【REXTランサムウェア被害】経営が知らない、もう一つの貸借対照表――償却済みの情報資産が「簿外債務」として現れる日

営業は再開するも「調査中」

2026年8月9日、CD、DVD、書籍、雑貨、アパレルほかを扱う各種店舗を運営し販売・買い取りを行うREXT株式会社が、社内ネットワークの一部でランサムウェア（データを暗号化して身代金を要求する攻撃）による不正アクセス被害を確認した。

翌10日に親会社のREXT Holdingsが第1報を公表。一部店舗の休業や部分営業、キャッシュレス決済の利用制限、買い取り受付・査定の停止、ポイントサービスの休止、通販サイトの発送遅延と、影響は店舗とオンラインの双方に及んだ。初動ではWonderREXとWonderGOOが一部店舗を除いて休業する一方、HAPiNSとJEANS MATEは店を開けたまま、手作業の会計で乗り切る対応が取られた。

8月14日の第2報では、外部専門機関による詳細調査を開始し、警察と個人情報保護委員会に報告したことが説明された。あわせて、その時点の調査では顧客の個人情報や取引先情報の外部漏えいの可能性は「極めて低いと推定」される、との見立ても示された。休業していた店舗は8月16日までにすべて営業を再開した。だが、一部サービスの制限は残った。

発生から2週間を経た8月25日、総合リユースショップ・WonderREXのオンラインショップでは「在庫表示と実店舗在庫の相違」が新たに告知された。通販と店舗の在庫を同期させる仕組みがまだ戻りきっていないことを示す告知である。

そして8月31日の第3報。直営116店舗に残る一部サービスや決済方法の制限は「9月上旬をめどに解消の見込み」とされる一方、原因と影響範囲は引き続き「調査中」とされた。

注目したいのは、止まり方の順番だ。店の扉は早く開いた。だが、買い取りの査定、ポイントの付与、在庫の連携といった、リユース業・小売業の中核に近い機能ほど、復旧に時間がかかった。売り場や棚は無事でも、商流を流す「見えない配管」が壊れると、商売は完全には戻らない。見落としてはならないのは、店舗運営の復旧と、侵害調査の完了は、別の話だということだ。店が全部開いても、何が起き、何を持ち出されたのかが分かっていないなら、事案が終わっているとは言えないのだ。

さらにもう一つ。REXT Holdingsグループでは、わずか2カ月前の6月、連結子会社のD&MがVPNVPN：インターネットなど公衆ネットワーク上に、暗号化された仮想的な専用通信路（トンネル）を構築する技術。詳しく見る →機器（社外から社内ネットワークに入るための装置）経由の不正アクセスを受け、約2年分のFAX受注データに含まれる633件の個人情報が流出した可能性を公表していた。8月5日には、グループのRIZAPが運営するAPORITOオンラインストアでも不審なプログラムが見つかり、サイトが閉鎖されている。3カ月に3件。これは偶然だろうか。

償却が終わった資産は「無害」ではない

会計の世界では、設備やシステムは資産として計上され、使用年数に応じて帳簿上の価値を減らしていく。減価償却である。償却が終われば簿価（帳簿価格）はゼロ。帳簿の上では「もう価値はないが、害もないもの」として扱われ、経営者の視界からは静かに消えていく。

だが情報システムの現実は、この扱いと逆行する。メーカーのサポート期限を過ぎた、あるいは誰も面倒を見ていないVPN機器、更新が止まった古いサーバー、減価償却が終わったが安定しているためそのまま使い続けているシステム。これらは償却が終わった頃、あるいは保守をやめた頃から、むしろリスクが増え始める。

攻撃者は様々な機器の弱点を熟知している。警察庁の最新の年間統計（令和7年）では、国内のランサムウェア被害の感染経路のうち約66%がVPN機器の脆弱性からの侵入で、最多である。もっとも、REXTやD&Mの事案で侵害された機器が古かったのか、保守されていたのかは公表されていない。ここで述べるのは、償却済み資産や保守されていない資産に一般に潜む構造の話である。

