サイバー保険は「入れば安心」から「守れている会社だけが入れる」へ――PHP騒動とGMO事件で強まる、保険見直しの観測

10月21日、ウェブサイトを動かすプログラム言語「PHP」に深刻な脆弱性が見つかり、国内外で多くの組織がサイトやサービスを一斉に止めました。高市総理がXで対応を呼びかけ、すぐに更新できない場合は一時停止も有効だと述べたことも話題になりました。同じ時期には、GMOインターネットグループのクラウドサービスへの不正アクセスで、攻撃者が身代金を要求する事件も続いています。

こうした中、SNSでは「サイバー保険」に関する投稿が目立つようになりました。「米国ではパッチを怠ると保険金が下りないので、保険会社が企業の尻を叩いている」「今の保険料率では、ここまでの被害は見込めていなかったのでは」「次の更新では補償が渋くなるかもしれない」といった声です。業界関係者の間でも、料率や引受条件の大幅な見直しを予想する声が聞かれます。

サイバー保険は、この先なくなってしまうのでしょうか。この記事では、「なくなる」説の出どころと市場の実際を確かめたうえで、海外で既に起きている変化と、企業が次の更新までに確認しておきたいことを整理します。

「サイバー保険はなくなる」は本当か

「サイバー攻撃は保険で引き受けられなくなる」という見方が広く知られるきっかけになったのは、2022年12月の報道です。スイスの保険大手チューリッヒのマリオ・グレコCEOが英フィナンシャル・タイムズのインタビューで、民間の保険会社が吸収できるサイバー攻撃の損失には限界があると述べ、地震やテロのように官民で支える仕組みが必要だと訴えました。

一方で、再保険大手のミュンヘン再保険は、サイバーリスクは保険で引き受けられるものだとしつつ、その大半はいまも保険でカバーされていないと指摘しています。つまり、サイバー保険そのものがなくなるというよりも、「保険で引き受けられる部分」と「引き受けられない部分」の線引きがはっきりしてきている、と見るのが実態に近いと言えます。

引き受けられない部分の代表が、多くの企業が同時に被害を受ける事態です。火災なら同じ日に全国の工場が一斉に燃えることはまずありませんが、サイバー攻撃では、1つの脆弱性や1つのクラウドサービスの障害で、何千もの契約者が同時に損害を受けることが起こりえます。保険会社はこれを「集積リスク」と呼び、最も警戒しています。

市場で起きている「ねじれ」――保険料は下がり、損害は増えている

意外に思われるかもしれませんが、世界のサイバー保険料は、ここ数年下がり続けています。

保険料が下がる一方で、支払う保険金の割合（損害率）は上がっています。AM Bestは、値下げの圧力が続く限り、損害率の悪化を反転させるのは難しいと警告しています。値下げ競争と被害の増加という「ねじれ」は、いつまでも続けられるものではありません。どこかの時点で、保険料の引き上げか、補償の絞り込みか、加入条件の厳格化のいずれか、あるいはその組み合わせによる調整が起きる、と見るのが自然です。

SNSで「今の料率では最近の被害を見込めていなかったのでは」という指摘が出ているのは、この点を突いたものと言えます。

10月の出来事が、見直し論に火をつけた理由

1. 1つの脆弱性で、多くの組織が同時に動けなくなった

PHPは世界中のウェブサイトで使われています。今回は修正版の公開と前後して、日本では自治体や企業、海外では政府の行政サイトまでが一斉に公開を止めました。実際の被害が確認されていない段階でも、これだけ多くの組織が同時に影響を受けたことは、保険会社が恐れる「集積リスク」が現実に起こりうることを、改めて示しました。

2. 被害が大きく、長引く事件が続いている

GMO事件のように、攻撃者が情報を少しずつ公開すると予告し、長期にわたって圧力をかけ続ける事件では、調査、利用者への対応、補償、復旧の費用が積み上がります。保険会社から見れば、1件あたりの支払いが大きくなる事件が続いていることになります。

3. 「予防のために止めた損失」は誰が負うのか

今回、多くの組織は、攻撃を受ける前に予防としてサービスを止めました。一般にサイバー保険の利益損失の補償は、不正アクセスなどの事故が起きたことを支払いの前提にしています。予防のための停止による売上の減少が補償の対象になるかどうかは、約款の定め方しだいです。「保険に入っているから大丈夫」と考えていた企業ほど、ここで確認が必要になります。

海外では既に始まっている3つの変化

日本で見直しが起きるとすれば、その方向は、海外で既に進んでいる変化から推し量ることができます。

国家が関与する攻撃は補償しない

ロンドンの保険市場ロイズは2022年8月、単独のサイバー保険で、国家が関与するサイバー攻撃による損失を補償の対象外とするよう求める通達を出し、2023年3月31日以降に始まる契約から適用しました。背景には、2017年のマルウェア「NotPetya」をめぐり、チューリッヒが「戦争に類する行為」の免責を理由に食品大手モンデリーズへの支払いを拒み、訴訟になった経緯があります（両社はその後和解）。

古い脆弱性を放置した企業への支払いを減らす

海外では、修正版が出ている既知の脆弱性（CVE）を悪用されて被害を受けた場合に、支払いを制限する「CVE除外」と呼ばれる条項が議論され、一部で導入されています。修正版の公開から対応までの日数が長いほど支払いの割合を下げていく「スライド式」の考え方もあります。今回のPHPのように修正版が出た脆弱性を放置して被害を受けた場合、こうした条項があると、保険金が満額は出ない可能性があります。

