東中国で日用品ブランド向けに40,000平方メートルの施設を運営する3PLのクライアントがいました。2024年9月のある火曜日の朝、彼らのWMSログイン画面が身代金要求のメッセージに変わっていました。攻撃者は何年もパッチを当てていないプリントサーバーから侵入し、データベースを暗号化。ビットコインで$350,000を要求してきました——72時間以内に支払わなければ復号鍵は削除される、と。
社長の最初の質問はこうでした。「Susanさん、去年サイバー保険に入ったんですが、これって支払われますか？」私は言いました。落ち着いて。まず3つの請求書を足してから、保険約款を見ましょう。
請求書その1：身代金——払うべきか、払わざるべきか
ベンダー側の人間なら誰でも知っている公然の秘密があります。身代金を払った企業のうち、完全に動作する復号ツールを手に入れられたのは半数以下です。 FBIも各国のサイバー機関も「払うな」と言いますが、現実には2024年にこっそり払った企業はたくさんありました。ダウンタイムの方が高くつくからです。
このクライアントは払いませんでした。なぜか。外部のITチームの評価では、データベースは暗号化されたものの、WCS（倉庫制御システム）と自動化設備は別のネットワークセグメントにあり、無事でした。紙の伝票でピッキングはなんとか回せます。$350,000を払えば、動くかもしれない復号ツールを買うことになる。払わなければ、数日間の手作業に耐えることになる。この損得勘定は倉庫ごとに違います。施設の自動化が進むほど、「数日は手作業で回す」は選択肢になりません。 完全自動のAS/RSのWMSが止まれば、建物全体が高価な鉄の棚でしかなくなります。
そして直感に反する事実があります。多くの人はランサムウェアはデータ窃取だと思っています。倉庫にとって致命的なのは、生産システムの暗号化です。顧客データの漏洩は法務とPRの問題。暗号化されたWMSは、1分ごとに金を燃やす問題です。
請求書その2：ダウンタイム——1日の停止が本当はいくらかかるか
発覚した火曜の朝8時から、システムが復旧した日曜の夜まで、6日間まるまる停止しました。一緒に計算してみました。
| コスト項目 | 金額（6日間） | 備考 |
|---|---|---|
| 未出荷の注文 | 約$900,000相当の商品 | 約15,000件/日、平均注文単価約$10 |
| 臨時人件費 | 約$30,000 | 6日間、紙伝票オペレーションのための臨時40名増員 |
| 顧客からのクレーム | 約$80,000 | 大口顧客2社が契約に基づきSLAペナルティを発動 |
| モールからの罰金 | 約$20,000 | ECプラットフォームからの出荷遅延ペナルティ |
| 合計 | 約$1,030,000 | ブランド毀損は除く |
はっきり見てください。身代金$350,000に対し、ダウンタイム損失$1,030,000。身代金メモの数字が一番大きい数字になることは決してありません。ダウンタイムが一番大きいのです。 だから一部の企業はこっそり払うのです。$1,030,000の出血を$350,000で止められるなら、誰も公には認めなくても、計算上は正しいのです。
もう1社、南中国の越境EC倉庫のクライアントの話は、2025年初めの、もっと典型的な事例です。標的型攻撃ではありませんでした。事務員が「請求書」を装ったフィッシングメールをクリックし、マルウェアが横展開。2日後には財務システムもWMSも暗号化されていました。小さな施設で1日3,000件、4日間停止、損失はおよそ$150,000。社長は言いました。「Susanさん、ハッカーは大企業しか狙わないと思ってました」。ハッカーは倉庫の大きさなんて気にしません。IPレンジを自動でスキャンして、片っ端から試すのです。入れたら、入れたのです。
請求書その3：データ復旧——バックアップが救ってくれるかは3つの条件で決まる
