IBMとZscalerがそれぞれサイバーセキュリティに関するレポートを発表した。そこからうかがえるのは、データ侵害とランサムウェア攻撃による財務への影響が増大しているという厳しい状況だ。IBMの調査では、データ侵害への対応にかかるコストが2024年は世界平均で490万ドルに達したこと、Zscalerのレポートでは、ランサムウェア攻撃に対する身代金の支払額が2023年は総額10億ドルを超え、あるケースでは1件の身代金としては過去最高の7,500万ドルが支払われたことが明らかになっている。

IBMの年次レポート「データ侵害のコストに関する調査レポート」によると、データ侵害のコストは世界平均で前年比10%増加。パンデミック以降では最大の上昇幅となった。侵害された企業等の70%で「大きな」または「非常に大きな」混乱が発生したという。

コストが急増しているのは、事業機会の損失（運用停止や顧客の喪失）と、侵害を受けた後の対応（運用停止やカスタマーサービスの人員確保、規制当局による罰金など）によるものだ。両者の平均コストを合わせた額は、過去6年間で最高の280万ドルに達している。

最も被害額が大きい攻撃ベクトルは悪意のある内部関係者による攻撃で、侵害あたりの平均被害額は500万ドル近くに上る。そのほかにも、ビジネスメールの侵害、フィッシング、ソーシャルエンジニアリング、認証情報の侵害で多額の損失が発生している。

「企業は、侵害を受けては封じ込め、副次的な影響に対応するという、絶え間ないサイクルに巻き込まれています」。IBM Securityのストラテジー＆プロダクト・マネジメント担当バイスプレジデント、Kevin Skapinetz（ケビン・スカピネッツ）氏が述べている。「その中で、セキュリティ防御の強化に投資をしたり、侵害コストを消費者に転嫁したりすることも多くなっており、セキュリティが事業に伴う新たなコストになっています」

同レポートでは、17業種、16の国と地域で発生した侵害を分析している。侵害されたレコードの件数は、2,100件から113,000件と多岐にわたっている。

コストへの影響―AIと人材不足

IBMのレポートでは、深刻な人員不足に悩む企業が前年より26%増加したほか、侵害を受けた企業の半数以上が大きなスキルギャップに直面していることもわかった。この問題を抱えている企業では、セキュリティスタッフがそれほど不足していない、あるいは足りている企業と比較すると、データ侵害への対応コストが平均で176万ドル高くつく結果となっている。

一方で、生産性と効率を高めるために、5社に1社が何らかの形で生成AIセキュリティツールを使用していると答えている。

AIを活用したセキュリティ戦略は、侵害が財務に与える影響を軽減するのに有望だということもわかった。レポートによると、回答企業の3分の2が――前年より10％増えている――SOC（Security Operation Center）の業務全体にAIと自動化を導入している。

幅広い業務（攻撃対象領域の管理、レッドチーミング、ポスチャ管理など）にこうした技術を使用した結果、AIをまったく使用していない場合と比較して、侵害への対応コストを平均で220万ドル削減できているという。2024年の調査結果の中でも最大の削減だとIBMは指摘する。

「生成AIが急速に企業に浸透し、攻撃対象領域が拡大するなか、（セキュリティ）コストは遠からず持続不可能なものとなり、企業はセキュリティ対策と対応戦略の見直しを迫られることになるでしょう。先手を打つには、AIを活用した新たな防御策に投資するとともに、生成AIがもたらす新たなリスク、新たな機会に対応できるスキルを開発することです」とSkapinetz氏は述べている。

ランサムウェア攻撃の被害額が増大

Zscalerの「2024年版ThreatLabzランサムウェアレポート」では、ランサムウェア攻撃が前年から18%も増加したこと、ランサムウェア集団「Dark Angels」に対し、7,500万ドルという前代未聞の身代金が支払われたことがわかった。1社が支払った金額としては過去最高だ。この1回の支払いで、公表されている支払額の最高額は2倍近くに増加した。

調査は2023年4月から2024年4月までのランサムウェアによる脅威状況を分析したもので、この期間の攻撃には長時間のシステム停止や大幅なデータ損失を引き起こし、復旧に多額のコストを要したものも多い。2023年の身代金支払総額は10億ドルを超えたという。

脅迫型ランサムウェア攻撃も急増の一途をたどっている。データ漏洩サイトに掲載されている被害企業の数は、前年のレポートの数字から58%近く増えている。最も標的にされた業界は製造業で、653件の攻撃があった。他の業界と比較して倍以上の数だ。

「ランサムウェア対策は、2024年もCISOにとって最優先事項の1つになっています」。ZscalerのCSO（最高セキュリティ責任者）、Deepen Desai（ディープン・デサイ）氏が述べている。「RaaS（Ransomware as a Service）の利用が増えているほか、レガシーシステムへのゼロデイ攻撃が多数発生し、フィッシング攻撃が増加し、AIを利用した攻撃が台頭していることもあり、身代金の支払額は記録的なものとなりました」
Data breach average costs soar to $4.9M as one ransom payout hit record $75M