,000円を支払うとすれば、単純計算で約1億3,370万円になります。
ただし、実際の支払額は対象となる利用者数や契約単位などによって異なるため、この金額は確定した費用ではありません。
また、金融取引上の損失補償額についても、被害調査の結果によって変動します。
さらに、システム復旧やセキュリティー対策の強化にも費用がかかる可能性があります。
重要なのは、事件発生時点では企業が最終的に負担する金額を正確に把握することが難しいという点です。
経営者は、不確実な損失を段階的に把握し、財務への影響を継続して評価する必要があります。
サイバー攻撃が売上高と利益に与える影響
サイバー攻撃によってサービスが停止した場合、企業の売上高が減少する可能性があります。
例えば、月額料金を受け取るクラウドサービスでは、サービス停止によって料金の返金や減額が必要になる場合があります。
また、利用者が解約すれば、その後の継続収入も減少します。
特に、月額課金型の事業では、顧客との継続的な契約が企業価値を支える重要な要素となっています。
仮に月額5,000円のサービスを利用する顧客が1,000人減少した場合、年間売上高は単純計算で6,000万円減少します。
この顧客減少が数年間続けば、累積的な影響はさらに大きくなります。
また、事故対応のために従業員が通常業務から離れれば、新規事業や営業活動にも影響する可能性があります。
さらに、再発防止のための設備投資や外部委託費用が増加すれば、利益率が低下することも考えられます。
サイバー攻撃による影響は、一時的な特別損失だけでなく、通常の営業利益にも及ぶ可能性があるのです。
企業価値は将来キャッシュフローで決まる
企業価値を考えるうえで重要なのは、将来のキャッシュフローです。
企業価値評価では、将来生み出すと予想されるフリーキャッシュフローを現在価値に割り引く方法が広く利用されています。
この方法は、一般にDCF法と呼ばれます。
例えば、ある企業が将来にわたって安定したキャッシュフローを生み出すと予想される場合、その企業には高い価値が認められます。
しかし、サイバー攻撃によって顧客離れが進み、将来の売上高や利益が減少すると予想されれば、企業価値は低下する可能性があります。
さらに、企業の事業継続に対する不確実性が高まれば、投資家が要求するリターンも変化する場合があります。
その結果、将来キャッシュフローを割り引く際の割引率が上昇し、企業価値が低下する可能性があります。
つまり、サイバー攻撃は将来のキャッシュフローを減少させるだけでなく、その不確実性を高めることによっても企業価値に影響するのです。
企業価値の毀損を数値で考える
ここで、サイバー攻撃による企業価値への影響を簡単な例で考えます。
ある企業が、毎年10億円のフリーキャッシュフローを継続的に生み出すと仮定します。
割引率を8%とし、成長率を0%とする単純な永久年金モデルでは、企業価値は125億円になります。
ところが、サイバー攻撃によって顧客離れが進み、年間フリーキャッシュフローが9億円に減少したとします。
同じ割引率8%で計算すると、企業価値は112億5,000万円になります。
この場合、年間キャッシュフローの減少額は1億円ですが、企業価値の減少額は12億5,000万円です。
さらに、事業リスクの上昇によって割引率が9%になった場合、企業価値は100億円になります。
当初の125億円と比較すると、25億円の減少です。
もちろん、これは企業価値評価の仕組みを説明するための単純な仮定であり、GMOの実際の企業価値を示すものではありません。
しかし、一時的な事故が将来の収益力やリスク評価を変化させれば、企業価値への影響が直接的な損失額を大きく上回る可能性があることが分かります。
サイバー攻撃と株価の関係
上場企業が重大なサイバー攻撃を受けた場合、株価が下落する可能性があります。
投資家が、将来の業績悪化や顧客離れ、損害賠償などを懸念するためです。
ただし、サイバー攻撃が発生した企業の株価が必ず下落するわけではありません。
事件の規模、企業の財務基盤、復旧の見通し、補償方針、市場全体の動向などによって反応は異なります。
