もしCrowdStrikeのIT障害に便乗したランサムウェア攻撃が起きたら？ 保険損害が明らかに：Cybersecurity Dive

保険仲介企業であるGuy Carpenterは、CrowdStrikeによるIT障害に便乗したランサムウェア攻撃が起きたら、保険損害は膨大な額になっただろうと予測した。

[David Jones，Cybersecurity Dive]

　保険仲介企業であるGuy Carpenterが2024年8月2日（現地時間、以下同）に発表した報告書によると（注1）、CrowdStrikeのセキュリティプラットフォーム「CrowdStrike Falcon」のソフトウェアアップデートにおける欠陥が原因で同年7月19日に発生した世界的なIT障害に関連する保険損害は、3億ドル〜10億ドルにのぼると予想されている。

IT障害とサイバー攻撃が組み合わさると保険損害が跳ね上がる

　報告書によると、このインシデントが悪質な攻撃者によるものであった場合、損失額はさらに大きくなった可能性が高いという。Guy Carpenterは、リスク管理サービスなどを提供するMarsh McClennanのグループ企業である。

　同社によると、本件のように広く普及しているテクノロジーシステムを巻き込んだランサムウェア攻撃が発生した場合、損失額は6億ドル〜20億ドルに及ぶ可能性があるという。

　Guy Carpenterは「保険業界が潜在的なリスクを再評価し、単一の大規模な災害である『スーパーキャット』よりも、より頻繁に発生する中規模な災害である『キティキャット』のリスクに注目する必要がある」と述べた。これらの中規模な災害時のリスクは規模が小さいものの、頻繁に発生するため、業界全体で新たなリスク管理の視点が求められると指摘している。

　CrowdStrikeのインシデントは、大規模障害なIT障害として広く知られている。この障害によって、世界中の民間航空企業において何千件ものフライトがキャンセルされ、病院は手術を延期せざるを得なくなり、米国の複数の都市では911のシステムが一時的にオフラインになった。

　被保険者である企業の大半はすでに状況通知を提出しているが、請求手続きはまだ始まったばかりである。報告書によると、サイバー保険に加入している企業のうち、影響を受けたのは全世界で1％未満と推定されている。

　保険商品を提供するParametrixが2024年7月の下旬に発表したレポートによると（注2）、「Fortune 500」に数えられている企業に発生する直接的な影響は、Microsoftに対するものを除いて54億ドルになるという。信用格付機関であるMoody'sは（注3）、保険損害の大半は事業中断に関する請求によるものだと報告した。

　保険業界は小規模ではあるが、より頻繁に発生する災害をモデル化する必要があるかもしれない。

　Guy Carpenterの報告書によると、CrowdStrikeのインシデントは大半の保険企業にとって重大な損害には当たらないという。しかしこれは、保険企業が採用する契約条件や、特定の業界における引受の集中度、システム障害に対する保険の普及度によって変わる可能性がある。

　2023年5月以降、広く悪用されたファイル転送サービス「MOVEit Transfer」の脆弱（ぜいじゃく）性（注4）、ヘルスケアテクノロジー企業であるChange Healthcareへの攻撃（注5）、データ分析プラットフォームを提供するSnowflakeの顧客を狙った攻撃（注6）、自動車業界向けソリューションを提供するCDK Globalへのサイバー攻撃が（注7）、今回の新たなインシデントと組み合わさった場合、保険業界に10％の損害率をもたらす可能性があるという。Guy Carpenterは「その場合、単一の大災害に匹敵する影響になるだろう」と指摘している。

（注1）A CLOSER LOOK: UNVEILING THE GLOBAL IMPACT OF CROWDSTRIKE EVENT（GuyCarpenter）
（注2）CrowdStrike disruption direct losses to reach $5.4B for Fortune 500, study finds（Cybersecurity Dive）
（注3）Business interruption claims will drive insurance losses linked to CrowdStrike IT disruption（Cybersecurity Dive）
（注4）Progress Software’s MOVEit meltdown: uncovering the fallout（Cybersecurity Dive）
（注5）Change Healthcare, compromised by stolen credentials, did not have MFA turned on（Cybersecurity Dive）
（注6）What we know about the Snowflake customer attacks（Cybersecurity Dive）
（注7）CDK cyberattack stalls industry as car dealers disclose widespread impacts（Cybersecurity Dive）