最近、攻撃の標的とされているある業界とはITベンダーだ。ITベンダーが攻撃されて、取引先やシステムの相互接続先などの第三者（サードパーティ）にまで被害が及ぶ例が広まっている。

　Resilienceのアン・アーヴァイン氏（チーフデータアナリティクスオフィサー）は、ITベンダーに関連した事例で請求額が膨れ上がる理由について電子メールで次のように述べた。「2024年にはITベンダーに関連するインシデントが多く発生し、顧客のビジネスを一時的に停止させた。その結果、より大規模な経済的影響が発生した」

　調査結果に関するプレスリリースの中で、Resilienceは「攻撃者は、ある企業における単一障害点を悪用して『下流で連鎖的な混沌（こんとん）を引き起こす』ことに注力している」と述べた。

　IBMの調査によると、2024年に世界で発生したデータ侵害に関連する平均コストは約490万ドルだった（注2）。中には、平均をはるかに上回るコストを発生させたインシデントもあった。

　ヘルスケアサービスを提供するUnitedHealthは、同社のグループ企業であるChange Healthcareに対する大規模なサイバー攻撃への対応に、2024年の1年間で合計31億ドルを費やしたと2025年1月に公表した（注3）。Change Healthcareは年間で数十億件の医療請求を処理している。このランサムウェア攻撃は、医療業界に数週間にわたる混乱を引き起こした。

　米国病院協会でサイバーセキュリティおよびリスクの業務を担当するジョン・リッジ氏（ナショナルアドバイザー）は、2024年に投稿したブログ記事で「米国の医療業界史上、最も重大で影響の大きいサイバー攻撃だった」と述べた。

　全米の自動車ディーラーにサービスを提供するソフトウェア企業のCDK Globalも2024年に大規模なランサムウェア攻撃の標的にされた。コンサルティング企業であるAnderson Economic Groupの推計では、同インシデントによる自動車ディーラーの損害は合計10億ドル以上に及ぶ（注4）。

　Change HealthcareとCDK Grobalに対する2024年の侵害について、Resilienceは報告書で「高度に相互接続された企業に対する攻撃がいかに業界全体に波及し得るかを示している」と述べた。サードパーティと関わることで生じるこうしたリスクを「サードパーティリスク」と呼ぶ。

　Resilienceの分析によると、サードパーティリスクはサイバー保険の主要な請求原因に躍り出た。2024年に同社の顧客企業が提出した請求の31％をサードパーティに関連する原因が占めたという。2023年における同様の請求は37％で、2024年比で若干高いが、それらの請求に実質的損失は含まれていなかった。

ランサムウェアは減少に向かっている？

　また、重要な損害賠償請求の原因として、ITベンダーを標的としたランサムウェアが新たに浮上しており、関連する請求の18％を占めていることが分かった。

　Resilienceによると、2024年においてもランサムウェアは引き続き「損失の最大の原因」であり、損失を伴う請求全体の62％を占めていた。しかし、広い範囲の市場に目を向けると発生頻度が減少する兆候も見られるという。

　報告書によると、これは攻撃者が以前のような無差別攻撃型を採用しなくなり、より高額の“報酬”をもたらす知名度の高い大企業を狙うようになったためだという。