一方で、脆弱性の数は膨大で、実際に悪用されるのはその一部にすぎないことから、一律の除外は企業に過大な負担を強いるという批判も保険業界の内部から出ています。

加入時と保険金請求時の審査が厳しくなる

加入時の質問票では、多要素認証、バックアップ、端末の監視（EDR）などの対策状況を細かく聞かれるようになっています。さらに、保険金を請求する段階で、申告していた対策が本当に実施されていたかを調べられるケースも増えています。質問票に「対策済み」と答えていたのに実際は導入されていなかった場合、支払いを拒まれるおそれがあります。

日本で起こりうる見直し

国内の保険会社が大幅な見直しを発表したわけではありません。ただ、海外の流れと今回の出来事を踏まえると、次のような変化が考えられます。

最後の点は、既に動きがあります。損保ジャパンは、サイバー保険の契約者向けに、インターネットから見える自社のIT資産のリスクを継続的に洗い出すサービスを、12月1日から提供すると発表しました。SNSで話題になった「保険会社が企業の尻を叩く」構造が、日本でも形になり始めていると言えます。

次の更新前に確認したい7つのこと

補償の内容は保険会社や商品によって異なります。次の更新の前に、少なくとも次の点を約款と代理店の説明で確かめておくことをおすすめします。

「保険が出る会社」であるために

これからのサイバー保険では、保険に入っているかどうか以上に、事故が起きたときに「対策をしていた」と示せるかどうかが問われるようになります。特別なことではなく、次のような基本を実施し、その記録を残しておくことが大切です。

• 脆弱性への対応を記録する：修正版の公開日、適用した日、すぐに適用できなかった理由と代わりの対策を残す。今回のPHPのような緊急の場面ほど記録が役に立つ
• 多要素認証を徹底する：管理者アカウント、リモート接続、メールなど、外から入れる入口すべてに設定する
• 攻撃者に消されないバックアップを持つ：ネットワークから切り離した保管や、書き換えられない保管を用意し、復元の訓練もしておく
• 端末やサーバーを監視する：侵入に早く気づける体制は、被害の大きさ、ひいては保険金の額を左右する
• 外から見える弱点を把握する：自社のどのサイトやサーバーが、どのソフトで動いているかを一覧にし、定期的に診断する
• 初動の手順を決めておく：誰が「止める」を判断するか、保険会社や代理店にいつ連絡するかを、事故の前に決めておく

国内の中小企業でサイバー保険に入っているのは、まだ5%程度にとどまります。保険の見直しが進めば、「入りたくても入れない」「入っていても出ない」企業が増えるおそれがあります。保険は大切な備えですが、保険に入れるだけの対策が整っていることが、これからの前提になっていきます。

よくある質問

Q. サイバー保険は、今のうちに入っておいたほうがよいのですか？

保険料が下がっている今は、加入や見直しを検討しやすい時期とは言えます。ただし、安さだけで選ぶのではなく、何が補償されないかを確かめることが大切です。また、加入時の質問票には実態どおりに答えてください。実態と食い違う回答は、いざというときに支払いを拒まれる原因になります。

Q. 今回のPHPの対応でサイトを止めた損失は、保険で補償されますか？

商品と約款によります。一般に利益損失の補償は、不正アクセスなどの事故が起きたことを前提にしており、事故が起きる前の予防的な停止が対象になるかは商品ごとに異なります。また、利益損失の補償は追加の特約になっていることが多いため、契約内容を代理店に確認してください。

Q. 身代金は保険で支払ってもらえますか？

国内のサイバー保険では、身代金そのものを補償の対象外とする商品が多く、対象になるのは原因の調査、復旧、損害賠償などの費用が中心です。身代金の支払いは、攻撃者に資金を渡すことになるうえ、データが戻る保証もありません。

Q. 保険に入っていれば、セキュリティ対策は最低限でよいのでは？

これからはむしろ逆になります。保険会社は加入時や保険金請求時に対策の状況を確認するようになっており、対策が不十分だと加入できない、あるいは保険金が満額出ないおそれがあります。保険は対策の代わりではなく、対策をしたうえで残るリスクに備えるものと考えてください。

まとめ：保険は消えない。変わるのは「入れる会社」と「出る事故」

「サイバー保険がなくなる」という見方は言い過ぎです。しかし、1つの脆弱性で多くの組織が同時に止まり、被害が大きく長引く事件が続く中で、値下げ競争を続けてきたサイバー保険の市場は、どこかで調整を迫られると見られています。海外では既に、国家が関与する攻撃の免責、古い脆弱性を放置した企業への支払いの制限、加入と請求時の審査の厳格化が進んでいます。

企業にとって大切なのは、保険の見直しを待つことではなく、次の更新までに「何が補償されないか」を確かめ、「対策できている」と示せる状態を整えておくことです。それは保険のためだけでなく、事故そのものを防ぎ、起きても早く立ち直るための備えでもあります。

参照：IPA「PHPのセキュリティリリース（2026年10月21日）に関する事前注意喚起」／Marsh「Global commercial insurance rates fall 6% in Q2 2026」／Risk & Insurance「Cyber Insurance Loss Ratios Rise as Pricing Cuts Erode Premium Growth」（AM Best のデータ、2026年7月10日）／日本経済新聞「サイバー保険料、5年で6割増 契約条件「丸のみ」は禁物」／警察庁「サイバー警察局長と日本損害保険協会会長の対談」（2024年5月31日）／Munich Re「Cyber insurance: Risks and trends 2026」／swissinfo.ch「Cyber attacks set to become ‘uninsurable’, says Zurich chief」（2022年12月）／Lloyd’s Market Bulletin Y5381「State backed cyber-attack exclusions」（2022年8月）／Dark Reading「Insurers May Limit Payments in Cases of Unpatched CVEs」／INTERNET Watch「TrendAI、損保ジャパンのサイバー保険契約者向けにIT資産管理・脆弱性管理サービス提供」（2026年10月30日）