サイバー攻撃の株価急落は、ほとんど起きていない — 日米137社の実測

先に、母集団の作り方を書きます

この種の検証は、どの事案を数えるかで結論が変わります。有名な大事故だけを並べれば下落率は大きく出ますし、小さな不正アクセスまで入れればゼロに近づきます。そこで銘柄を選ばず、両国の開示制度に載ったものを全数拾いました。

※期間はいずれも2023年12月18日〜2026年7月28日。米国側は全文検索が「本報告はItem 1.05に基づくものではない」と書いた8-Kも拾うため、EDGARのsubmissions APIで項目番号の実在を確認し、6社を誤検出として除外しています（うちディックス・スポーティング・グッズとグローブ・ライフはItem 8.01で開示していました）。日本側の除外17社は、社名に「サイバー」を含む会社のM&A開示のほか、事案の初報が期間より前だった3社（グラントマト・シュッピン・LINEヤフー）と、サイバー攻撃ではない自社起因のシステム障害2社（江崎グリコの基幹システム移行、プレミアグループのシステム更改）です。

イベントの起点は「市場が最初に知った日」でなければ意味がありません。米国は8-Kの提出日に加えEDGARの受理時刻（米東部時間）が公開されているため、16時以降の受理は翌営業日を起点に置き換えています。実際に受理の39社（75%）が大引け後でした。あわせて、Item 1.05より前に同じ事案をItem 8.01で開示していた社がないかを全社について遡り、5社（ソニック・オートモーティブ、クリムゾン・ワイン、ハリバートン、ユナイテッド・ナチュラル・フーズ、ストライカー）で初報のずれを補正しています。

日本側はもっと厄介でした。詳しくは後半で扱いますが、適時開示は初報とは限りません。開示前10営業日の対ベンチマーク超過リターンで「公表前にすでに売られていた社」を洗い出し、該当した社について各社のIRリリースで初報日を確認したうえで、7社の日付を差し替えています。

実測 — 初日はほぼ動かず、4日で戻る

※当サイト実測。Yahoo Finance の調整後終値（配当再投資込み）を用い、公表日の直前取引日の終値を起点にしています。ベンチマークは日本がTOPIX連動ETFの1305（iFreeETF TOPIX）、米国がSPY。より一般的な1306は2026年3月30日に、1348は2024年8月5日に、それぞれ実際のTOPIXの動きと合わない単日変動があるため採用していません。「戻るまで」は暦日数。

初日の下げは日米ともに1%に届きません。しかも日本では89社中53社、米国では48社中33社しかマイナスになっておらず、残りは公表当日にむしろ上げています。ここが通説といちばん食い違う部分です。「サイバー攻撃で急落」という前提そのものが、平均的には成立していません。

差が出るのは、そのあとの1カ月だけです。米国は20営業日かけて中央値▲4.6%まで沈み、直後20営業日の最安値も日本の約2倍にあたる▲8.4%を付けます。ところが公表前終値に戻るまでの日数は両国とも中央値4日、1年後のベンチマーク対比の超過リターンも日米ともに中央値▲17.4%で一致しました。米国のほうが深く掘るが、戻りの速さと1年後の位置は変わらない、という形です。

時価総額が大きいほど、下げは浅い

米国の48社を事案時点の時価総額で分けると、100億ドル以上の大型13社は公表初日▲0.5%、20営業日後▲1.7%、公表前終値への回復は中央値3日で、13社すべてが回復しています。マイクロソフトが2024年1月19日にロシア系の攻撃者による社内メール侵害を開示したときの初日は▲0.5%、4日で戻りました。AT&Tが2024年7月12日にほぼ全顧客の通話記録流出を開示した日は▲0.3%、6日で戻っています。

逆に深く沈んだのは、事業が止まった中小型でした。ユナイテッド・ナチュラル・フーズは2025年6月9日の公表後20営業日で▲18.8%、最安値は▲23.5%、回復に47日かかっています。F5は2025年10月15日の開示後20営業日で▲30.5%、回復まで205日でした。

情報漏えいの有無では、差がつきませんでした

この分野の古典であるCampbell・Gordon・Loeb・Zhou（2003）は、1995〜2000年に報道された事案を分析し、機密情報への不正アクセスを伴う場合にのみ有意な株価下落が出て、Webサイトの一時停止のような非機密事案では有意な反応が出ないと報告しました。市場は事案の種類を見分けている、という結論です。

