IBMの「Cost of A Data Breach Report 2025」によれば、データ侵害の平均コストは約440万ドルだ。この数値は規模を問わず企業全体にまたがる。公開市場で社債が取引されるような大企業の場合、その額は大幅に高くなり、しばしば数億ドルに達する。しかもこれは、借入コストの上昇、財務制限条項（コベナンツ）対応の厄介さ、そして何年も尾を引きうる評判の毀損を織り込む前の話である。それでも、多くの債券投資家はサイバーを、スプレッドを一夜で動かし得る要因ではなく、ITの費目として語り続けている。
「多くの大規模環境では、セキュリティツールが重大な課題の長いリストを生成するが、攻撃者が現実的に悪用できるようになる前に修正されるのは、そのうちのごく一部に過ぎない」と、Reclaim SecurityのCEO、バラク・クリングホファーは筆者に語った。企業が脆弱性について知っていることと、実際に期限内に修正することの間にあるギャップは、いまやセキュリティの問題であると同時に、信用（クレジット）の問題でもあるという。同社は直近で2600万ドルを調達しており、自社の自動化により高リスク課題の平均修復時間（MTTR：mean time‑to‑remediate）を70%以上短縮できるとしている。
市場はサイバーをどう「価格付け」していると語るか
表面的には、クレジットスプレッドにはすでにサイバーが入り込む余地がある。国債（Treasuries）に上乗せされる債券利回りは、予想されるデフォルト損失と流動性、加えてセクター、レバレッジ、法域といった要因に結びつく各種リスクプレミアムを補償するためのものだ。オペレーショナルリスク（障害、法的打撃、サイバーインシデントを含む）は、通常「サイバースプレッド」として独立して扱われるのではなく、デフォルト確率やデフォルト時損失率（LGD：loss‑given‑default）の前提の中に組み込まれる。
規制当局や国際機関は、いまやサイバーをシステミックな観点で語っており、これはそうした前提に反映されるべきだ。国際通貨基金（IMF）は2024年4月の「Global Financial Stability Report」で、報告されたサイバーインシデントがパンデミック前からほぼ倍増したこと、そして企業単体での極端な損失、すなわち25億ドル規模（平均的企業の営業利益のおよそ8倍）といった事象のリスクが上昇したことを指摘する。IMFは、金融機関や重要インフラ企業での深刻なサイバー事象が、信認の喪失、サービスの中断、相互に連結したエクスポージャーを通じて、マクロ金融の安定性を脅かし得ると明確に警告している。この枠組みは、IMFサイトのサイバーリスクに関する章でも確認できる。
格付け会社も同様の方向へ市場を促してきた。ムーディーズは1月の「サイバーリスク、データセンター、デジタル金融に関する2026年見通し」で、サイバーセキュリティをオペレーショナル・レジリエンスの基盤の一部と位置づけ、クラウドプロバイダー、決済、一部の金融など、デジタル集中度が高いセクターはサイバー起因のクレジットリスクが高まっていると述べる。ムーディーズは、サイバー・ガバナンスの弱さが、インシデント発生時に資金調達コストの上昇や市場アクセスの制約として表れ得ると警告する。特に金融システムのより多くが少数のデジタルの要衝（チョークポイント）を通過するようになるなかで、その傾向は強まる。S&Pグローバル・レーティングも、公益、ヘルスケア、金融サービスなどの業界でサイバーを格付け要因として指摘する同様のセクターノートを公表している。
理屈のうえでは、スプレッドはすでにサイバーが重大なオペレーショナルリスクであることを「知っている」。残る論点は、そのリスクが変化するスピードに合わせて調整されているかどうかだ。
負債コストに関するエビデンスが示すこと
サイバーリスクは株式だけの話ではないことを示す実証研究が増えている。
- 「Cyberattacks and Impact on Bond Valuation」で、Iyerらはイベントスタディの手法を用い、大きなサイバーインシデントの後に、社債保有者が統計的に有意なマイナスの異常収益（数パーセントポイント程度）を被ることを見いだした。これは侵害が公になると、投資家がデフォルト確率やLGDのリスクを引き上げて織り込み直すことと整合的であり、株式を罰するだけではないことを示す。
