買収後に対象会社のサイバー攻撃被害が判明した場合の復旧と責任追及

買収の手続を終え、引継ぎを進めていた矢先に、対象会社の業務用の仕組みが動かなくなることがあります。受発注の記録が読み出せない、生産の指示を出す端末が起動しない、共有の保存先にあった図面や見積書の名前がすべて書き換えられている、といった形で表れます。

担当者に事情を聞くと、買収の前にも似た不具合があり、そのときは機器を入れ替えて収まったので報告していなかった、という説明が出てくることも珍しくありません。この場面の課題は二つあります。第一に、止まった業務をどう動かし、取引先への納入と請求の流れをどう維持するかという課題です。第二に、事故がいつ生じ、どこまで侵害され、買収の前から潜んでいた問題であったのかを確定させ、契約上の責任を整理するという課題です。

前者は時間との勝負であり、後者は機器の記録が上書きされる前に着手しなければ裏付けが得られません。本記事では、譲渡代金が1億円から10億円程度の同族経営の非上場会社を買収した買主の立場から、初動、侵害の時期と範囲の確定、契約条項の点検、損害の積み上げ、売主への請求までを順に述べます。なお、個人データの漏えいが確認された場合の法令上の対応は別の記事で扱いますので、本記事は業務の停止による損害に重心を置きます。

事故を認知した直後に行うこと

最初に決めるべきことは、被害の拡大を止める作業と、後日の立証に用いる記録を残す作業との順序です。現場に任せると、業務を早く戻したい一心で機器が初期化され、記録の領域が上書きされます。そうなると、いつ侵入されたのかを確定させる手立てが失われ、売主に対する請求の基礎も、保険金の請求の基礎も同時に失われます。

被害の拡大を止める措置と記録の保全を両立させる

侵害を受けた機器は、まず社内の通信網から切り離します。重要なのは、切り離すのであって、電源を落として初期化するのではないという点です。電源を落とすと、動作中の情報だけに残っていた記録が消えます。通信の線を抜く、無線の接続を切るといった方法で外部との連絡を断ち、機器は現状のまま保存します。復旧を急ぐ場合でも、記録を丸ごと写し取ってから作業に入る順序を守ります。

あわせて、外部との通信を記録した装置の記録、業務用の仕組みが残す操作の記録、電子メールの送受信の記録、発見から現在までの社内の連絡を、日時を明示した一覧にまとめて確保します。通信の記録は一定期間で古いものから消える設定になっていることが多く、放置すれば侵入の時期を示す最も重要な資料が失われます。

指揮系統と対外の窓口を一本化する

買収の直後は、買主から派遣された役員と従前からの幹部との間で指揮系統が二重になりがちです。これが放置されると取引先ごとに異なる説明がなされ、後の交渉で不利な材料を自ら作ります。責任者を一人定め、対外的な連絡はその者を通すこととし、従業員には確認できている事実と未確認の事項とを区別して伝えます。社内の文書は後に証拠として提出され得ますので、推測に基づく断定は記載せず、事実と資料の所在のみを記録します。

身代金の要求を受けた場合の考え方

画面に金銭の支払を求める文言が表示され、支払えば元に戻すと告げられることがあります。しかし、支払をしても復旧する保証はなく、鍵が渡されない事例、渡された鍵では一部しか戻らない事例、いったん復旧しても再度侵害される事例が報告されています。また、支払の相手方が反社会的勢力その他の制裁の対象である可能性を排除できず、資金の提供そのものが法令に反する行為となる危険があります。当事務所として支払を勧めることはありません。

表示された文言、送られてきた文書、示された連絡先は日時とともに記録し、警察に相談します。相談の記録は、保険金の請求や売主との交渉において被害の実在を示す資料となります。復旧の可否は支払ではなく控えとして保存されていた記録の有無で決まりますので、保存先の状況の確認を最優先で行います。

いつ、どこから侵害されたのかを確定させる

初動が落ち着いたら、侵害の時期と範囲を確定させる調査に入ります。業務を戻す作業は動く状態を作れば足りますが、責任を整理するための調査は、いつ、どの入口から、どこまで及んだのかを資料によって示せる形にすることを目的とします。売主に対して請求しようとするのであれば、調査の質がそのまま請求の成否を左右します。

