目次6 章
冷凍食品大手のニチレイが、サイバー攻撃の影響で冷蔵倉庫の出庫がおよそ2週間ストップし、通期の売上が50億円も吹き飛ぶ見通しを発表しました。システムがやられたのは一箇所。でも食卓や株価に響くのはこれからです。なぜたった一度の攻撃がこれほどの損害を生むのか──サプライチェーンという視点で解きほぐします。
冷凍倉庫が2週間止まった──何が起きたのか
ことの発端は、同社の物流子会社が受けたランサムウェア攻撃です。倉庫の在庫管理や出荷指示を出すシステムが暗号化されて動かなくなり、冷凍食品をトラックに積み込めなくなった。現場には商品があるのに、どこに何があるか分からない。手作業で帳簿を繰っても、全国のスーパーやコンビニへ納める量とスピードには到底追いつきません。
食品物流は時間との勝負です。賞味期限が刻一刻と迫る在庫を抱え、出荷が2週間も滞れば、その間に販売機会を失った商品は廃棄か値引きを余儀なくされます。同社は「売上高50億円の減少」という数字を算出しましたが、これは物理的な破壊ではなく、システム停止がもたらした機会損失──つまり、本来得られたはずの売上が得られなかった損害です。
この「2週間」という時間の重みを理解するために、冷凍倉庫を「巨大な冷蔵庫」ではなく「回転ずしのベルトコンベア」に喩えてみましょう。普段は流れ続けるベルトが、突然停止したらどうなるか。厨房は在庫を抱えてパンクし、客の前に寿司は届かず、やがてネタは傷む。ニチレイのケースはまさにこれで、止まったベルトの間に失われた売上は戻ってきません。
このベルトコンベアのたとえを別の場面にも当てはめてみましょう。たとえば、コンビニのおでんやスイーツの棚を想像してください。あの限られたスペースに、毎日決まった時間に決まった量の商品が届くのは、物流センターの在庫データと店舗の発注がリアルタイムでつながっているからです。今回のように倉庫のシステムが止まってしまうと、店舗の棚は空いたまま補充されず、メーカーは作った商品を保管する場所さえ失います。つまり、ベルトコンベアは一つではない。倉庫、運送業者、店舗という複数のベルトが連動していて、どこか一つが止まれば全体が詰まる構図なのです。
さらに冷凍食品のサプライチェーンには、「単品大量生産」ではなく「多品種少量の混載」という特徴があります。一つのトラックにさまざまな商品を積み合わせて効率よく配送するためには、システムによる緻密な積み付け指示が不可欠。手作業では、出荷先ごとに異なる商品構成を間違いなく揃えるのに膨大な時間がかかる。つまり、システム停止の影響が特に大きくなる背景には、こうした物流現場の高度なデジタル依存があり、人力での代替が効かないレベルに達していることが「2週間」という長期停止の真因と考えられます。
なぜ食品物流は狙われた？サイバー攻撃の「格好の的」
サイバー攻撃の標的として、食品・物流業界は近年ホットスポットになっています。理由は単純で、操業を止められると死活問題だからです。生鮮品や冷凍品を扱う企業は在庫の劣化スピードが速く、システム停止のダメージが時間とともに雪だるま式に増える。攻撃側からすれば「身代金を支払う確率が高い相手」と映ります。
もうひとつ、物流には「サプライチェーンの結節点」という特徴があります。倉庫が麻痺すれば、川上の製造ラインにも川下の小売店にも影響が波及する。ニチレイの場合も、自社の倉庫だけでなく、取引先の食品メーカーや外食チェーンまで巻き込んだはずです。ある調査では、製造業のサプライチェーン攻撃の8割以上が、二次被害として取引先の操業停止を引き起こしたというデータもあります。
実は今回の攻撃は、ニチレイ単体のセキュリティの穴というより、業務のデジタル化がもたらす「効率とリスクのトレードオフ」の問題です。在庫管理や受発注を自動化すればするほど、一箇所の停止が全体を凍り付かせる「単一障害点」が生まれる。これは何も食品業界に限った話ではありません。