- 「Cybersecurity Risk and the Cost of Debt」で、Shenemanは私募ローンを分析し、レバレッジや収益性などのファンダメンタルズを統制した後でも、サイバーセキュリティが弱い企業や直近に侵害履歴がある企業には、貸し手がより高いスプレッドを課すことを示した。この研究は、サイバーがローンの価格付けやコベナンツ選択に直接結びつくことを示している。
- Binfaréによるオペレーショナルリスクと資金調達コストの論文は視野を広げ、大規模なオペレーショナル損失事象が、より一般に将来の借入コスト上昇と契約条件の引き締まりにつながることを示す。多くの企業にとってサイバーはこの枠に含まれる。
ただし重要な違いがある。これらのエビデンスのほぼすべては、侵害やインシデントが公になった後に市場がどう反応するかを捉えている。価格付けは事後的だ。より新しい一連のワーキングペーパーは、損害が生じる前に市場が価格付けを行っているかを問い始めている。「Cybersecurity Threats, Credit Risk, and the Role of Dual Ownership」という2025年の研究は、サイバー・エクスポージャーの測定値（デジタルフットプリント、データの機微性、統制の品質に基づく）が高い企業は、侵害が発表される前から債券スプレッドが広い傾向にあると推計している。別の研究ラインとして「サイバーボンドとその価格モデル」は、市場がサイバーリスクを明示的に証券化する可能性を検討しているが、こちらは依然として概念的な色彩が濃い。
総合すると、これらの結果は次の地に足のついた主張を支持する。クレジット市場とローン市場は、サイバー情報に反応する。問題は、サイバーが見えていないことではない。多くのモデルがなお、サイバーをゆっくりとした、たまに起こるショックとして扱い、その根底にあるタイムラインが動いていることを十分に織り込んでいない点にある。
欠けているタイムライン：悪用までの時間 vs. 修復までの時間
IMFと格付け会社は損失の深刻度と波及に焦点を当てるが、日々のクレジットリスクはより狭い問いに宿る。脆弱性が広く知られた瞬間から、企業の環境全体で安全に修正される瞬間まで、企業がどれだけ長くさらされるか、である。
脅威インテリジェンスの分析は、式の左辺である悪用までの時間（TTE：time to exploit）が崩壊したことを示唆する。現在はGoogle Cloudの一部であるMandiantは、既知のソフトウェア脆弱性が悪用されるまでの平均時間が、2023年におよそ5日へと急減し、わずか2年前の約32日から短縮したと報告した。Help Net Securityが要約した2024年の分析は、攻撃者がゼロデイとNデイ（既知の脆弱性）を、開示後数日以内に悪用する傾向を強めていること、追跡されたNデイのほぼすべてが6カ月以内に悪用されたことを指摘する。Mandiantのデータを統合する業界記事――たとえば「防御側は短縮する悪用タイムラインに適応しなければならない」といった論考――も、この見立てを補強している。
Zafran Securityは、Vulnerability Exploitation in 2024と題する2025年の分析で、CVE（共通脆弱性識別子）の約25%が公開当日に悪用され、75%が19日以内に悪用されたと報告している。数値の出所として、MandiantやGoogle Cloudなどのデータセットを挙げる。同時に、VulnCheckの「State of Exploitation」レポートや、Oracle E‑Business Suiteのゼロデイのような事案に関するGoogle Cloudのケーススタディは、相当数の脆弱性がCVE公開時点またはそれ以前に悪用され、場合によってはパッチが利用可能になる数週間前に悪用されることを示している。これらの二次的な要約はMandiantなどのデータセットの解釈として読むべきだが、方向性は一貫している。多くのケースで、防御側はもはや「1カ月の猶予」を享受できない。
防御側では、MTTRが依然として頑固に改善しない。数千件の実地評価に基づくEdgescanの「2024 Vulnerability Statistics Report」は、重大なWebアプリケーションおよびインフラの問題の平均修復時間が、しばしば数十日単位であること、そしてカテゴリによってはさらに長くかかることを示す。Tenableのエクスポージャー管理とMTTRのベンチマークも同様で、多くの大企業が複雑な環境全体で高深刻度の問題を完全にパッチ適用し、修正を検証するのに、なお数週間から数カ月を要するとしている。要するに、悪用のタイムラインは、大組織がその窓を閉じる能力よりも速く動いている。
