■要旨
近年、保険業界を取り巻く経営課題の中で、サイバーリスクは最重要テーマの一角となっている。特にランサムウェアによるサイバー攻撃はその頻度が増しているにとどまらず、保険会社の基幹業務がシステムへの依存度が高いこととの相性が悪く、システム停止＝業務停止と直結しうる。今回のレポートでは、サイバーリスクの現状と、他国における事例などを踏まえ、保険会社にとってのサイバーリスクの脅威について概観していく。
■目次
1――保険業界におけるサイバーリスクの重要性
2――ランサムウェア攻撃と保険業界への影響
3――保険会社を巡るランサムウェア被害と破綻事例
4――ランサムウェア攻撃のビジネスモデルと高度化
5――サイバー保険の役割と課題
6――保険会社が取るべき対応
1｜ID・アクセス管理の強化
2｜オペレーショナル・レジリエンスの確保
3｜BCP・危機対応訓練の定期化
4｜サイバー保険の活用と契約内容の精査
7――まとめ近年、保険業界を取り巻く経営課題の中で、サイバーリスクは最重要テーマの一角となっている。PwCとロンドン銀行・金融財団が発行する世界的なリスク調査「Insurance Banana Skins 2025」では、保険会社にとっての最大の懸念が「サイバーリスク」であると指摘されており、調査開始以来最も深刻度が高いとされる。サイバー攻撃はもはや「発生するかどうか（if）ではなく、いつ起こるか（when）という問題」である。この背景には、保険会社が多量の契約者データ、金融情報、医療情報など機微性の高い情報を保有し、攻撃者にとって魅力的な標的になっていることがある。
さらに、保険会社の基幹業務は契約管理、顧客対応、保険金支払等、システムへの依存度が高く、システム停止＝業務停止と直結する。また、保険事業は顧客との信頼関係によって支えられており、情報漏えい等が発生すれば企業価値・評判の毀損につながる。したがって保険会社にとって、サイバーリスクは単なるITリスクではなく、経営存続に直結する「オペレーショナル・リスク」であると言える。
サイバー攻撃の中でも、ランサムウェア攻撃の脅威は特に注目される。近年のランサムウェアは、個人向けの単純な脅迫型から、企業を標的とした高度な犯罪集団による「組織化された攻撃」へ進化した。攻撃者は直接的なデータ窃取だけでなく、業務停止自体を「人質」と捉え、企業活動の継続を守るために身代金支払いを迫る。特に保険会社は保険金支払・保険料収納・相談窓口などの中断が顧客の生活に直結するため、身代金支払いを強要されやすい構造となる。ここで注目すべきは、攻撃者が「支払い能力」を観察し、合理的に要求水準を設定している疑いがあることである。2025年10月29日付の日本経済新聞の記事1によるとQilinランサムウェア集団が「盗むべき機密情報の優先対象としてサイバー保険契約書を挙げ、身代金額を決める材料として利用している可能性」を指摘している。
つまり、攻撃者は単にシステムを暗号化して脅すだけでなく、「保険契約の補償限度額」「保険金支払能力」を参照し、内部情報を基に身代金の価格設定をしている可能性がある。この傾向はすでに海外でも指摘が見られ、ランサムウェアの経済合理化と市場化が進む中、攻撃者が保険制度を参照する段階に入ったと評価できる。
1 https://www•nikkei.com/article/DGXZQOCD21B060R21C25A0000000/
サイバー攻撃は業務停止だけではなく、経営破綻に至るケースも存在する。ドイツのモバイル端末保険会社Einhausの例では、ランサムウェア攻撃を受け基幹システムが暗号化され、長期にわたる業務停止を経験した。身代金支払が報じられたものの復旧は遅れ、手作業処理による対応コスト増や顧客離脱など経営問題が重なり、結果的に破綻に至ったとされる。これは、ランサムウェア攻撃が企業存続に直結することを示す重要な事例である。