この「効率とリスクのトレードオフ」は、ちょうど集中管理された巨大な変電所と、各家庭に分散された小型発電機の関係に似ています。変電所が一カ所あれば効率的ですが、落雷ひとつで広範囲が停電する。一方で、各戸が自家発電していれば停電に強いかわりに維持費がかさむ。企業のIT投資も同じで、クラウド統合でコストを下げてスピードを上げるほど、単一障害点リスクは高まる。経営層はこのジレンマを認識し、あえて「非効率な冗長性」をどこまで組み込むかという判断を迫られているのです。ニチレイの件が「特別な失敗」ではなく、デジタル化を推し進める多くの企業に潜む構造的リスクであることを、投資家は忘れてはいけません。
50億円の売上減はどう算定された？ 見えてくる「被害額の構造」
ニチレイの発表によれば、出庫停止は約2週間。同社の年間売上は約6,000億円なので、単純に日割り計算すると2週間分の売上は230億円程度です。50億円という数字は、「そのうち回復できなかった分」とみられます。具体的には、廃棄した在庫の原価、値引きによる粗利の減少、そして何より、停止期間に競合他社に奪われた販売機会を含んでいるのでしょう。
ここで重要なのは、被害額が「出荷停止期間 × 単価」ではなく、「失った顧客」と「毀損したブランド」まで含んでいる点です。スーパーのバイヤーが「ニチレイがいつ止まるか分からないなら、別のメーカーと契約しよう」と動けば、被害は一時的では済みません。この「信頼コスト」は財務諸表に直接現れませんが、投資判断では決定的に重要です。
過去の事例を振り返ると、2021年に米国の食肉加工大手JBSがランサムウェア攻撃を受け、米国内の牛肉処理能力の約5分の1が一時停止。結果、1100万ドルの身代金を支払い、さらに復旧費用と逸失利益で数千万ドルを失ったと報じられています。操業停止は「生産ラインが動かない」という単純な事実ですが、その背後では取引先が代替調達に走り、契約更改で不利な立場に立たされるという連鎖が起きるのです。
この「信頼コスト」を額に換算するのは難しいですが、一つ参考になる指標があります。食品スーパーのバイヤーが新規の取引先を審査する際、最近では「BCPに関する監査項目」を設ける動きが広がっています。もしサプライヤーがサイバー攻撃を受けて供給責任を果たせなかった場合、そのバイヤーは社内の調達基準に照らして取引縮小を決定せざるを得ません。つまり、一度でも供給が途絶えたメーカーは、調達先リストの「優先順位」を下げられるリスクがある。この順位の変動こそが、数年単位でジワジワと効いてくる「目に見えない損害」であり、四半期ごとの売上数字以上に厄介な問題です。
さらに、最近のサプライチェーン管理では「集中購買からの分散化」がキーワードになっています。コロナ禍以降、多くの小売業は特定メーカーへの依存度を引き下げ、調達先の複線化を進めてきました。ニチレイの一時的な供給停止をきっかけに、「やはり複数購買を徹底しよう」という流れが加速すれば、被害は単なる逸失利益に留まらず、中長期的なシェア低下につながる可能性がある。これはJBSの事例が示すパターンとまったく同じで、業種や国を超えた共通の構造だと捉えるべきでしょう。
あなたの投資先は大丈夫？ 決算書と開示資料で見抜く「サイバー体質」
ニチレイの件をわが事として捉えるなら、投資先のサイバーリスク耐性をどう評価するかが次の焦点です。最初に見るべきは「事業継続計画（BCP）」の開示。有価証券報告書の「事業等のリスク」の項目に、サイバー攻撃への具体的な対策と、被災時の復旧目標時間が書かれていれば、経営陣がリスクを「直視」している証拠です。単に「セキュリティ対策を強化します」と書いてあるだけの企業は要注意。
次にチェックしたいのが、サイバー保険の加入有無と補償範囲です。これは有報の「訴訟リスク」や「保険の概要」に間接的に出てくることもありますが、はっきり書かれないケースも多い。そんな時はIR資料やサステナビリティレポートを探すか、直接IRに問い合わせるのも一手です。保険があるから安心というより、保険を手配できるだけのリスク管理体制があるかどうかのリトマス試験紙になります。
もうひとつ、見落としがちなのが「システム投資の内訳」です。決算説明会資料や中期経営計画で、DX予算の中に「セキュリティ」や「レジリエンス」という言葉がどの程度の金額で登場するか。攻撃を受けてから慌てて予算を積む企業と、平時に地道に投資している企業では、いざという時の復旧スピードがまったく違います。特にサプライチェーンの結節点にいる企業──物流、商社、部品メーカー──は、この視点で選別したいところです。
