ランサムウェア攻撃の実際のコストを計算

ランサムウェアが組織に大きなコスト損失をもたらすことは、周知の事実です。事実、身代金の平均支払い額は、約100万ドルにもおよびます。しかし、これはほんの始まりに過ぎません。ランサムウェア攻撃の実際の被害額は、身代金の支払い額をはるかに上回り、身代金として要求される額の7倍にまで達する可能性もあります。このブログ記事では、ランサムウェア攻撃の実際のコストを計算する方法について説明します。

まず、最もわかりやすいコストである身代金の支払い額から見ていきます。身代金の要求額は大体1万ドルから数百万ドルの範囲で、これまでで最も高い要求額は7,000万ドルでした。多くの場合、身代金の要求額はターゲットとなる企業の年間収益に対する割合（大抵は約3%）で計算されます。全体的な被害額について専門家の話では、身代金の支払い額はランサムウェア攻撃の総被害額の約15%にすぎないと言われています。ここで何よりも重要なのは、実際に身代金を支払った組織のうちデータを取り戻せているのは、7社のうちわずか1社だけであるということです。

ランサムウェア攻撃による被害額の大部分は、ダウンタイムとリカバリに起因しています。ランサムウェア攻撃を受けてからビジネスが復旧するまでには、平均22日かかります。多くの場合、ダウンタイムによるコスト損失は、身代金要求額の50倍になると言われています。IT部門によるデータのリカバリと運用復旧から、マーケティング部門によるクライシス コミュニケーション対応まで、組織のビジネス全体でリカバリに重点を置く必要があります。生産性の低下と、リカバリ作業の高速化を支援してもらうために請負業者に協力を要請するためのコストは、あっという間に拡大していきます。さらに、ランサムウェア攻撃によって組織のセキュリティ インフラに潜む脆弱性が明らかになることが多く、結果としてサイバーセキュリティを強化するための新しいテクノロジの再構築と実装に膨大な費用がかかります。

先日IBMが行った調査によると、ランサムウェア攻撃の平均被害額は462万ドル（身代金の支払い額を含まず）と言われています。

ランサムウェア攻撃を一度受けると、データをリストアしてビジネスを再開したあとも、コストへの影響が長く続く可能性があります。場合によっては、顧客の財務データや個人データが攻撃によって侵害され、集団訴訟が発生することも少なくありません。これらの訴訟では、解決までに数千万ドルの費用がかかる場合もあります。また、ランサムウェア攻撃による企業イメージの低下は、収益の大幅な損失につながる可能性もあります。極端なケースでは、顧客離れにより廃業に追い込まれる事態も想定されます。

ランサムウェア攻撃によるコスト損失を補てんするために、多くの組織がサイバー保険契約を結んでいます。残念ながら、すべての組織が保険の対象となるわけではありません。また、保険によって攻撃に関するすべての損失が必ず補てんされるとはかぎりません。また、一度ランサムウェア攻撃を受けたあとは、その企業の保険料は急激に上昇し、攻撃の継続的なコスト増加につながります。

さらに悪いことに、ランサムウェア攻撃の被害にあった企業は、再び攻撃を受ける確率が高くなります。事実、身代金を支払った組織の80%が、再び脅迫を受けたという調査結果が出ています。

2021年には、米国内の576の組織がランサムウェアの被害を受けました。結果として、ダウンタイムだけで総額1,594億ドルの損失が生じました。身代金として支払われる額は推定13億ドルなので、比較すると、ランサムウェア攻撃の実際のコスト損失がどこにあるかが見えてきます。

調査会社Check Point Researchは、実際に発生したランサムウェア攻撃によるコスト損失の内訳を調査しました。

ランサムウェア攻撃によるコスト損失のうち、身代金の支払い額はごくわずかです。コストを抑制するには、攻撃を検出して迅速に対応し、被害を最小限に抑えることが重要です。データの適切なセキュリティと保護を維持することは、攻撃を防止し、迅速にリカバリし、ダウンタイムやデータ損失による高額なコスト発生を回避するのに役立ちます。

ランサムウェア対策戦略を今すぐ始めましょう。サイバーセキュリティ対策に潜むギャップを解消する方法については、NetApp^®のサイバーレジリエンス ソリューションおよびランサムウェア対策ソリューションのページをご覧ください。