侵入の時期を示す資料を集める

確認するのは、外部との通信を記録した装置の記録、機器に作成された不審な利用者の登録と権限が引き上げられた日付、保守を委託していた事業者が保管する警報と対応の記録、そして従業員の記憶です。動作が遅くなった、見慣れない画面が出た、電子メールが勝手に送信されていたといった出来事の時期を、聞き取りにより日付とともに整理します。これらを並べると、公表されている修正が適用されないまま放置されていた機器や、退職した従業員の登録が消えないまま残っていたことが、入口として浮かぶことがあります。

侵害の範囲を確定させる

範囲は業務の仕組みごとに整理します。受発注、生産の指示、在庫、会計、給与、設計の図面、取引先との連絡といった単位で、保存先が読み出せる状態にあるか、内容が書き換えられていないか、外部に持ち出された形跡があるかを確かめます。持ち出しの有無は外部への通信の量と宛先から推定することになります。

調査は社内の担当者だけで完結させず、専門の調査を行う事業者に委託し、結論と根拠を報告書の形で示してもらいます。委託に当たっては、報告書を売主との交渉や訴訟で用いる予定であることを伝え、判明した事実と推定にとどまる事項の区別を明確にしてもらいます。費用は後に請求の対象となり得ますので、見積書と請求書を保存します。

買収の前から潜んでいた問題かどうかを見極める

侵入の時期が買収の実行日より前であっても、それだけでは足りません。売主に対する請求では、買収の時点で問題が存在していたこと、そして売主がそれを知っていた又は知り得たことが争点となります。そこで、買収の前に警報が上がっていた記録はあるか、それが誰に報告されたか、保守事業者から改善の提案がなされ、費用を理由に見送られていなかったかを、稟議の書類、電子メール、保守事業者との議事の記録から確認します。旧経営陣が残っている場合には、早い段階で聞き取りを行い、内容を書面にして署名を得ておきます。

デュー・ディリジェンスで確認できた事項を洗い直す

侵害の事実が固まったら、買収の過程で自分たちが何を確認し、売主が何を答えていたのかを洗い直します。ここで確認したいのは、売主の説明と実際の状態との間に食い違いがあったかどうか、そして買主がその食い違いを知り得たかどうかです。前者は売主の責任を基礎づけ、後者は買主の請求を弱める事情となり得ます。

開示された資料と質問回答の記録を突き合わせる

資料の共有に用いた仕組みには、どの資料がいつ開示されたかの記録が残っていることが多く、これが後の立証で役立ちます。次に、買主の側から出した質問と売主から返ってきた回答の記録を並べます。中小企業の買収では、業務の仕組みに関する質問が形式的な項目にとどまり、重大な障害は生じていないといった簡潔な回答で済まされていることが少なくありません。

確認すべき点は次のとおりです。過去の障害の有無を尋ねた質問に売主はどう答えたか。保守を委託している事業者との契約書、機器の一覧と保守の期限は開示されたか。控えの取得の方法と、その控えから実際に復旧できるかを試した記録は開示されたか。外部から社内の仕組みに接続する仕組みの有無は説明されたか。これらの回答が事実と異なっていた場合には、その一点が請求の中核となります。

買主の側の調査の程度を確認する

買主が調査の過程で問題を認識していた場合、又は通常の注意を払えば認識できたはずである場合には、売主から、事情を知って買収したのだから責任を問えないという反論を受けます。買主の認識にかかわらず違反を主張できる旨の定めが契約にあればこの反論は封じられますが、そうした定めがない契約も多くあります。買主の側の調査の報告書を読み返し、追加の確認を要する旨の指摘がありながら確認をしないまま実行に至っていないかを確かめます。

保守を委託していた事業者との契約を確認する

確認する事項は、委託の範囲、すなわち機器の監視、修正の適用、控えの取得、警報への対応のどこまでを引き受けていたのか、責任の限度を定める条項があるか、控えの保存の期間と保存先はどこかという点です。中小企業の契約では責任の上限が月額の委託料の数か月分に限られていることも多く、その場合は請求できる額が大きく制限されます。

