要約

  • F5は2026年6月までの9カ月間に、Cyber Incidentへの対応費を2650万ドル計上した。保険回収530万ドルは別に「その他の収益（純額）」へ入っており、差額は会社が示した総経済損失ではない。
  • 対応費は第1四半期1750万ドル、第2四半期600万ドル、第3四半期300万ドルへ減速した。同じ9カ月で売上高は9.7%増え、営業キャッシュフローは8億4140万ドルに達し、通期見通しも引き上げられた。
  • 公表値は需要崩壊を示していない。一方、顧客別の更新率、インシデントに起因する失注、将来の保険料、訴訟額は開示されておらず、保守、繰延収益、販売チャネルから追う必要がある。

会計が数えたもの、数えていないもの

2650万ドルという数字は明快だ。F5が6月30日までにインシデント対応として発生させ、認識した費用を表している。調査、封じ込め、修復、外部専門家の作業は請求書になり、会計期間に置ける。

その明快さが、範囲の広さを保証するわけではない。顧客が購買を遅らせた場合や、次回の保守更新で他社を選んだ場合、その判断は「インシデント費用」として仕訳されない。

F5自身も、今後さらに法務、専門サービスその他の費用を負担し、発生時に認識する可能性があると述べる。2650万ドルは6月末時点の累計であり、上限ではない。

保険金は別の場所にある。第3四半期に受け取った530万ドルは、その他の収益（純額）に記録された。対応費は売上原価と営業費用を含む調整表に表れる。

単純に引けば2120万ドルになる。しかしF5はこれを「純損失」と呼んでいない。保険は契約に合う費用だけを対象にし得る。顧客の更新判断や将来の保険条件は、同じ差し引きに収まらない。

非GAAPの調整でも、2650.3万ドルの費用と530.9万ドルの回収は別々に除かれている。経営陣は継続事業を比較するための調整だと説明する。GAAPは実際に起きた資金と費用を残す。

どちらか一方だけでは足りない。GAAPだけなら一時的な対応を通常のコスト構造と誤認しやすい。調整後指標だけなら、現実に使った資源が消えて見える。

持続的な侵入が触れた開発知識

F5は2025年8月9日、高度な国家関与型の脅威主体が一部システムへ不正アクセスしたと把握した。米司法省が一時的な公表延期を認めた後、10月15日に8-Kで開示した。

調査によれば、攻撃者はBIG-IPの製品開発環境とエンジニアリング知識管理基盤へ長期かつ持続的にアクセスした。持ち出されたファイルには、BIG-IPソースコードの一部と開発中の未公表脆弱性情報が含まれた。

これは製品開発上の知識が露出したことを意味する。ソフトウェア供給網が改変されたことまでは意味しない。F5はソースコード、ビルド、リリース工程の変更を示す証拠がないとした。

未公表の重大または遠隔コード実行脆弱性を認識しておらず、未公表のF5脆弱性が悪用されているとも把握していない、とも説明した。いずれも当時の調査に基づく境界である。

CRM、財務、サポート案件管理、iHealthの各システムについて、アクセスや流出の証拠はなかった。NGINXの開発環境、F5 Distributed Cloud Services、Silverlineにもアクセスや変更の証拠はないとした。

顧客との接点はゼロではない。知識管理基盤から流出した一部ファイルには、少数割合の顧客に関する構成または実装情報が入っていた。F5は確認と直接連絡を進めるとしたが、件数や売上比率は公表していない。

F5はBIG-IP、F5OS、BIG-IP Next for Kubernetes、BIG-IQ、APMクライアントの更新を出し、早期適用を強く求めた。資格情報のローテーション、アクセス制御、資産・パッチ管理の自動化、監視、開発環境の強化も行った。

ここで費用は企業間に分散する。F5は調査と開発を負担する。顧客は検証環境、変更審査、停止時間、ロールバック計画に人員を使う。供給者の会計だけで、利用者側の作業を数えることはできない。

緊急対応の傾きは緩やかになった

累計より四半期の並びが重要だ。12月までの第1四半期は1750万ドル、3月四半期は600万ドル、6月四半期は300万ドルだった。

初期の四半期だけで9カ月合計のおよそ3分の2を占める。直近四半期の費用は最初の5分の1未満だ。封じ込めと初期調査のピークを越えた形に見える。

F5は封じ込め開始後、新たな不正活動を観測していないとも報告した。現在の開示から、インシデントが今も拡大していると断定する根拠はない。

ただし、専門家費用が減る速度と契約更新の速度は異なる。緊急対応は数週間から数カ月で費用化される。保守やサブスクリプションは契約日まで判断が表に出ない。

2025年度の年次報告書はこの時間差を認めていた。F5は2026年度前半に販売サイクルの混乱が強く、後半に正常化すると見込んだ。購入延期、解約、不更新もリスクとして挙げた。

それは実際の解約を報告したものではない。将来起こり得る経路を示したものだ。費用の減速は好材料だが、顧客全体の投票結果ではない。

業績は全面的な需要低下を否定する

F5の業績を脇へ置けば分析は成立しない。6月までの9カ月売上高は24億9920万ドルで9.7%増えた。GAAP営業利益は6億650万ドルで8.2%増、純利益は5億3600万ドルで6.8%増だった。

