デジタル時代の見えない請求書：サイバーセキュリティの真のコスト

零細企業は防ぎきれない：1回のサイバーインシデントで年間収入の7%が失われる恐れ

サイバーセキュリティインシデントにおいて、年間収入が2500万ドル未満の零細企業は、その規模に全く不相応な財務リスクに直面している。絶対額で見ると、零細企業のサイバーインシデントによる損失の中央値は約3.8万ドルであり、大企業の数百万ドル規模の損失には遠く及ばない。しかし、資金繰りがすでに逼迫している零細企業にとっては、一見中程度に見える損失額でも、事業全体に甚大な打撃を与えるのに十分である。

サイバーインシデントによる経済的損失を年間営業収入と比較すると、零細企業が被るダメージは特に甚大であることがわかる。調査レポートのデータによると、損失が深刻な上位10%の事例では、零細企業の損失は年間収入の3%以上に達し、上位2.5%の極端な事例では、1回のインシデントによる損失が年間収入の7%以上を食い尽くすことさえある。対照的に、中堅企業や大企業は、最も極端な事例であっても、損失が収入に占める割合は2%を超えない。

零細企業がサイバー危機においてこれほど脆弱である主な理由は、独自のセキュリティ防御リソースと対応能力の欠如にある。専任のセキュリティチームと十分な予算を擁する大企業とは異なり、零細企業が十分なリソースを投入して完璧なサイバー防御体制を構築することは困難である。零細企業を対象としたサイバーセキュリティインシデントでは、ランサムウェアとビジネスメール詐欺が大部分を占めており、企業のキャッシュフローと存続の基盤を直接脅かしている。

攻撃者に直接支払う資金や復旧費用に加え、サイバーインシデントによる業務停止は日常業務を完全に麻痺させる。多くの小規模事業者にとって、数日間の業務停止は収入の途絶や顧客の流失を意味するだけでなく、追加のインシデント対応やデータ復旧コストも負担しなければならない。これらの隠れたコストが重なることで、元々は局所的なサイバーセキュリティの脆弱性が、企業の存亡に関わる財務危機へと発展してしまうのである。

マルウェア不要の詐欺：請求書改ざんとメールなりすましに警戒

ビジネスメール詐欺において、攻撃者は複雑なウイルスでシステムを破壊するのではなく、より隠密性の高いなりすまし手段を用いる。ハッカーは通常、実際のメールのやり取りを乗っ取り、サプライヤーや取引先を装い、既存の信頼関係を利用して、被害者に請求書の銀行振込先を変更するよう説得する。この攻撃の最も厄介な点は、メールにマルウェアやウイルスリンクが全く含まれておらず、従来のセキュリティソフトでは自動ブロックが困難なため、技術とプロセスの両面からの二重の防御に完全に依存せざるを得ないことである。

発生頻度と経済的損失から見ると、この種の詐欺は調査レポートで統計化されたすべてのサイバーセキュリティインシデントの約12%を占めている。長年にわたり、ビジネスメール詐欺の1件あたりの損失の中央値は約5万ドルで推移している。攻撃者が1回で窃取する金額は改ざんされた請求書の具体的な金額に制限されるため、損失規模はランサムウェアのように企業の収入に応じて上限なく倍増しやすいわけではないが、ごく稀な極端な事例では損失が1000万ドルに達することもある。

保険金請求のデータ構造を分析すると、対応および復旧費用が請求全体の64%を占め、ハッカーに直接送金された資金損失は約30%を占めていることがわかる。ランサムウェアなどでハッカーに支払う暗号資産の身代金とは異なり、電信送金詐欺が発生した後、企業が法執行機関を通じて迅速な介入を行えれば、送金された資金が差し止められたり、一部回収されたりする機会が依然としてある場合がある。

この種の詐欺は、異なる業界や異なる規模の企業に広く存在している。零細企業の保険金請求事例では、ビジネスメール詐欺が19%を占め、医療業界と小売業界でもそれぞれ22%、13%に達している。このような「トロイの木馬なし」の攻撃に対処するには、ファイアウォールやウイルス対策ソフトのアップグレードだけでは不十分であり、日常の財務送金や請求書変更において厳格な内部確認プロセスを確立する必要がある。

上流サプライヤーの「崩壊」：日常的なアプリやサービスが突然停止する理由

高度に接続されたデジタル時代において、日常的に使用される多くのソフトウェアやサービスが突然アクセス不能になるのは、必ずしも自社のシステムがハッキングされたからではなく、基盤として依存しているサードパーティのクラウドサービスやソフトウェアサプライチェーンに障害が発生したためであることが多い。調査レポートによると、ソフトウェアサプライチェーンのインシデントは通常、重要なコード依存関係にマルウェアが仕込まれたり、深刻なプログラムの欠陥が存在したりすることに起因し、サードパーティサービスプロバイダーのインシデントは、ホスティングや基盤サービスプラットフォームが侵害され、その結果下流の多数の顧客に波及するものである。現代のソフトウェア開発は外部コンポーネントやインフラに大きく依存しているため、上流の単一障害点がドミノ倒しのような連鎖的な停止を引き起こしやすい。