株価はどう動く？ サイバー攻撃が市場に与える「本当の傷」
サイバー攻撃のニュースが出た時、株価は一時的に下がるものの、それほど長引かない──と思っていませんか？ 実際には、被害の全容が分かるまで市場は評価を保留するため、発表から数週間かけてじわじわと織り込まれることが多いのです。しかも真のダメージは、その後の決算で「販管費の増加」や「売上原価率の上昇」という形で表面化することがあります。
市場がじわじわと織り込む理由は、「サイバー被害の不透明性」にあります。企業がまず発表するのは、停止した期間や直接的な金額ですが、それがサプライチェーンを通じていつ、どの程度の二次被害に拡大するかは誰にもわからない。たとえば、ニチレイから商品を仕入れていた外食チェーンが、欠品を補うために緊急調達をかけた追加コストを、後日ニチレイに値引き要求として跳ね返してくるかもしれません。こうした事後的な損失は、発生してから決算に計上されるため、ニュースが出た瞬間には株価に織り込まれない。だからこそ、最初の報道から数週間は「情報が出尽くすまで買いづらい」と考える機関投資家が多く、株価は軟調に推移しがちです。
米国の事例では、2017年に海運大手マースクが「NotPetya」攻撃を受け、ITシステムのほぼ全停止に陥りました。復旧費用と逸失利益は3億ドルにのぼり、株価は直後こそ急落しなかったものの、その後の四半期決算でコスト増が嫌気されて下落トレンドが続きました。さらに痛かったのは、顧客の一部が物流の安定性を懸念してライバル船会社に流れたこと。この「静かなる流出」こそ、サイバー攻撃の最大のリスクです。
では、今回のニチレイのケースで注目すべきはどこか。それは短期的な売上減よりも、今回の件をきっかけに、小売側が「調達先の分散」を進めるかどうかです。もしコンビニチェーンが「冷凍食品の安定供給のために、ニチレイ以外のメーカーも育てよう」と動き始めたら、影響は50億円では済まない。投資家は、次の決算説明会で「顧客との契約状況」を問うべきでしょう。
マースクのケースで見落とされがちなのが、「保険金がおりた後」の話です。同社は巨額の保険金を受け取りましたが、収益への打撃は保険金ではカバーできませんでした。なぜなら、失った顧客の「予約枠」や「長期契約」は戻ってこないからです。海運業は一度航路の枠を取られると、次の契約更改時期まで入り込めないビジネスモデル。同様に、冷凍食品もコンビニの棚の「定番枠」やスーパーの「フェア企画」は予め年間計画で押さえられているため、一度空けた穴を他社に埋められると、次年度の商談まで挽回できない。この「時間枠の喪失」が、サプライチェーン型サイバー攻撃の損害を巨額化させるもう一つの構造です。
次に似たニュースを見たときのチェックポイント
サイバー攻撃の報道に接したら、まず「止まったのはどの機能か」を整理してください。システムが止まったのか、工場が止まったのか、物流が止まったのか。そして、その機能が売上に直結する「心臓部」なのか、それとも間接部門なのか。ニチレイは倉庫の出庫という、まさに動脈が止まりました。動脈が止まれば、数日で売上が消し飛ぶのは当然なのです。
次に、その企業が「代替手段」を持っているかどうか。手動のバックアップ体制や、別の物流センターでカバーできる余剰能力があれば、被害は限定的です。逆に、在庫管理や受注がすべてクラウド化され、一箇所に依存しているなら、ニチレイと同じ道をたどる可能性があります。技術の進化は効率を上げる一方で、攻撃を受けた時の「倒れやすさ」も高めている。この二面性を理解している経営者かどうかが、投資判断の分かれ目です。
最後に、開示の「スピードと具体性」を見てください。被害を受けた企業が、いつ、どこまで情報を出したか。ニチレイは比較的早い段階で影響額を公表しましたが、中には被害を隠蔽したり、曖昧な表現でごまかす企業も少なくありません。発表が遅れ、内容が薄い企業は、それだけで内部統制やガバナンスに問題がある可能性があります。サイバー攻撃は、その企業の「開示体力」もあぶり出すのです。