また、事故発生後に企業が迅速な情報開示や適切な補償を実施すれば、投資家の不安が和らぐ可能性もあります。
株価は、現在の損失だけでなく、将来の業績や経営への信頼を反映します。
そのため、企業がどのような危機管理能力を持っているかも重要です。
なお、株価下落による時価総額の減少と、企業の会計上の損失は同じものではありません。
時価総額は株式市場で評価された株主価値であり、会計上の費用や損失とは区別する必要があります。
サイバー攻撃による損失の会計処理
サイバー攻撃によって企業に損失が発生した場合、適切な会計処理が必要になります。
例えば、システムの復旧費用や外部専門家への調査費用が発生した場合には、その内容に応じて費用処理などを検討します。
また、顧客への補償金についても、支払い義務の有無や金額の確定状況に応じて処理する必要があります。
将来の損失について、発生の可能性が高く、金額を合理的に見積もることができるなどの要件を満たす場合には、引当金の計上が問題となります。
一方、損失の発生可能性や金額が不確実な場合には、偶発債務としての注記の必要性などを検討することになります。
また、サイバー攻撃によって事業の収益性が低下した場合、関連する固定資産について減損の兆候が生じる可能性があります。
例えば、特定のサービスが長期間停止し、将来の収益見通しが大きく悪化した場合には、固定資産の回収可能性を検討する必要があります。
ただし、サイバー攻撃が発生したという事実だけで、直ちに減損損失を計上するわけではありません。
具体的な事実関係と会計基準に基づく判断が必要です。
損失額が確定しない場合の財務報告
サイバー攻撃の特徴の一つは、被害額の確定に時間がかかることです。
例えば、顧客情報の流出範囲が明らかになるまでには、詳細な調査が必要になります。
また、不正な金融取引が発生した場合には、個々の取引が攻撃によるものかどうかを確認する必要があります。
さらに、顧客から損害賠償請求を受ける可能性もあります。
このような状況では、決算時点で損失額を正確に見積もれない場合があります。
企業は、確認された事実と不確実な事項を区別し、適切な財務報告を行う必要があります。
また、決算日後に重大なサイバー攻撃が発生した場合には、後発事象としての取り扱いを検討する必要があります。
財務諸表の修正が必要となる場合と、注記による情報提供が必要となる場合では、判断が異なります。
監査を受ける企業では、監査人に対して事故の内容や損失見積もりの根拠を説明することも重要です。
サイバー攻撃は、情報システム部門だけでなく、経理部門や監査人にとっても重要な検討事項となっています。
適時開示と投資家への説明責任
上場企業が重大なサイバー攻撃を受けた場合、投資家への情報開示も重要になります。
東京証券取引所の適時開示制度では、投資判断に重要な影響を及ぼす会社情報について、適切な開示が求められています。
サイバー攻撃についても、事業への影響や損失の規模などによっては、適時開示の対象となる可能性があります。
ただし、すべてのサイバー攻撃について、直ちに適時開示が義務付けられるわけではありません。
企業は、事件の重大性や業績への影響などを踏まえて判断する必要があります。
また、被害額が確定していない段階では、確認できた事実と調査中の事項を明確に区別することが重要です。
例えば、影響を受けた可能性がある顧客数と、実際に被害が確認された顧客数は異なります。
この違いを曖昧にすると、投資家に誤解を与える可能性があります。
企業には、迅速な情報開示と正確性の確保を両立させることが求められます。
サイバー攻撃が企業の信用を毀損する仕組み
企業価値を支える重要な要素の一つが、顧客や取引先からの信用です。
特に、金融、通信、クラウドサービスなどの分野では、情報システムの安全性がサービスの価値と密接に結びついています。
利用者は、サービスの価格や機能だけでなく、安全に利用できることを期待しています。
そのため、重大なサイバー攻撃が発生すると、サービスそのものへの信頼が低下する可能性があります。
例えば、企業が復旧後にサービスを再開しても、利用者が再び同じサービスを利用するとは限りません。
