一番マズイのはどの脅威？ サイバー保険額請求から見るセキュリティトレンド：セキュリティニュースアラート

Resilience Cyber Insurance Solutionsはサイバーリスクに関するレポート「2024 Mid-Year Cyber Risk Report」を発表した。サイバー保険請求額から、現在、そして今後脅威となるセキュリティトレンドが明らかになった。

[後藤大地，有限会社オングス]

　サイバー保険サービスを提供するResilience Cyber Insurance Solutionsは2025年2月27日（現地時間）、サイバーリスクに関するレポート「2024 Mid-Year Cyber Risk Report」を発表した。

　2024年はサードパーティーリスクおよびランサムウェア攻撃が企業の重大な損失を引き起こす主な要因とされ、これらの脅威が企業のサイバーセキュリティ戦略において重要な課題となったことが明らかにされている。

一番マズイのはどの脅威？　保険額請求から見るセキュリティトレンド

　調査では、同社の「重大な損失を伴う請求」のうち23％がサードパーティリスクだったと報告している。2023年は請求原因の37％を占めていたが、実際の損失にはつながっていなかった。このことから同社は、企業が外部ベンダーやサプライチェーンに依存することによる新たな脆弱（ぜいじゃく）性が高まっている可能性があると警告している。

　サードパーティーを標的としたランサムウェア攻撃が主な損失源とされており、サードパーティー関連の保険額請求件数の42％を占めた。例えば医療業界のChange HealthcareやCDK Globalの大規模な情報漏えい事件は相互に接続されたシステムを持つ組織への攻撃が業界全体に影響をおよぼした結果と考えられている。

　また、2024年7月に発生したCrowdStrikeのシステム障害による損失はまだ完全には確定していないが、業務の中断が原因で企業に大きな影響を与える可能性が指摘されている。こうした状況を受け、企業はベンダーの選定基準を厳格化し、監視体制を強化する動きを進んでいる。

　ランサムウェアは2024年も依然として最大の脅威であり、同社のデータでは全保険請求の44％がファーストパーティーに対するランサムウェア攻撃によるものだったと報告している。さらにサードパーティーを標的としたランサムウェア攻撃が新たな要因となり、請求の18％を占めた。結果として損失を伴う請求の62％がランサムウェア関連であったとしている。

　製造業や医療業界はレガシーシステムの使用や業務中断による影響が大きいことから攻撃者の標的となりやすい傾向があるとされている。攻撃者は業務停止を避けるために身代金を支払わざるを得ない状況を狙い、戦略的に攻撃を仕掛ける。一方でランサムウェアの攻撃頻度は全体として減少傾向にあることも判明している。

　これは攻撃者が広範囲に無差別攻撃を仕掛けるスプレーアンドプレイ方式から、高額な身代金を狙う標的型攻撃へと移行しているためと考えられている。また、法執行機関の取り締り強化や地政学的な影響も攻撃者の活動の変化に影響を及ぼしていると推測されている。

　調査では2024年に振り込み詐欺が顕著に増加し、2023年の全請求の14％から18％へと上昇したことが確認されている。2024年全体の請求額はまだ確定していないが前年を大幅に上回る損失が発生する見込みであることが報告されている。この詐欺の増加にはAIを活用した巧妙なソーシャルエンジニアリング手法の進化が影響していると考えられている。

　調査によると、サイバー犯罪グループ「Scattered Spider」は、AI技術を活用して大規模かつ精密なキャンペーンを展開していることが判明している。企業は内部統制の強化、従業員の教育、金融取引の検証プロセスの厳格化を進める必要があると助言している。

　フィッシング攻撃については以前ほどの脅威ではなくなり、2024年ではサードパーティー関連の請求件数が下回った。2023年には全請求の20％がフィッシングによるものだったが2024年には9％に減少している。一方でサードパーティーの機能停止やランサムウェア攻撃、脆弱性といったリスクは急増し、2023年の6％から27％に上昇している。

　同調査は組織の各責任者に対してサイバーリスクの低減とレジリエンスの強化に向けて次のような戦略を策定するよう推奨している。

• 最高財務責任者（CFO）：　サイバーリスクの定量化を進め、潜在的な財務リスクを把握する。適切なサイバー保険の活用を検討し、リスク軽減策への投資を強化する
• 最高情報セキュリティ責任者（CISO）：　サードパーティーリスク管理を強化し、ベンダー評価プロセスを厳格化する。ランサムウェア対策としてバックアップ戦略やEDR（Endpoint Detection and Response）製品を導入し、従業員教育を徹底する
• 最高リスク管理責任者（CRO）：　サイバーリスクを企業全体のリスク管理戦略に統合し、シナリオプランニングやストレステストを実施する。セキュリティやコンプライアンス、保険の各要素を組み合わせた対応計画を策定する

　サードパーティーリスクおよびランサムウェアの脅威が増大する中、企業はより積極的なリスク管理と協力体制の強化を求められている。過去の教訓を生かし、より堅牢（けんろう）なサイバーリスク戦略を構築することが今後の成長と持続的な競争力の確保につながるとしている。