同じ切り口を今回の母集団に当てました。米国は8-K本文の記述から、日本は適時開示のタイトルから、情報の窃取・漏えいへの言及の有無で機械的に二分しています。

※当サイトによる機械的分類。米国は8-K本文に個人情報・顧客データの窃取や漏えいへの言及があるかどうか、日本は適時開示のタイトルに「情報漏えい」「情報流出」「個人情報の流出」等があるかどうかで分けています。漏えいの件数・規模は考慮していません。

初日は米国で0.5ポイント、日本で0.2ポイントの差しかなく、20営業日の最安値にいたっては漏えいなしのほうが深いという逆転すら起きています。2003年の論文が見つけた差は、今回の母集団では観測できませんでした。

これは論文が間違っていたという話ではなく、母集団が違うと考えるのが自然です。Campbellらが見ていたのは新聞が報じた事案で、開示するかどうかは会社の任意でした。今回のItem 1.05は、会社自身が「重要である」と判断して法定様式で出したものだけが入ります。重要と認めた事案だけを集めた時点で、種類による差は事前に潰れている可能性があります。Amir・Levi・Livne（2018）が、企業は深刻な攻撃ほど開示を控える傾向があると報告しているのも、同じ方向の話です。

例外は、事業が止まった大型株だった

平均は動きませんが、個別には沈んだ銘柄があります。共通しているのは情報が漏れたことではなく、工場・物流・受注が実際に止まったことです。

※ニチレイの20営業日後は集計期間の終端に達していないため空欄。回復日数は暦日。

89社のうち唯一まだ公表前終値に戻っていないのがアサヒグループHDです。2025年9月29日の公表から301日を超え、ベンチマーク対比でも回復していません。同社は国内の工場・受注出荷が広範囲に止まり、2025年12月期第3四半期の決算短信の開示が四半期末後45日を超えました。KADOKAWAは20営業日で▲20.6%まで沈み、戻すのに130日かかっています。

逆に、同じランサムウェア被害でも小売のイズミは翌日に戻し、化学のレゾナック・ホールディングスは8日で戻して20営業日後にはプラス圏でした。攻撃を受けたかどうかではなく、止まった業務が売上に直結しているかどうかが、下げの深さを決めています。

日本の適時開示は、初報より遅れて出てくる

実測の途中で、株価より重い差が見つかりました。日本の投資家は、同じ事象を制度上おそく知らされます。

米国では2023年12月18日から、上場企業は重要と判断したサイバー事案を8-KのItem 1.05で原則4営業日以内に開示する義務があります。当サイトの集計期間で52社が提出しました。日本にはこれに対応する項目がなく、適時開示を出すかどうかは各社の重要性判断に委ねられています。結果として、こうなります。

※当サイトが各社のIRリリース・適時開示で確認した初報日。アスクルの10月19日は日曜のため、取引の起点はいずれにせよ10月20日になります。

とりわけアサヒグループHDは、事案そのものの適時開示を行っていません。TDnetでの初出は10月14日の「サイバー攻撃によるシステム障害発生に伴う2025年12月期第3四半期決算短信の開示が四半期末後45日を超えることに関するお知らせ」で、決算開示が遅れることの通知として初めて現れます。国内の生産と出荷が広範囲に止まった事案でこれですから、適時開示だけを監視していても事案は捕まえられません。

この非対称は集計そのものにも効きます。日本側の母集団は「適時開示を出した会社」しか含めないため、自社サイトだけで公表して以後TDnetに何も出さなかった会社は、はじめから数えられていません。アサヒグループHDが母集団に入ったのは、45日ルールの通知がたまたま出たからです。米国側にこの取りこぼしはありません。

なお開示のタイミングは、日米とも夜に寄っています。米国は52社中39社（75%）がEDGARの受理時刻で16時以降、日本は97社中59社（61%）が大引け後の開示でした。