そのうえで、定められた作業が実際に行われていたかを、作業の報告書と請求書の突合により確認します。修正の適用を引き受けていながら長期間適用されていなかった、控えの取得が失敗していた旨の記録が残っていたのに報告がなかったといった事情があれば、委託先に対する債務不履行に基づく損害賠償の請求を検討できます。

表明保証の条項との関係を整理する

売主に対する請求の中心となるのは、株式譲渡契約に定められた表明保証の条項です。表明保証とは、契約の当事者が、一定の時点における事実が真実であることを相手方に対して表明し、その内容を保証する定めをいいます。違反があった場合には、補償の条項に従って金銭の支払を求めることができます。

どの表明に違反するのかを特定する

該当し得る表明としては、次のものが考えられます。第一に、対象会社が事業に必要な資産を保有し、それが通常の使用に耐える状態にあることについての表明です。第二に、法令の遵守に関する表明です。第三に、重要な契約の履行に関する表明であり、保守の委託契約や取引先との契約に違反がないことを表明していた場合が当たります。

第四に、訴訟その他の紛争の不存在に関する表明であり、買収の前に取引先から苦情を受けていた場合にはこれに反する余地があります。第五に、開示された情報の正確性及び網羅性に関する表明です。買主の判断に影響を与える重要な事実の不開示がない旨の表明が置かれている場合、過去の障害を伏せていた事実は、この表明が正面から問題となります。

基準となる時点と限定の文言を読む

表明保証の条項には、いつの時点の事実についての表明かが定められています。契約の締結日のみを基準とする場合と、締結日と実行日の双方を基準とする場合とがあり、後者であれば締結から実行までの間に生じた事故も対象となります。また、売主の知る限りという限定が付されていれば、売主が知らなかったと主張した場合に買主がその認識を立証しなければならず、重要な点においてという限定が付されていれば事故の重大性が争点となります。

補償の条項の制限を確認する

補償の条項には、通常、いくつもの制限が置かれています。第一に、請求できる期間の制限です。実行日から1年、又は18か月といった期間が定められていることが多く、これを過ぎると請求ができません。事故の調査に時間を要するうちに期間が経過することがありますので、末日を直ちに確認します。

第二に、金額の制限であり、1件当たりの下限額、請求の合計についての下限額、支払の上限額が定められているのが一般的です。第三に、損害の範囲の限定です。逸失利益や間接の損害を除外する定めの有無は、操業が止まったことによる損失を請求できるかどうかを直接左右します。

復旧に要する費用と操業が止まったことによる損失

請求を行うためには、損害の額を資料により示す必要があります。ここでの作業は、感覚的な見積りではなく、支出の証拠と、平時との比較に基づく積み上げです。早い段階から費目を定めて記録を集めるかどうかで認められる額が変わりますので、経理の担当者を一人この作業に充てます。

復旧に要する費用を費目ごとに積み上げる

費目としては、侵入の経路と範囲を確定させるための調査の費用、機器の入替えや仕組みの再構築、控えからの復元といった復旧の作業の費用、控えが失われていた場合に紙の伝票から入力し直す再作成の費用、弁護士の費用及び対外的な説明のために要した費用、休日出勤や外部からの応援に要した臨時の人員の費用が挙げられます。いずれについても、見積書、発注書、請求書、支払の記録を一組にして保存します。

操業が止まったことによる損失を算定する

この損失は、平時であれば得られたはずの利益と実際の結果との差額として算定します。中小企業では、前年の同じ時期の売上と比較する方法、事故の直前の数か月の平均と比較する方法、受注の残高から本来の出荷の予定を算出して実際の出荷との差を取る方法が用いられます。いずれの方法でも、季節による変動や、事故と無関係な取引先の事情を控除する必要があります。