つまり、簿価ゼロの情報資産は「価値ゼロ」ではない。マイナスの価値、すなわち負債を抱えていると考えた方が良い。ところが現在の会計制度には、この「負の残存価値」を写す鏡がない。カネの負債は複式簿記で強制的に可視化され、監査が入り、隠せば罪に問われる。しかしモノ（IT）の負債には、計上する帳簿も、棚卸しの義務もない。経営者は負債を「認識していない」のではない。認識しないですむ構造が出来てしまっているのである。

M＆Aで起こる「見えない負債」の連結

では、この経営者から見えなくなる「負債」はどこで発生しているのか。多くの場合、現場がその答えを知っている。「あのVPNは古い」「あのサーバーの更改を上申したが、予算がつかず却下された」。簿価がゼロでも手当不要で問題なく動作するこれらの機器やシステムは、こうして経営者の視界から消える。

ここに落とし穴がある。更改の稟議が却下された瞬間、帳簿からは消えるが、リスクは消えないのである。却下とは本来「リスクを受け入れる」という経営判断のはずだが、多くの会社では、その判断の記録が残らない。数年もたてば担当者も役員も入れ替わり、「却下された」という事実ごと忘れられ、誰のものでもない負債として静かに熟成していく。そして、最も都合の悪い時に現実化する。

M&Aは、この負債の主要な仕入れルートでもある。REXTは、RIZAPグループが買収と統合を重ねて作り上げた小売の統合会社だ。買収の際、財務や法務の精査（デューデリジェンス）は必ず行われる。だが、買収先が抱えるVPN機器や認証基盤、バックアップの実効性まで査定されることは、まだ少ない。看板と管理部門は統合されても、システムの負債は査定されないまま連結される。

今回のグループ3事案の連鎖が、個別の不運なのか、同じ構造の弱点なのかは公表されていない。ただ、6月の子会社事案という「グループ内の先行警告」から2カ月後の8月に本体が被害を受けたことは事実である。

見えない貸借対照表に積み上がる債務

ここまでの話を踏まえると、公表される貸借対照表（B/S。会社の資産と負債の一覧表）とは別にもう一枚、帳簿に載らない資産と負債を記載したB/Sがあると考えることができる。

B/Sの右側、負債の部に積み上がるのは、サポート期限を過ぎた機器やシステムの更改債務、却下されたまま失効した稟議、すなわち記録なきリスク受容の残高などである。M&Aで査定されないまま連結された子会社のセキュリティ負債、そして「あの人しか分からない」という暗黙知だけで回っている運用、という人的負債もある。

左側、資産の部に立つのは何か。復旧できることを訓練で確かめたバックアップ。非常時に自分で判断できる、訓練された人材。一つの事案から学び、グループ全体に横展開する組織の能力。そして平時に積み上げた、顧客と取引先の信頼である。

この“裏”のB/Sで表される純資産こそ、レジリエンス（困難から立ち直る力）にほかならない。左側が右側を上回っていれば、攻撃を受けても事業は縮みながら耐え、やがて復旧することができる。逆に、右側が積み上がったまま左側が空の会社は、見えない債務超過に陥っている。

インシデントとは、損失の「発生」ではない。簿外に隠れていた債務が、ある日その存在を強制的に知らしめる瞬間である。ただし注意すべきは、このとき損益計算書（P/L。会社の売上と費用、利益を表す表）に現れる復旧費用や売上の減少は、債務の「元本返済」ではなく「利払い」にすぎないという点だ。多額の復旧費を払って原状回復しても、老朽システムの更改という元本を返さない限り、簿外債務は“裏”のB/Sの右側に積まれたまま残り、いずれまた利息を請求してくる。粉飾決算と構図は同じである。発覚して損失を計上しても、隠れていた債務そのものが消えるわけではない。

