データ侵害の平均コストが500万ドルに上昇

過去1年間に発生したサイバーインシデントの影響を分析した結果、データ侵害の平均コストが約500万ドルまで上昇したことが明らかになりました。

この数値は、IBMが7月29日に発表した年次報告書「2026年版データ侵害コストレポート」に掲載されたもので、2025年3月から2026年2月の間に世界602の組織が経験した侵害事例を基にしています。

IBMによると、世界全体のデータ侵害の平均コストは過去1年間で12%上昇し、過去最高となる499万ドル(約3億7,500万ポンド)に達しました。

データ侵害やサイバー攻撃が組織にもたらす金銭的コストの大きな要因の一つが、ビジネス損失です。これは、インシデントによって製品やサービスを販売できなくなることで発生する直接的な損失だけでなく、被害を受けた組織への信頼が損なわれることで長期的に顧客を失うことによる損失も含まれます。

サイバー犯罪者はこれが組織にとって大きなリスクであることを理解しており、特にランサムウェアや恐喝を伴う攻撃においてこの点を戦術に組み込んでいます。

暗号化によって業務を妨害する手法は依然として主要な戦術ですが、攻撃者は被害組織に圧力をかける他の手段へとシフトしつつあります。例えば、インシデントが公になった場合のブランド評価への潜在的な損害を材料に脅迫し、身代金の支払いを迫るといった手口です。

ランサムウェア攻撃を受けた組織のうち41%が、サービスを提供できなくなることや顧客データが流出することによるブランド評価への損害をちらつかせ、攻撃者が被害者に支払いを迫ってきたと回答しています。

報告書は「この変化は、純粋に技術的な業務妨害から、信頼、世間の認知、長期的な事業への影響を標的とする多層的な恐喝戦略へのシフトを反映している」と述べています。

サイバー攻撃の被害に遭った組織は、インシデントの調査・対応にかかるコストの増大によっても金銭的損失を被っています。

業種別のデータ侵害コスト

サイバーインシデントやデータ侵害によるコストが最も高い業種は医療分野で、13年連続で平均侵害コストが最高($660万)となりました。

報告書は「攻撃者は依然として、なりすまし詐欺や保険金詐欺、その他の金融犯罪に利用できる患者の個人識別情報(PII)に価値を見出し、この業界を標的とし続けている」と警告しています。

この期間中にデータ侵害のコストが高かった業種の上位5つには、金融セクター($630万)、産業セクター($550万)、テクノロジー業界($550万)、エンターテインメント業界($540万)が続きました。

AIを活用した攻撃がもたらす高コストな影響

IBMの「データ侵害コストレポート」は、企業組織と、それを標的とするサイバー犯罪組織の双方におけるAIおよびフロンティアLLMの利用の拡大が、報告対象期間中の攻撃の様相にどのような影響を与えたかについても言及しています。

悪意ある攻撃を経験した組織の4分の1以上が、その攻撃がAIによるものであったと回答しており、これは前年と比較して56%の増加を意味します。

被害組織は、AIによるディープフェイクなりすまし攻撃とAIを活用したマルウェアによるインシデントが、この期間中で最も多く見られたAI関連攻撃の形態であったと報告しています。AIを活用した攻撃は、インシデントの金銭的コストに大きく影響する要因であることが判明しました。IBMによると、AIを活用した攻撃は侵害1件あたり平均で100万ドルのコスト増をもたらしています。

IBMでサイバーセキュリティサービスのグローバル・マネージング・パートナーを務めるマーク・ヒューズ(Mark Hughes)氏は、「AIはサイバー犯罪者にとっての参入障壁を劇的に引き下げました。攻撃者は高度なフロンティアモデルを使い、数日ではなく数分で攻撃を実行できるようになっています。組織がこの状況に対応していくには、受動的なセキュリティ対策から、継続的かつ自律的な防御へとより迅速に移行していく必要があります」と述べています。

この調査によると、AIを基盤としたサイバー脅威のリスクを受け、組織はサイバーセキュリティ戦略への追加投資を進めており、85%がフロンティアAIモデルによる脅威への対応としてセキュリティ支出を増やす予定であると回答しています。

データ侵害を未然に防ぐため、IBMは、データがシステムに入り、変換され、システムから出ていく過程を監視することで、機密データの露出リスクを事前に特定できるとともに、ガバナンスとコンプライアンスの強化にもつながると提言しています。

また組織は、特にID関連の攻撃において悪意ある可能性のある挙動を監視するため、ユーザー、データ、マシンエージェントに対する信頼済みID管理を徹底するゼロトラスト型のサイバーセキュリティアプローチを導入すべきだとしています。