AIがスペアフィッシング攻撃を安価にする、とサイバー保険会社が指摘

Dive Brief:

• ランサムウェアによる恐喝は、2026年上半期のビジネス損失の約4分の3を占めた、とサイバー保険会社のResilienceが最近のレポートで報告しています。
• 一方でランサムウェアは、Resilienceの顧客が保険金請求を行ったインシデントのうち6%未満にとどまっており、同社はこれについて「不釣り合いなほど高くつく」攻撃であることを浮き彫りにしていると指摘しています。
• レポート内の他のデータは、適切な従業員トレーニングと、定期的なバックアップなどのプロトコルの徹底的な遵守がいかに重要かを示しています。

Dive Insight:

AI関連の攻撃が多くの組織にとって懸念の的となっている一方で、そうした攻撃が実際に保険金請求を発生させた例はまだないと、Resilienceは述べています。むしろ、高額な損失をもたらす攻撃は、これまでどおりの手口から始まっています。同保険会社が対応した損失の85%以上は、スペアフィッシングを起点としていました。注目すべきは、この数値が2024年にはわずか18%だった点です。

「これまでのところ、ポートフォリオに対するAIの最も明確な影響は、新しい攻撃手法の出現ではありません」とResilienceは述べています。「AIは、最も古典的な手口であるソーシャルエンジニアリングを、より説得力のあるものに変えているのです」

企業は依然として脆弱性のパッチ適用に苦戦しており、その中にはハッカーが何カ月、あるいは何年にもわたって悪用し続けている広く知られた欠陥も含まれています。損失の技術的原因として最大の割合を占めたのは既知の脆弱性の悪用で、全損失の7%を占めました。2024年下半期には、こうした欠陥が全損失の25%を占めていました。

どの企業も攻撃から完全に身を守ることはできないとResilienceは述べていますが、組織側の備え次第で被害を軽減し、攻撃をより容易に乗り切れるようになるとしています。

「結果を左右するのは封じ込めです。つまり、事案の検知の速さと、発生後にどれだけ損失を食い止められるかです」とアナリストらは記しています。

2026年上半期において企業は、サプライチェーン侵害よりも直接的な侵入によって損失を被る可能性がはるかに高い結果となりました。ベンダー侵害に起因する損失はわずか2.3%にとどまりました。2025年上半期には、この割合は34%でした。

大規模なサプライチェーンインシデントは依然として発生しており、ResilienceはCanvasプラットフォームへのハッキングを例に挙げています。ただし同社によれば、最近の事例はChange Healthcareの情報漏えいのような過去の大規模インシデントほどの損失規模には至っていないとのことです。