Last Updated on 2025-04-12 11:03 by admin

サイバー保険会社At-Bayが2025年4月12日に発表した「2025 InsurSec Report」によると、2024年のサイバー保険請求において、金融詐欺が最も発生件数が多く、ランサムウェアが最もコストがかかる攻撃タイプであった。

両方の攻撃ともサードパーティ企業のセキュリティ障害によって引き起こされることが増加している。

At-Bayの報告によれば、2024年の請求件数は前年比16%増加した一方で、インシデントあたりの全体的なコストは166,000ドルとなり、2021年の213,000ドルから減少した。金融詐欺は全請求の31%を占め、その多くはフィッシング攻撃から始まっている。

特に注目すべき点は、サードパーティを通じたランサムウェア（間接的ランサムウェア）の急増である。サードパーティを標的としたランサムウェア攻撃による損害は、インシデントあたり平均241,000ドルの請求額となり、2023年から72%増加した。一方、「直接的な」ランサムウェアの平均請求額は468,000ドルであった。

At-Bayの顧客向けCISOであるAdam Tyraによれば、リモートアクセスツール、特にVPNが全ランサムウェア攻撃の80%の侵入経路となっている。また、2024年には約50のランサムウェアグループが攻撃に関与しており、これは2021年の3倍に当たる。

At-Bayの顧客の69%はランサムウェア攻撃者への支払いを拒否し、総額1億4,600万ドルの身代金要求が支払われなかった。

この傾向は、ライバル企業のResilience Cyber Insurance Solutionsのデータとも一致しており、同社はサードパーティでの侵害がサイバー関連請求の31%を占めていることを報告している。

from:Financial Fraud, With a Third-Party Twist, Dominates Cyber Claims

【編集部解説】

At-Bayの2025年InsurSecレポートが明らかにした最新のサイバー脅威動向は、私たちのデジタル社会が直面する課題の深刻さを浮き彫りにしています。特に注目すべきは、ランサムウェア攻撃の再燃と、サードパーティを介した攻撃の増加です。

まず、ランサムウェア攻撃が2024年に増加し、その被害額も上昇したことは、企業のサイバーセキュリティ対策の見直しが急務であることを示しています。特に中堅企業がサイバー攻撃者にとって格好のターゲットとなっていることが明らかになりました。

次に、リモートアクセスツール、特にVPNがランサムウェア攻撃の80%の侵入経路となっていることは、テレワークの普及に伴うセキュリティリスクの増大を如実に表しています。多くの企業がパンデミック後もリモートワークを継続する中、VPNの脆弱性対策は喫緊の課題と言えるでしょう。

サプライチェーンを通じた攻撃の増加も見逃せません。ベンダーやパートナーを標的とした攻撃による被害が43%増加し、その平均コストが72%も上昇したことは、企業間のデジタル依存関係がもたらすリスクの拡大を示しています。これは、自社のセキュリティ対策だけでなく、取引先のセキュリティ状況も考慮に入れる必要性を強調しています。

ランサムウェアグループの増加も注目に値します。2021年から3倍に増加し、約50のグループが確認されたことで、攻撃の予測が困難になり、交渉の一貫性も失われつつあります。これは、企業がより柔軟で適応力のある防御戦略を構築する必要性を示唆しています。

一方で、At-Bayの顧客の69%がランサムの支払いを拒否し、総額1億4,600万ドルの要求を回避したことは、適切な対策と支援があれば、ランサムウェア攻撃に屈しない選択肢があることを示しています。

このレポートは、サイバーセキュリティが単なるIT部門の問題ではなく、経営戦略の中核を成すべき課題であることを改めて認識させます。企業は、技術的対策だけでなく、従業員教育、サードパーティリスク管理、インシデント対応計画の策定など、包括的なアプローチを取る必要があります。

また、サイバー保険会社が単なる保険提供者から、セキュリティアドバイザーとしての役割を担いつつあることも注目に値します。これは、米国政府のサイバーセキュリティ支援の縮小とも相まって、企業のセキュリティ戦略に新たな展開をもたらす可能性があります。

最後に、このレポートは、デジタル化が進む現代社会において、サイバーセキュリティが個々の企業の問題を超えて、社会全体の課題となっていることを示唆しています。今後、企業間、産業間、さらには国際的な協力体制の構築が、サイバー脅威に対する効果的な対策の鍵となるでしょう。

【用語解説】

サイバー保険：
サイバー攻撃による損害を補償する保険。データ漏洩や業務停止などの被害に対する補償を提供する。

EDR (Endpoint Detection and Response)：
エンドポイント（PCやスマートフォンなど）の不審な挙動を監視・検知し、対応するセキュリティツール。

サードパーティリスク：
取引先や委託先など、自社以外の組織を経由して発生するセキュリティリスク。

ランサムウェア：
データを暗号化し、解除と引き換えに身代金を要求するマルウェア。

【参考リンク】

At-Bay（外部）
サイバーリスク評価と保険を組み合わせた先進的なサイバー保険プロバイダー。

Resilience（外部）
サイバーセキュリティとサイバー保険を統合したソリューションを提供する企業。

Coalition（外部）
サイバーリスク診断技術を活用したSME向けサイバー保険のリーディングカンパニー。

SOMPO CYBER SECURITY（外部）
SOMPOリスクマネジメントが提供するサイバーセキュリティのワンストップソリューション。

【編集部後記】

皆さんの会社では、取引先のセキュリティ状況をどのように把握していますか？今回のレポートが示すように、自社のセキュリティ対策が万全でも、パートナー企業の脆弱性がリスクとなることが増えています。もし明日、重要な取引先がサイバー攻撃を受けたら、あなたの業務はどう影響を受けるでしょうか？サードパーティリスク管理は「他社の問題」ではなく、自社の事業継続に直結する課題となっています。ぜひ一度、自社のサプライチェーンセキュリティについて考えてみませんか？

【関連記事】

サイバーセキュリティニュースをinnovaTopiaでもっと読む