クレジットの観点からは、このギャップこそがメカニズムである。攻撃者がある種の脆弱性を平均して5日程度で確実に武器化でき、借り手の重大所見に対する典型的なMTTRが30〜60日だとすれば、修復前に少なくとも1つの露出が攻撃される確率は、旧来モデルが想定していたよりはるかに高い。それは、すべての脆弱性が壊滅的損失につながるという意味ではない。しかし、サイバーに結びつくオペレーショナルな障害の期待発生頻度が上昇することを意味する。期待損失は確率×深刻度であり、悪用の高速化は主として式の「確率」側を押し上げる。
AIはどこに入るのか
AIはすでに攻撃の経済性を変えつつあり、クレジットアナリストにとって重要な点は明確だ。TTEの窓をさらに圧縮しているのである。
マイクロソフトの最近のDigital DefenseレポートやAIセキュリティに関するブリーフィングは、大規模言語モデル（LLM）と関連ツールが、偵察、フィッシング、そしてエクスプロイト開発の一部の自動化に、攻撃者の手を貸していると記述する。特に、これまで複雑な脆弱性を武器化する技能を持たなかった比較的未熟なアクターに対して、その効果が大きい。例を挙げれば、AI支援で生成されたスクリプトは、初期侵入点を確保した後のラテラルムーブメント（横展開）やデータ収集を加速し、最初のアクセスから意味のある損害に至るまでの時間を圧縮し得る。
自動エクスプロイト生成（AEG：automated exploit generation）に関する学術研究も、特定領域においてこの考えを裏づける。PwnGPTのような研究プロトタイプや、AI支援エクスプロイトフレームワークの体系的レビューは、管理された条件下で、モデルが特定の脆弱性クラスについて、従来ツールより少ない専門家の入力で概念実証（PoC）エクスプロイトの合成を支援できることを示している。こうした研究の多くはまだ初期段階で、現実世界の脅威能力の全体像を示すものではない。それでも、慎重な表現としてはこう言える。AIは、開示された弱点の一部を実際に動作するエクスプロイトへ転換するのに必要な時間と専門的労力を削減し得る。
ムーディーズの「2026年サイバーリスク見通し」もこの点に依拠し、「エージェンティック（agentic）」なAIシステム（自律的に複数ステップの行動を取れるソフトウェア）は新たな予測不能性をもたらし、既存のサイバー脅威を増幅しかねないと警告する。報告書は、組織がより自動化された防御と、より迅速な検知を採用してペースを合わせることを迫られると論じる。
前述のクレジットの算術に照らすと、含意は直接的だ。AIツールによって、意味のあるクラスの脆弱性の平均TTEが5日から2〜3日へ近づくなら、MTTRとのギャップは広がり、期待損失はそれに応じて上昇する。修復速度がもともと遅れていた発行体ほど、露出の窓は広がる。また、TTEの下限を5日と仮定していたクレジットモデルはリスクを過小評価することになる。
こうした文脈の中に、クリングホファーが語る自動化の主張が位置づけられる。彼は、Reclaimのシステムが重大な修正を「数週間の手作業」から「数分」へ変え得ること、そしてその窓を閉じることで、中堅企業の侵害に伴う年間期待損失を150万〜300万ドル減らし得ると述べる。より慎重な枠組みはこうだ。自動化が、悪用可能で影響の大きい所見の相当部分についてMTTRを本当に短縮し、かつ侵害コストが独立研究で報告される数百万ドル規模にとどまるなら、期待損失が意味のある程度低下することは十分にあり得る。これは貸し手と投資家にとって、結論ではなく検証可能な仮説である。筆者は複数の債券アナリストに、MTTRデータをスプレッドモデルに織り込んでいるかを尋ねたが、返答は一様に「織り込んでいない」だった。主な理由は、標準化された形でデータを入手しにくかったからである。
ミスプライシングをどう検証できるか
今日のクレジット市場でサイバーリスクがミスプライスされているかを知りたいなら、データに基づく2つの分かりやすいテストがある。