バックアップを買って安心して眠る人は多い。でも私は「バックアップはあったのに復旧できなかった」を何度も見てきました。本番と同じネットワークセグメントに置いたバックアップは、本番と一緒に暗号化される。3年間バックアップを取り続けたが一度もテストしたことがない——復旧当日にファイル破損が発覚。保持期間7日なのに攻撃者は20日前から潜伏していた——全バックアップにマルウェアが混入。
復旧が救ってくれるかどうかは、3つの条件で決まります。どれも譲れません。
- 物理的に隔離し、オフサイトに：バックアップは本番ネットワークから物理的に隔離しなければなりません——オフラインのテープかイミュータブルストレージ。生産の隣に置いたバックアップはバックアップではありません。
- 定期的な訓練：四半期ごとに完全復旧訓練を行い、ストップウォッチで測る。1回の訓練で、「4時間復旧」が本当に4時間なのか4日なのかが分かります。
- 十分な保持期間：最低30日、理想は90日。ランサムウェアの潜伏期間は週単位です。7日の保持期間は形だけです。
このクライアントは結局、復旧と再構築に$110,000を使いました。外部のセキュリティ会社にネットワークを清掃してもらい、サーバーを再インストールし、40日前のオフラインバックアップから復旧。そして6日分の紙伝票オペレーションを手で再入力しました。$110,000で買ったのは、高い授業料でした。
約款に戻りましょう：サイバー保険に入った——本当に支払われるのか
さて、社長の最初の質問に戻ります。サイバー保険は通常3つをカバーします。身代金そのもの（一部の約款）、事業中断損失、データ復旧コスト。聞こえは最高。でもベンダー側しか知らない内情があります。除外条項に2つの地雷が埋まっています。
地雷その1は「合理的なセキュリティの維持義務違反」。ほぼすべての約款にあります。人間の言葉に訳すと、パッチを一度も当てず、パスワードがadmin123のままなら、保険会社は重大な過失とみなして支払いを拒否できるということです。上のクライアントでは、あのパッチ未適用のプリントサーバーが拒否理由になりかけました。ブローカーが「パッチ管理はIT事業者に委託していた」と強く主張し、責任の線引きを曖昧にして、部分的な支払いを勝ち取りました。
地雷その2は「戦争・国家関与の除外」。新しい約款には「国家関与とみなされる攻撃」を除外するものがあり、そもそも帰属の特定自体が誰にもきれいに証明できない泥沼です。保険会社が「国家の作戦のようだ」と言えば、反証するのは至難の業です。
というわけで私の結論です。サイバー保険は詐欺ではありませんが、条件付きで支払われる商品です。 年間保険料はカバー額のおよそ1%–3%——$2 millionのポリシーなら年$20,000–$60,000。$1,030,000のダウンタイム損失に対しては、安い買い物です。ただし、ベースのセキュリティが十分で、除外条項に引っかからないことが前提です。そうでなければ、買ったのは保険ではなくプラセボです。
次に契約交渉をするときは、この3つを聞いてください
保険会社と約款を交渉するときも、クライアントとの3PL倉庫契約でセキュリティ責任条項を交渉するときも、この3つを聞いてください。
- 「『合理的なセキュリティの維持義務』で、具体的に何が該当しますか？」 項目ごとに列挙させてください。列挙できない除外は、ただの脅しです。
- 「事業中断について、実損害を払いますか、それとも日額固定ですか？」 実損害なら、どんな証拠を求めるか聞いてください。日額固定なら、自社の1日の実損をカバーできるか確認してください。
- 「バックアップと復旧訓練はカバー条件に明記されていますか？」 約款によっては四半期ごとの訓練と記録の保管を求めます。怠ればカバーは縮小。事故の後ではなく、事前に聞いてください。
そしてベンダー側からの正直な一言。お客様各位、セキュリティ支出はいつも純粋なコストに見えます。あなたを救ったお金に見える、その1日が来るまでは。WMSのログイン画面が身代金要求に変わってから「Susanさん、いい保険ブローカー知らない？」と聞くのはやめましょう。
Susan（3PLセールスディレクター）著
英語版からの翻訳。内容に相違がある場合は英語版を優先します。