REXTの事案には、この「簿外」という性格をさらに浮き彫りにする続報がある。9月1日、ランサムウェア集団RansomHouseが、ダークウェブ上のリークサイトにREXT Holdingsを被害組織として掲載し、データを暗号化したこと、そして「証拠データ」を保有していることを主張し始めた。

RansomHouseは2025年のアスクル、2026年7月のニチレイへの攻撃についても犯行声明を出している集団である。REXT Holdingsはこの集団を攻撃主体と認定しておらず、データ窃取の事実も確認していない。攻撃者の主張は一方的なものであり、真正性は割り引いて受け止めるべきだ。

それでも、構図としては示唆的である。会社が「外部漏えいの可能性は極めて低いと推定」と公表した一方で、社外の第三者が「証拠がある」と言い立てる。会社が把握している帳簿と、外から突きつけられる残高が食い違う。簿外債務とは、まさにこういう形で現れる。自社がどこまで侵害され、何を持ち出されたのかを、発生から1カ月近く経っても自社で言い切れないのだ。侵害調査に時間を要するのは通常のことだが、経営の側から見れば、これは「負債の残高が確定できない」状態が続いているということである。

原子力発電所の廃炉費用は、稼働開始の時点から「資産除去債務」として負債に計上されると聞いている。将来ほぼ確実に発生する支出だからだ。ならば、いずれ必ず更改か廃棄が必要になる老朽システムの費用は、なぜ帳簿のどこにも現れないのか。会計制度がすぐに変わることはないだろう。だからこそ、経営者が自分の手で「本当のB/S」を作るしかない。

「本当のB/S」を作る、三つの行動

では「本当のB/S」を作るために必要なことは何か。

第一に、リスク受容に署名と有効期限を付けること。更改やパッチ適用を見送るなら、「この判断を誰が承認し、いつ再審査するか」を必ず記録する。却下が「放置」ではなく「期限付きの経営判断」に変われば、責任の所在が残り、期限が来れば案件は機械的に再浮上する。現場も「言い出す」のではなく「再審査の期限が来ました」と上げられるから、心理的な負担が軽い。

第二に、簿外負債の棚卸しである。サポート期限を過ぎた機器・ソフトの一覧と、更改に必要な概算費用を、年に一度、取締役会に報告する。財務諸表の注記を作るつもりでよい。金額に換算された瞬間、負債は経営の言葉になる。

第三に、M&Aと取引にITの査定を組み込むことだ。買収先やその委託先のシステム、VPN、認証、バックアップの実効性を、財務・法務と同じ重みで見る。そして自社のグループやサプライチェーンの中で先行事案が起きたら、それを「あの会社の特殊事情」で片付けず、全社横断の点検を号令する機会とする。

そして、もし不幸にもインシデントに遭ってしまったら――実はその直後こそ、最大の好機である。利払いの痛みを役員も現場も実感しているこの瞬間なら、平時には通らなかった更改の稟議が通る。

だからこそ、復旧を侵入経路の穴塞ぎと原状回復で終わらせてはならない。同じ利息を二度と払わないために、隠れた簿外債務の全社的な洗い出しと、優先順位を付けた償還計画の策定・実行まで徹底的に踏み込む。被災という高い授業料を、一つの穴の修繕代で終わらせるか、それとも全債務を一掃する頭金にするか。店舗のサービス制限がようやく解消に向かうREXTにとっても、本当の勝負はむしろここからだろう。運を天に任せる経営は、もう成立しない時代である。

セキュリティ投資の議論は、とかく「守りにいくら使うか」という費用の話になりがちだ。だが、本当の問いは別にある。あなたの会社の簿外には、いくらの負債が眠っているか。そして、それを知っている人が社内にいるか。持ち主のいない負債は、最も都合の悪い時に、最も高い利率で返済を求めてくる。次の取締役会で、一度聞いてみてほしい。「うちに、一度却下されたまま忘れられているセキュリティの稟議はないか」と。