1つ目はイベントスタディだ。CVEとNVD（National Vulnerability Database）のデータを使い、脆弱性開示の時点を特定する。MandiantやRecorded Futureのフィードを用いて、どの脆弱性が迅速に悪用されたかをタグ付けする。そして、セクター、技術スタック、または開示された資産利用などを基に、当該脆弱性への実質的なエクスポージャーを持つ発行体に結び付ける。TRACEや端末系データソースを用いて、開示および初期悪用の前後でそれら発行体の債券スプレッドの変化を追う。企業が明らかに「数日で武器化される脆弱性」を抱えたままになっているケースでもスプレッドがほとんど動かないなら、市場が短縮するTTEを、価格付けの入力ではなく背景ノイズとして扱っている可能性を示す証拠になる。
2つ目は、スプレッド変化に関するパネル回帰だ。被説明変数は、設定したウィンドウにおける債券またはローンのスプレッド変化となる。主たる説明変数は、企業の「悪用—修復ギャップ」の代理変数であり、たとえばEdgescanやTenableのセクター別MTTRベンチマークを、企業固有の脆弱性エクスポージャーと掛け合わせたものが考えられる。コントロールには、レバレッジ、規模、収益性、格付け、セクター固定効果、時間固定効果などが含まれる。もっとも、この代理変数を構築すること自体が研究上の課題である。MTTRデータが発行体レベルで開示されることはまれであり、研究者はセクター平均や、代替として第三者のセキュリティレーティングを用いざるを得ない可能性が高い。それでも、不完全な代理変数であっても、オペレーショナルな「窓」が圧縮されている企業と、セキュリティ態勢が停滞している企業を、スプレッドが区別しているかどうかを示すことはできる。
ここでも、問いは「サイバーは重要か」ではない。研究はすでに重要だと示唆している。問うべきは、オペレーショナルな窓が実際に圧縮されている企業と、新たな悪用タイムラインに追随できていない企業とを、スプレッドが区別しているかどうかである。
投資家、貸し手、格付けにとっての意味
債券投資家にとって出発点はデューデリジェンスである。サイバーを定型的なリスク要因として扱うのではなく、管理部門に対し、重大な脆弱性に対するMTTRの平均値と中央値の「ハードな数値」を求め、文言だけの方針を額面通りに受け取らないことだ。独立評価、あるいは何がいつ修正され、事業にどのような影響があったかを示す「セキュリティ台帳（security ledgers）」の提示を求めてもよい。ベンダーが作成した指標は検証が必要であることを踏まえるべきだ。そして、デジタル集中リスク（クラウド、決済、ヘルスケア、物流）が高いセクターや発行体には特に注意を払う必要がある。単一のサイバー事象がキャッシュフローを迅速に混乱させ得るからだ。2017年にNotPetyaによってMaerskが操業停止に追い込まれ、最終的に約3億ドルの損失を報告した事例が、その典型である。
銀行やプライベートクレジットの貸し手は、さらに踏み込んでサイバーを契約構造に書き込める。Shenemanの研究は、事後的にスプレッドとコベナンツが反応することをすでに示している。次の段階は、価格付けのグリッドやコベナンツを、MTTRの持続的改善や定期的な外部テスト結果といった、検証済みのサイバー衛生指標に結び付けることだ。貸し手はまた、重要なサイバーインシデントの迅速な開示を借り手に求めることもできる。これは、米国証券取引委員会（SEC）の規則（一般に、上場企業は重要性を判断してから4営業日以内に重要なサイバーインシデントを開示することを求める）とも整合する。
格付け会社と規制当局も、枠組みを継続的に再調整する必要があるかもしれない。IMFとイングランド銀行はすでに、サイバーインシデントが資金調達と信認のチャネルを通じてシステミックになり得ることを強調している。TTEがさらに低下し、AI駆動のツールが高度な悪用をよりアクセスしやすくするなら、サイバーを「ゆっくり動くガバナンスの論点」として扱う格付け手法は、ますます現実とのずれが目立つだろう。監督当局は、主要なオペレーショナル停止が「ゆっくり燃えるIT問題」ではなく「5日間の悪用ウィンドウ」から出現し得る状況で、銀行が流動性と担保をどう管理するかを示すよう促すことができる。
結論
ここに、恐怖を煽ることや誇張は不要である。必要なのは「攻撃者がどれほど速く動けるか」と「借り手がどれほど速く安全に修復できるか」を、背景ノイズではなく、クレジット分析の定量的な入力として扱うことだ。オペレーショナルリスクのウィンドウが縮小していることをデータで示せる企業は、よりタイトなスプレッドを主張するうえで有利な立場にある。示せない企業は、債券保有者が攻撃者の現実より遅い世界を見続けていることで、すでに補助金を受け取っているのかもしれない。