売上の減少額をそのまま損害とすることはできません。売上に対応する原材料費や外注費といった変動する費用は生じていませんので、これらを控除した限界利益の額を基礎とするのが通常の考え方です。他方、休止していた期間中も支払った人件費、賃料、機器の賃借料は損害として主張し得ます。あわせて、納期に遅れたことによる違約金、値引きの要求への対応、取引の解消による将来の利益の喪失も、資料により裏付けられる限りで積み上げます。

保険による回収の可能性を確認する

対象会社が加入している保険の証券を確認します。近年は、業務の仕組みの侵害による損害を対象とする保険が販売されており、調査の費用、復旧の費用、操業が止まったことによる損失、対外的な対応の費用を対象とするものがあります。対象となる事故の範囲、免責の事由、支払の限度額、そして事故の通知の期限を確認します。

通知の期限は短く定められていることが多く、これを徒過すると請求ができなくなります。保険による回収が見込まれる場合には、その分だけ売主に対する請求額が減ります。契約の内容によって扱いが異なりますので、保険会社への連絡と売主への通知は、いずれも早い段階で行っておくことが安全です。

取引先及び顧客への説明

業務の仕組みが止まれば、納期の遅れ、請求書の発行の遅れ、問合せへの応答の遅れという形で、取引先と顧客に直ちに影響が及びます。ここでの説明の巧拙は、取引の維持だけでなく、後の損害賠償の交渉にも影響します。説明が遅れれば、相手方は自ら対策を講じる機会を失い、その分の負担を求めてきます。

説明の相手と順序を決める

影響の大きい順に相手方を並べます。納期が迫っている取引先、対象会社の仕組みと直接つながっている取引先、対象会社が預かっている情報の量が多い取引先が優先されます。次に、それぞれについて基本取引契約や業務委託契約を確認し、事故が生じた場合の通知の義務と、その期限を確かめます。

説明の内容は、確認された事実、影響の及ぶ範囲、現時点での見通し、相手方に採っていただきたい対応の四つに整理します。原因や責任の所在について、調査が終わっていない段階で断定的に述べることは避けます。他方で、いつまでに次の連絡をするかを明示し、その予定を守ることが、信頼の維持に最も効きます。

説明の記録を残す

説明は電話で済ませず、書面又は電子メールで行い、控えを残します。後に取引先から損害賠償の請求を受けた場合、いつ何を伝えたかが争点となるからです。値引きの要求、代替の調達に要した費用の請求、契約の解除の通告といった相手方からの要求も、日付と内容を記録し、方針を社内で統一してから回答します。

取引先への対応に要した費用と支払った金銭は、売主に対する請求の対象となり得る損害ですので、対応の記録は経理の記録と結びつけて保存します。なお、取引先に対して事故の原因を売主の責任であると説明することは、事実が確定するまでは避けます。その説明が後の交渉で買主の主張を縛ることになりかねないためです。

売主への請求

調査により事実が固まり、損害の額の見通しが立ったら、売主に対する請求に移ります。中小企業の買収では、売主が対象会社の役員として残っている場合や、代金の一部が未払である場合があり、これらが交渉の進め方を左右します。手続の順序を誤ると契約に定められた期間を徒過しますので、まず期限の管理から始めます。

通知を先に行う

最初に、契約に定められた方法で、期間内に通知を行います。書面には、違反したと考える表明保証の条項、判明した事実の概要、その根拠となる資料、現時点で見込まれる損害の額とその内訳、今後の調査により額が変動し得る旨を記載します。額が確定していないことを理由に通知を遅らせてはなりません。多くの場合、契約は、期間内の通知があれば、その後に額が確定した請求も保全されるように定められています。通知は配達の記録が残る方法で送付し、売主が複数いる場合には全員に送付します。

請求の根拠を整理する

請求の根拠は複数を並行して検討します。中心となるのは表明保証の違反に基づく補償の請求です。売主が事実を知りながら告げなかった場合には、債務不履行による損害賠償の請求として民法第415条第1項に基づく請求、又は不法行為による損害賠償の請求として民法第709条に基づく請求を検討します。これらは補償の条項に定められた上限や期間の制限に服さないと主張する余地がありますが、契約にこれらを唯一の救済とする旨の定めがある場合には争いとなります。