学術評価 — 2%下がるという古い相場観は、更新されている

• Cavusoglu, Mishra & Raghunathan（2004）は、セキュリティ侵害の公表後2日で対象企業がおよそ2.1%の時価総額を失うと推計しました。「サイバー攻撃で2%下がる」という相場観の出どころですが、これは1996〜2001年の事案に基づくものです。今回の実測での初日中央値は日米とも1%未満でした。
• Campbell, Gordon, Loeb & Zhou（2003）は、機密情報への不正アクセスを伴う事案にのみ有意な下落が出ると報告しました。前述のとおり、今回の母集団ではこの差は観測できていません。
• Kamiya, Kang, Kim, Milidonis & Stulz（2021、Journal of Financial Economics）は、個人情報の流出を伴う攻撃が企業の評判・売上成長・経営陣の交代に及ぼす影響まで追跡し、株価の初期反応より後から効いてくる経路があることを示しています。株価が数日で戻ることと、企業が無傷であることは別の話です。
• Amir, Levi & Livne（2018、Review of Accounting Studies）は、企業が深刻な攻撃ほど開示を控える傾向を報告しています。開示された事案だけを見た統計は、実際より軽いほうに偏るということになります。今回の母集団もこの偏りを免れません。

出典と一次資料

• SEC EDGAR 全文検索 — 8-K Item 1.05（重要なサイバーセキュリティ事案）
• SEC — サイバーセキュリティの開示規則採択（2023年7月26日・Item 1.05 は2023年12月18日から適用）
• 東京証券取引所 — 適時開示情報閲覧サービス（TDnet）
• Campbell K, Gordon LA, Loeb MP, Zhou L, "The economic cost of publicly announced information security breaches," Journal of Computer Security 11(3), 431–448 (2003)（doi:10.3233/JCS-2003-11308）
• Cavusoglu H, Mishra B, Raghunathan S, "The Effect of Internet Security Breach Announcements on Market Value," International Journal of Electronic Commerce 9(1), 70–104 (2004)（doi:10.1080/10864415.2004.11044320）
• Kamiya S, Kang J-K, Kim J, Milidonis A, Stulz RM, "Risk management, firm reputation, and the impact of successful cyberattacks on target firms," Journal of Financial Economics 139(3), 719–749 (2021)（doi:10.1016/j.jfineco.2019.05.019）
• Amir E, Levi S, Livne T, "Do firms underreport information on cyber-attacks? Evidence from capital markets," Review of Accounting Studies 23, 1177–1206 (2018)（doi:10.1007/s11142-018-9452-4）
• ニチレイ — 当社グループでのシステム障害発生について（2026年7月13日）
• アサヒグループホールディングス — サイバー攻撃による情報漏えいに関する調査結果と今後の対応について
• レゾナック・ホールディングス — 弊社にて発生したセキュリティインシデントについて（第一報・2025年5月20日）
• piyolog — サイバー攻撃によるニチレイグループのシステム障害についてまとめてみた

FAQ

Q. サイバー攻撃を受けた株を買うのは有効ですか？
当サイトの実測では、買えるほどの下げがそもそも起きていません。公表初日の株価は日本の89社で中央値▲0.7%、米国の48社で▲0.8%です。公表後20営業日のあいだに付けた最安値でみても日本は▲4.3%、米国は▲8.4%にとどまり、公表前の終値に戻るまでの日数は日米とも中央値4日でした。日本では89社中10社が、20営業日のあいだ一度も公表前の終値を割っていません。「急落したところを拾う」という発想は、拾える急落が起きる確率のほうが低いということになります。なお本記事は過去の値動きを集計したもので、特定の銘柄や売買タイミングを推奨するものではありません。

Q. 日本と米国では反応に差がありますか？
公表初日はほぼ同じで、その後の掘り方に差が出ます。初日は日本▲0.7%・米国▲0.8%とほとんど変わりませんが、20営業日後の中央値は日本が+0.8%なのに対し米国は▲4.6%です。公表後20営業日の最安値も日本▲4.3%に対し米国▲8.4%、60営業日では日本▲7.1%に対し米国▲11.1%で、米国のほうがおよそ2倍深く掘っています。一方で公表前終値に戻るまでの日数は両国とも中央値4日、1年後のベンチマーク対比の超過リターンも日米とも中央値▲17.4%で一致しました。差が出るのは「公表から1カ月のあいだにどこまで下げるか」に限られます。