また、取引先がセキュリティー対策の見直しを求めたり、契約条件を厳しくしたりする可能性もあります。
企業の信用は、長年の事業活動によって積み重ねられるものです。
しかし、重大な事故によって短期間で損なわれる場合があります。
そのため、事故発生後の対応では、システムの復旧だけでなく、顧客や取引先との信頼関係を回復することが重要になります。
サイバーリスクを企業価値評価にどう反映するか
企業価値評価では、売上高や利益、キャッシュフローなどの財務情報が重要です。
しかし、サイバーリスクのような非財務情報も、将来の業績に影響する可能性があります。
例えば、企業が重要なシステムを特定の外部事業者に依存している場合、その委託先の安全管理体制が企業の事業継続に影響します。
また、顧客情報を大量に保有する企業では、情報漏洩による損害賠償や信用低下のリスクを考慮する必要があります。
投資家は、こうしたリスクを将来キャッシュフローの予測や割引率の評価に反映することが考えられます。
一方、適切なセキュリティー対策を実施し、事故対応能力を高めている企業では、事業継続に対する信頼が高まる可能性があります。
そのため、サイバーセキュリティーへの投資は、単なる費用ではなく、企業価値を維持するための重要な経営投資と考えることができます。
ただし、セキュリティー投資を増やせば必ず企業価値が上昇するわけではありません。
投資額とリスク低減効果を比較し、合理的な経営判断を行うことが重要です。
経営者が整備すべきサイバーリスク管理体制
サイバー攻撃による企業価値の毀損を防ぐためには、経営者自身がリスク管理に関与する必要があります。
まず、自社の重要な情報資産や業務システムを把握することが重要です。
次に、どのシステムが停止すると事業に重大な影響が生じるのかを評価する必要があります。
さらに、サイバー攻撃が発生した場合の事業継続計画を整備し、復旧手順を確認しておくことが求められます。
また、取締役会では、サイバーリスクの状況や対策の進捗を定期的に確認することが重要です。
内部監査部門による検証や、外部専門家による評価も有効です。
特に、重要な業務を外部のクラウドサービスに委託している場合には、委託先の安全管理体制を継続的に確認する必要があります。
事故発生後の対応だけでなく、平常時からの準備が企業価値の維持につながります。
結論
サイバー攻撃は、企業の情報システムに対する技術的な問題であると同時に、企業価値を毀損する重大な経営リスクです。
今回のGMOインターネットグループへの不正アクセス事件では、顧客情報の流出や不正な金融取引の疑いに加え、サービス停止、見舞金の支払い、損失補償などの対応が必要になりました。
しかし、企業が負担する経済的影響は、こうした直接的な費用だけではありません。
顧客離れによる将来の売上減少、利益率の低下、信用の毀損、投資家によるリスク評価の変化などを通じて、企業価値に影響する可能性があります。
特に、企業価値が将来キャッシュフローとその不確実性によって評価されることを考えると、一時的な事故が長期的な企業価値の低下につながる可能性があります。
そのため、経営者には、サイバー攻撃による損失を適切に会計処理するだけでなく、将来の収益力への影響を評価することが求められます。
また、上場企業では、投資家への迅速かつ正確な情報開示も重要です。
サイバーセキュリティー対策は、情報システムを守るための費用ではなく、企業の収益力、信用、事業継続を支える経営投資です。
企業価値を守るためには、事故が発生してから対応するのではなく、平常時から適切なリスク管理体制を整備しておくことが不可欠なのです。
参考
日本経済新聞 2026年10月25日 朝刊「GMO、『能動的サイバー防御』適用を政府に要請 不正アクセス問題」
日本経済新聞 2026年10月25日 朝刊「FX自動取引、トレーダー『いったん止める』 GMO不正アクセスで動揺」
GMOインターネットグループ 2026年10月24日 不正アクセス事件に関する発表
企業会計基準委員会「固定資産の減損に係る会計基準の適用指針」
東京証券取引所「会社情報適時開示ガイドブック」