また、代金の一部が未払である場合にはその支払と補償の請求とを相殺する方法があり、代金の一部が留保され、又は預託されている場合にはその解放の手続を止めることを検討します。売主が対象会社の役員として在任していた期間中の任務の懈怠が認められる場合には、会社法第423条に基づき、対象会社から売主に対して損害賠償を請求する余地があります。この場合の請求権者は買主ではなく対象会社ですので、手続の主体を誤らないよう注意します。

交渉と手続の進め方

交渉に入る前に、調査の報告書、損害の内訳と根拠となる証憑、開示資料と質問回答の記録、契約の該当条項の抜粋を、番号を付して一覧に整理します。売主が事実関係を争う場合には、この一覧の厚みがそのまま交渉力となります。交渉が調わない場合には、契約に定められた紛争の解決の方法に従い、訴訟又は仲裁の手続に進むことになります。

あわせて、保守を委託していた事業者に対する請求も検討します。委託の範囲に含まれる作業が行われていなかった場合には請求が成り立ち得ますが、責任の上限を定める条項により額は限られます。この請求権は対象会社に帰属しますので、対象会社の名で請求します。売主に対する請求と重なる部分については二重の回収とならないよう整理し、権利を行使できることを知った時から5年という時効の期間の起算点も早期に確認します。

よくあるご質問

ここでは、買収した会社において業務の仕組みの事故が判明した場面で、買主の方から実際に寄せられることの多い疑問を取り上げます。事案ごとに契約の文言と事実関係が異なりますので、以下は一般的な考え方を示すものであり、個別の判断は資料を確認したうえで行う必要があります。

侵入の時期が買収の前か後か分からない場合はどうなりますか

時期が確定できない場合、買収の時点で問題が存在していたことを示す責任は、原則として請求をする側、すなわち買主が負います。したがって、時期を示す資料が失われていると請求は難しくなります。もっとも、機器に適用されていない修正の日付、退職者の登録が残っていた事実、警報への対応がなされていなかった記録といった間接の事実を積み重ねることにより、買収の前から問題が潜んでいたことを示せる場合があります。

復旧を急ぐために機器を初期化してしまいましたが、請求はできますか

直ちに請求ができなくなるわけではありませんが、立証は難しくなります。この場合には、外部との通信を記録した装置の記録、保守を委託していた事業者が保管する記録、電子メールの提供元に残る記録、従業員の聞き取りといった機器以外の資料を集めることになります。証拠を失わせたのは買主の側であるという反論が想定されますので、初期化に至った経緯と、その時点で業務の停止により生じていた事情を記録に残します。

身代金を支払えば早く復旧するのではありませんか

支払をしても復旧する保証はありません。鍵が渡されない事例、渡された鍵では一部の情報しか戻らない事例、いったん復旧しても再び侵害される事例が報告されています。さらに、支払の相手方が反社会的勢力その他の制裁の対象である可能性を排除できず、資金の提供が法令に反する行為となる危険があり、金融機関との取引や許認可にも影響し得ます。復旧の可否は控えとして保存されていた記録の有無によって決まります。

デュー・ディリジェンスで業務の仕組みを調べていなかった場合、請求は認められませんか

調べていなかったこと自体が、直ちに請求を妨げるわけではありません。表明保証は、買主が調査をしなかった事項についても売主が事実を保証するという機能を持ちます。ただし、契約に、買主が知っていた事項については補償を請求できない旨の定めや、通常の注意を払えば知り得た事項を除外する定めが置かれている場合には争点となります。買主が実際に何を尋ね、売主が何と答えたかを整理することが重要です。

操業が止まったことによる損失は請求できますか

契約の補償の条項において、逸失利益や間接の損害が除外されていないかをまず確認します。除外されていない場合には請求の対象となり得ます。その場合でも損害の額を資料により示す必要がありますので、前年の同じ時期の売上との比較、受注の残高と実際の出荷との差、休止中も支払った固定して生じる費用の額を積み上げ、変動する費用を控除した額を基礎として主張します。認められる範囲は事案により異なります。