日本网络风险集中于共同供应商，保单却按公司承保

噪音创纪录，信号在共享基础设施

内阁官房长官木原稔10月30日表示，4月1日至10月16日期间，约2.6亿人的信息已经泄露或面临泄露风险。头条采用了这个数字，但统计会在多起事件中重复计算同一个人，而且不包括金融和电信企业。真正的变化在于事件数量的增速。据时事通讯社报道，报告的事件在6月底前每月不到200起，7月为212起，9月为303起，10月达到830起。

信号在于这种增速的来源。据PayCloud Holdings 11月2日的报告，攻击者在10月28日至31日期间从Arara的共享环境侵入，从属于客户公司的97台服务器中获取数据。受影响公司最多达380家。Asoview报告15821184条记录，Bic Camera集团约1490万条，摩斯食品服务7517087条。据ITmedia报道，10月以来至少还有3家电子邮件分发服务遭到未经授权的访问。也就是说，攻击目标不是一家家零售商，而是为它们提供服务的共享层。

同一周，同一模式

这一模式并不限于日本。据中央社英文网报道，永丰银行11月4日宣布，前一天发生的427笔未经授权转账，是攻击者侵入新手机银行系统供应商的安全设置后完成的。419个账户共被转出约4176万新台币，银行表示将向供应商索赔。

在电信领域，NTT Docomo 11月6日宣布，最多约30万人的身份证件号码和银行账户信息泄露，公司将给予赔偿。据阿纳多卢通讯社报道，当地时间11月5日11:18，全国范围的语音、数据和短信服务开始中断。Docomo称两起事件之间是否相关尚不明确；截至11月8日，这一关联无法核实。

保单按公司计，损失出自同一事件

保险约束在这里变得清晰。据Innovatopia 10月22日的整理，日本保单对供应商处发生的泄露是否承保，因保险公司而异。三井住友明确承保被保险人受托管理的他人信息泄露。东京海上则把不受其直接控制的电力、电信和互联网基础设施中断排除在外。截至10月22日，公开文件并未说明云服务是否属于这一除外范围。

即便在承保范围内，上限也很低。据同一份整理，大型保险公司的示例中，致歉金上限为每人1000日元。按这一上限，若向摩斯报告的7517087条记录逐一支付，金额约为75亿日元。这一计算由Talay作出，该公司并未宣布任何此类支付。基数也很薄弱：日本损害保险协会2025年调查显示，只有8.8%的中小企业投保网络保险，2024年11月这一比例为10.0%。

结论是：380家公司的损失源于同一事件，但每家公司都在自己的保单内，往往还是在自己的资产负债表内承担。对保险公司而言，这意味着累积风险：同一漏洞引发的索赔会在同一续保期涌来。截至11月8日，这种累积是否已反映到任何保险公司的续保条件中，无法核实。

政府组建救援队，而非风险池

据美联社报道，首相高市早苗11月6日宣布了约100亿日元的紧急网络安全方案。方案包括在11月底前于经济产业省下设一支专家团队，以及一支为遇袭企业提供初步响应的公私联合救援队。美联社的摘要中没有涉及保险、国家风险池或供应商认证。这样一来，方案分担的是遇袭当下的响应成本，赔偿和业务中断的账单仍留在企业身上。

值得关注的门槛有3个。第一，委员会公布的11月事件数是否仍高于10月的830起。第二，自10月31日关闭的Arara服务何时恢复、接受何种审查。第三，Docomo的每人赔偿金额。这一金额超出每人1000日元保单上限越多，差额由自有资本支付这一点就越清楚。