経済的影響に関する統計データを見ると、上流のソフトウェアサプライチェーンインシデントは全インシデントの保険金請求のわずか約2%を占めるに過ぎないが、1件あたりの損失は極めて甚大である。調査レポートによると、ソフトウェアサプライチェーンインシデントによる経済的損失の中央値は25万2,666ドルに達し、全データセットの中央値の2倍以上であり、損失が最も深刻な上位2.5%の極端なケースでは、1件あたりの損失が1億ドルを超えている。さらに注目すべきは、この極端な損失額は実際には保険契約の上限によって頭打ちになっており、実際に引き起こされた真の経済的破壊はさらに大きいことを意味している。

ソフトウェアサプライチェーンと同様に、サードパーティサービスプロバイダーへの侵入インシデントも、高い破壊力を示す特徴を持っている。ハッカーはしばしばサードパーティサービスプラットフォームへの攻撃をてことして利用し、1回の侵入で同時に複数の下流企業に影響を与え、それによって被害者の事業運営へのプレッシャーを増大させる。統計データによると、このようなサードパーティインシデントの損失の中央値は約14万1,399ドルであり、上位2.5%の極端なケースでは損失が1,200万ドルを超えている。

上流サービスの停止によって引き起こされるこのような「関連業務停止」リスクは、近年著しく上昇する傾向を示している。調査レポートは2024年に初めて、サードパーティの障害による「関連業務停止」を独立した損失カテゴリとして追跡し始め、その年の既知の総損失額に占める割合は13%に達した。サプライチェーンおよびサードパーティサービスプロバイダーが関与するすべてのサイバーセキュリティインシデントにおいて、各種業務停止による損失の合計は既知の総損失額の50%を占めており、デジタルエコシステムにおける上流インフラが全体のサービス可用性に及ぼす深遠な影響を浮き彫りにしている。

身代金要求の新たな変種：PCはロックされていないのに、個人データが漏洩の危機に

従来のサイバー恐喝の脅威において、ハッカーは通常、PCやサーバーシステムを暗号化してロックし、それを人質に企業に身代金を要求していた。しかし調査レポートによると、近年発生した恐喝インシデントの保険金請求のうち、高達48%の案件でデータ復旧費用や身代金の支払いが発生していない。これはハッカーの攻撃手法が変化しつつあることを意味しており、一部の攻撃は煩雑なデバイスの暗号化に依存せず、データ窃取やプライバシーを盾にした恐喝へと移行している。

このようなデバイスを暗号化しない恐喝のケースでは、ハッカーの攻撃の焦点は直接、機密データの窃取に向けられる。攻撃者はシステムに侵入した後、直接データをダウンロードし、それを使って被害組織を脅迫したり、データを公開すると脅したりする。そのため、被害組織のPCがロックされておらず、業務が通常通り稼働していても、そのシステムに保存されている個人のプライバシーデータはすでに漏洩のリスクにさらされている可能性がある。

被害者の対応を見ると、ハッカーへの身代金支払いを拒否することを選択する企業の割合が著しく増加している。データによると、調査レポートの統計期間中、恐喝ケースの被害者の69%が最終的に身代金を支払わず、この支払い拒否の割合は2022年以降上昇し続けている。全恐喝インシデントのうち、実際に身代金の支払いが発生したケースはわずか31%にとどまっている。

支払い拒否率が上昇しているにもかかわらず、恐喝による損失は依然として非常に深刻である。調査レポートのデータによると、恐喝の請求額は恐喝関連インシデントの総損失の32%を占めており、業務停止による損失と同様に、主要な経済的ダメージを構成している。

インシデント対応費用が5年で80%増：サイバーセキュリティの見えないコストがインフレを上回る

サイバーセキュリティインシデントの財務的影響を評価する際、年次データの比較から顕著な傾向が明らかになっている。調査レポートのデータによると、2019年から2024年にかけて、サイバーインシデントによる1回あたりの経済的損失の中央値は約80%増加し、約6万ドルから約11万ドルへと急増した。この大幅な増加は単にマクロ経済の変動によるものではなく、サイバー危機対応コストの実際の上昇を反映している。

同期の物価水準と比較することで、このコスト上昇の激しさをより直感的に理解できる。2019年から2024年の期間において、消費者物価指数の累積インフレ率は約23%であった。これに対し、サイバーセキュリティインシデントによる損失の中央値の増加率はインフレ率の3倍以上に達しており、企業がデジタルセキュリティ危機に対応するためのコスト増加率が、全体の物価水準を遥かに上回っていることを示している。

損失が比較的深刻な上位のケースでは、こうしたコスト急騰の現象がさらに顕著である。調査レポートの統計によると、上位10%の深刻なインシデントの損失額は、2019年の約43.5万ドルから2024年には105万ドル超へと急増し、上位2.5%の極端なケースの損失は244万ドルから514万ドル超へと倍以上に膨れ上がった。少数の異常な外れ値を除外した後であっても、頻発するインシデントの対応ハードルと復旧コストは倍増している。

---

出典機関：ベライゾン

本コンテンツは研究レポートの閲覧と理解のためのものであり、投資助言や取引シグナルを構成するものではありません。