また、ドイツの生命保険会社Idealは、Akiraと呼ばれるランサムウェアグループによる被害でネットワーク遮断とシステム停止を余儀なくされ、顧客対応は顧客向け専用電話番号や限定メールでの対応を迫られている。優先度の高い業務から復旧が進んでいるが、保険会社が複雑なIT依存構造を持つこと、復旧には日単位ではなく週単位の時間が必要となることが改めて示された。
これらの事例は、保険会社の復旧能力＝オペレーショナル・レジリエンスが、財務健全性と同様に企業価値を左右することを示唆する。
現代のランサムウェア攻撃は、攻撃者個人ではなく分業型組織による「Ransomware as a Service（RaaS）」として運営されている。その典型構造は以下の四段階である。
- 侵入（脆弱なVPN・メール詐欺・ソーシャルエンジニアリング）
- 権限昇格2・横移動（ID情報奪取）
- 暗号化・データ窃取（恐喝材料確保）
- 身代金要求（暗号化解除＋公開停止を条件）
攻撃グループの一部は標的を「情報価値の高さ×復旧困難性×支払余力」で選定し、中堅金融機関・保険会社が優先ターゲットとなる傾向がある。特に保険会社が狙われる理由として、次が挙げられる。
- 機微情報を大量に保有し、外部流出リスクが高く恐喝材料になりやすい
- システム依存度が高く停止時の損害が即発生する
- レピュテーション損失が大きく短期決断を迫られる
- 顧客対応遅延・支払遅延により訴訟リスクが発生する
このように保険会社はランサムウェア攻撃の構造と経済的論理の面からも狙いやすい標的であり、オペレーショナル・レジリエンス確保が喫緊の課題になっていると言える。
2 セキュリティの脆弱性を悪用して、システムに対する高度なアクセス権と管理権限を得ること
サイバー保険は、損害賠償責任や企業内部の対応費用、システム復旧費用、事業中断損害等を補償し、事故発生時の資金面・専門家支援面の双方で重要な役割を持つ。Aonのレポートでは、事故発生時の体制整備により、保険事故1件あたりの平均損害額が大幅に減少するとの調査を引用し、サイバー保険が単なる金銭補償ではなく「レジリエンス支援の手段」になりつつある点を指摘している。
一方で、サイバー保険普及に伴い「保険金額が身代金要求額の目安となり得る」という潜在的ジレンマがある。保険加入企業が資金支払能力を持つことで攻撃者が支払い余力を推定しやすくなる可能性は否定できない。
ランサムウェア攻撃に対抗するには、単なるセキュリティ対策だけでは不十分である。レジリエンスも踏まえた、以下の対応が必要となる。1｜ID・アクセス管理の強化
脆弱なVPNやID管理が突破口になる例が多いため、ゼロトラスト化、多要素認証、アクセス権限の最小化が必要。
2｜オペレーショナル・レジリエンスの確保
単なるセキュリティ対策ではなく、感染後の事業継続と復旧力の強化が不可欠。
具体的には以下を重視すべきである。
- システム分離・バックアップ分離
- 優先復旧機能の特定・再構築訓練
- 代替業務フロー・手作業処理の訓練と手順整備
3｜BCP・危機対応訓練の定期化
身代金支払い判断は経営判断となるため、法務・財務などと連携した意思決定手順の事前確立が必要。
4｜サイバー保険の活用と契約内容の精査
身代金支払いの可否、再発防止費用、事業中断損害の取り扱い等、契約内容を整理し、保険会社自身のリスク管理制度に統合すべき。
保険業界を取り巻くサイバーリスク、とりわけランサムウェアは、「データ防御」から「業務継続力の確保」「企業存続リスク」へと質的に変化している。攻撃者はビジネスとして侵入・恐喝を行い、保険会社は高度にデジタル化した事業機能を中心に攻撃対象とされる。過去の被害事例から、単純な身代金交渉だけでは事態は収束せず、復旧力とレジリエンスこそが企業存続を左右する。サイバー保険は補償手段とレジリエンス支援機能として不可欠だが、サイバー保険の補償額を充実するほどに身代金額が高まってしまう可能性があるというジレンマも生じうる。攻撃実態の情報を収集し続け、実効的な社内のセキュリティ体制整備を進めることが求められる。