というFRB論文をMostly Economicsが紹介している。原題は「Cyberattacks and Financial Stability: Evidence from a Natural Experiment」で、著者はFRBのAntonis KotidisとStacey L. Schreft。
以下はその要旨。
This paper studies the effects of a unique multi-day cyberattack on a technology service provider (TSP). Using several confidential daily datasets, we identify and quantify first- and second-round effects of the event. For banks using relevant services of the TSP, the attack impaired their ability to send payments over Fedwire, even though the Federal Reserve extended the time they had to submit payments. This impairment (first-round effect) caused other banks to receive fewer payments (second-round effect), leaving them at risk of having too few reserves to send their own payments (a potential third-round effect). These innocent-bystander banks responded differently depending on their size and reserve holdings. Those with sufficient reserves drew down their reserves. Of the others, smaller banks borrowed from the discount window, while larger banks borrowed in the federal funds market. These significant adjustments to operations and funding prevented the second-round effect from spilling over into third-round effect and broader financial instability. These findings highlight the important role for bank contingency planning, liquidity buffers, and the Federal Reserve in supporting the financial system’s recovery from a cyberattack.
（拙訳）
本稿は、とある技術サービスプロバイダ（TSP）に対する、複数日に亘るサイバー攻撃の影響を調べた*1。複数の秘密の日次データを用いて我々は、その出来事の一次ならびに二次的な影響を識別し、定量化した。当該TSPの関連サービスを用いている銀行では、FRBが支払期限を延長したにもかかわらず、攻撃によってFedwireを通じて支払いを送信する能力が損なわれた。この障害（一次的な影響）により、他行において支払いの受け取りが少なくなり（二次的な影響）、それらの銀行では準備預金が過小となって自身の支払いの送信ができなくなるリスクが生じた（三次的な影響の可能性）。そうした第三者の銀行は、自行の規模と保有する準備預金によって対応が分かれた。準備預金を十分に持つ銀行は、それを引き下げた。それ以外は、中小銀行はディスカウント・ウィンドウから借り入れ、大手行はフェデラル・ファンド市場で借り入れた。こうしたオペレーションと資金調達の大きな調整により、二次的な影響が三次的な影響と広範な金融の不安定性に波及することは避けられた。以上の結果は、銀行のコンティンジェンシープラン策定、流動性バッファ、および金融システムのサイバー攻撃からの回復に当たってFRBの支援が果たす役割の重要性を明らかにした。
*1:本文では「Throughout this paper, we refer to the firm impacted by the cyberattack as “the TSP” and maintain the confidentiality of the event by not referring to the firm by name, lines of business, or location; the specific dates or days of the week when the cyberattack occurred; the event’s duration; the cybersecurity vulnerability exploited; and the exact number of institutions affected. Cyberattacks often do not become public knowledge unless they involve the release of personally identifiable information.」と注記している。