Q. 個人情報が漏えいした事案のほうが株価は下がりますか？
当サイトの母集団では差が出ませんでした。米国の48社を8-K本文の記述から分けると、情報の窃取・漏えいに言及した29社は公表初日▲1.3%・20営業日の最安値▲7.8%、言及がない19社は初日▲0.8%・最安値▲8.4%で、後者のほうがわずかに深いという結果です。日本でも漏えいに言及した25社が初日▲0.8%、言及のない64社が▲0.6%でほぼ同じでした。Campbell・Gordon・Loeb・Zhou（2003）は1995〜2000年の報道ベースの事案で「機密情報への不正アクセスを伴う場合にのみ有意な下落が出て、Webサイトの一時停止のような非機密事案では有意な反応が出ない」と報告していますが、開示が制度化された後の母集団ではこの差が観測できていません。ただし当サイトの分類は開示文書のキーワードによる機械的なもので、漏えいの規模は考慮していません。

Q. 日本の適時開示を見ていれば事案に気づけますか？
気づくのは遅れます。当サイトが一次資料で初報日を確認した7社では、東証の適時開示（TDnet）が会社自身の公表より最大15日遅れていました。アサヒグループホールディングスは2025年9月29日に自社サイトで公表しましたが、事案そのものの適時開示は行っておらず、TDnetでの初出は10月14日の「決算短信の開示が四半期末後45日を超えることに関するお知らせ」です。KADOKAWAは9日、イズミは6日、レゾナック・ホールディングスとニチレイは3日の遅れでした。米国では2023年12月18日から重要なサイバー事案の8-K（Item 1.05）提出が義務化され、当サイトの集計期間で52社が提出していますが、日本には対応する制度がなく、開示するかどうかは各社の重要性判断に委ねられています。

スポンサーリンク

あわせて読みたい

• 投資の考え方 — 検証シリーズ全10本の一覧（ハブ）
• ディフェンシブ株はなぜ一撃で崩れるのか — 同じく「一度の事故」が株価に何をするかの検証
• Nifty Fifty は本当に没落したのか — 母集団の選び方で結論が反転する実例
• 「バイオ株は上がらない」は本当か — 起点の違いが銘柄差より効くという話
• 「米国にSIerはいない」は本当か — 米国のITサービス企業をたどった回
• ウォルグリーンを沈めたのはセラノスか — 派手な事件と本当の損失は別だった検証
• 下げ相場で個人株主が多い株が勝つのは、資金移動ではなくβが原因だった
• インドの雨は金の需要を動かす。ただし価格には届かない — 54年の実測
• 米価が上がって儲かったのは、コメを売る側だけだった — 上場3,890社の全数走査
• 「中国が国産化する」で売って正解だったのは、10回中4回だった
• サイバー攻撃を公表した上場企業137社と、その後の株価 — 本記事の母集団を引けるデータ一覧
• 下がった任天堂株の「買い目」を、25年分の全営業日で探した
• テレビで紹介された株が上がるのは放送の前だった — カンブリア宮殿993回の全数実測
• 株主優待の廃止・新設と株価 — TDnet16年半の全数実測
• 設備投資の発表で、株価はその日動かなかった — TDnet16年半・2,140件の実測

本記事は米国証券取引委員会（SEC）EDGARの法定開示、東京証券取引所の適時開示情報、学術文献および市場データ（Yahoo Finance経由）を基に、当サイトが計算条件を明示した上で集計・整理した一般的な情報提供を目的としており、特定の銘柄・商品・売買タイミングの採用を推奨・勧誘するものではありません。過去の実績は将来の成果を保証しません。投資に関する最終判断はご自身の責任で行ってください。

出典：SEC EDGAR（8-K Item 1.05）、東京証券取引所 適時開示情報（TDnet）、Campbell・Gordon・Loeb・Zhou (2003) Journal of Computer Security 11(3)、Cavusoglu・Mishra・Raghunathan (2004) International Journal of Electronic Commerce 9(1)、Kamiya・Kang・Kim・Milidonis・Stulz (2021) Journal of Financial Economics 139(3)、Amir・Levi・Livne (2018) Review of Accounting Studies 23、各社IRリリース。市場データは2026年7月28日まで（実測・集計は当サイト算出、2026年7月28日時点・編集部構成）。