営業キャッシュフローは8億4140万ドルで13.5%増えた。インシデント対応を行いながら、前年より多くの現金を生んだ。

第3四半期売上高は8億6510万ドル、前年同期比10.9%増だった。製品は19.0%増え、システムは32.4%、ソフトウェアは7.4%、サービスは2.7%伸びた。

会社はシステムを顧客需要、ソフトウェアをサブスクリプション、サービスを保守契約の増加によるものとした。7月には通期売上成長見通しを従来の7～8%から約9～10%へ引き上げた。

6月までに総需要が崩れたという主張とは合わない。公表された事実は成長、キャッシュ創出、見通し引き上げである。負の物語に合わせてこの反証を小さく扱うべきではない。

しかし、合計は顧客群を分けない。システムの伸びはソフトウェアやサービスより大きい。新規販売、価格、契約期間、更新、製品構成が一つの売上高に混ざっている。

繰延収益も堅調さを示す。流動分は9月の12億1320万ドルから12億8960万ドルへ、長期分は7億8600万ドルから9億310万ドルへ増えた。9カ月のキャッシュフロー上の増加は1億9230万ドルだった。

契約と請求の基盤が崩れていないことは分かる。インシデントに関係する顧客の更新率までは分からない。現状は「全体に強い、内訳は未開示」と読むのが適切だ。

販売チャネルが答えを遅らせる

F5は主に間接販売を使う。第3四半期には二つの販売代理店が売上高の16.4%と18.4%を占め、合計35.6%だった。

9カ月では17.2%と23.1%、合計40.3%になる。一方、単一の最終顧客で売上高の10%を超える先はなかった。

最終顧客が分散しているのは強みだが、二つの中間業者に売上の大部分が集まる。代理店の発注時期と、利用企業の導入・更新時期は同じではない。

在庫、案件登録、値引き、納期が売上認識の四半期を動かす。代理店への販売が強くても、最終需要または在庫のどちらかは単独では判定できない。

反対に発注が鈍っても、インシデントへの不信だけが原因とは限らない。ハードウェア周期、AI関連需要、景気も動く。チャネル売上、売掛金、製品構成、保守を一緒に見る必要がある。

信頼の変化はサポートで先に見え、更新で次に見え、代理店発注にはさらに遅れて出る可能性がある。公開データにはこの時差がある。

訴訟は存在するが金額はない

2025年12月、F5と一部幹部を相手取る証券集団訴訟が提起された。サイバーセキュリティ能力について虚偽または誤解を招く説明があったと主張する。原告は2026年5月に修正し、被告は7月に棄却を申し立てた。

2月に起こされた関連する二つの株主代表訴訟は統合され、証券訴訟の棄却手続が終わるまで停止された。主張は裁判で確定しておらず、F5は争う方針だ。

6月末時点で、F5はこれらの手続や調査について偶発損失を引き当てていなかった。不利な結果が蓋然的か判断できず、金額や範囲も見積もれないためとしている。

引当金ゼロはリスクゼロと同義ではない。認識条件を満たしていないという会計判断だ。判決、和解交渉、見積可能な範囲、引当計上があれば新しい証拠になる。

F5は少数の政府当局から照会を受け、顧客や第三者が請求を提起する可能性も述べた。金額や結論は開示されていない。分析側が独自の金額を足すことはできない。

法的な尾部を忘れず、同時に未確定の主張を損失へ変換しない。この二つを両立させることが必要だ。

自社株買いは選択余地を示す

同じ9カ月に、F5は物品税を含め5億110万ドルの現金を自社株買いへ使った。インシデント費用の約18.9倍、営業キャッシュフローの約59.6%に相当する。

プログラム表では5億ドルで191万株を取得し、平均価格は261.83ドルだった。キャッシュフローとの差は税金などの表示による。6月末の残存枠は4億2240万ドルだった。

この比較から、対応費を削って株を買ったとは言えない。F5は両方を賄うだけの現金を生んだ。買い戻しを止めれば特定顧客を守れたという証拠もない。

分かるのは意思決定の規模だ。取締役会が動かせる資本は、現在のインシデント費用よりはるかに大きい。追加の顧客支援や開発強化が必要なら、支払い能力より優先順位が問われる。

自社株買いは株数という即時の成果を残す。信頼への投資が成功した場合、残るのは「失注しなかった」という観測できない反実仮想だ。目に見える施策が有利になりやすい。

信頼の決算は次の契約にある

現在の基本シナリオは前向きだ。F5の説明では封じ込め後に新たな活動はなく、対応費は減少し、売上と現金は増え、見通しは上がった。

リスクも証拠の範囲で表現すべきだ。2650万ドルは顧客、保険、チャネル、訴訟の全結果を含まない。ただし、それらが大きな損失になるともまだ示されていない。

答えは通常の指標に表れる。保守、サブスクリプション、繰延収益、代理店注文、売掛金である。保険料や訴訟引当が加わる可能性もある。

悪いシナリオに急落は必要ない。保守の鈍化、契約期間の短縮、在庫調整、法的引当が数四半期続けば、直接対応費の外側が見えてくる。

F5は6月末までに会計で数えられる仕事を数えた。残りは隠された損失額ではなく、これから観測する指標だ。保険金を費用から引くより、顧客が次の契約に署名するかを見る方が重要である。

出典