サプライチェーン攻撃とは？被害リスクと効果的な対策を紹介

サプライチェーン攻撃の仕組み

サプライチェーン攻撃の仕組みは、信頼された企業や製品を通じて、ターゲットのシステムやネットワークに侵入することにあります。攻撃者は製品やサービスの製造・提供過程でのセキュリティの隙間を見つけ出し、そこを狙います。

本来のターゲットである大手企業はセキュリティ対策が万全な傾向にあるため、システムやネットワークに簡単に侵入することはできません。そこで攻撃者は、セキュリティ対策が手薄な関連企業に攻撃を行い、そこを踏み台にして本来のターゲットである大手企業に侵入するのです。

サプライチェーン攻撃の被害は増加傾向にある

独立行政法人情報処理推進機構（IPA）が発表している「情報セキュリティ10大脅威 2023」では、組織をターゲットにしたセキュリティの脅威について、「サプライチェーンの弱点を悪用した攻撃」が第2位にランクインしています。2022年の順位は第3位であり、2021年、2020年は第4位です。

これらの推移から、組織に対するサプライチェーン攻撃の被害は年々増加傾向にあると言えます。近年、新型コロナウイルス感染症の影響で多くの企業がテレワークを導入しました。社内以外で社用デバイスを利用する機会が増え、以前よりもセキュリティ対策が手薄になっている今、サプライチェーン攻撃による被害リスクが多くの企業で増加しています。

【関連記事】情報セキュリティの「脅威」とは？リスクを軽減する効果的な対策

関連会社を踏み台にして攻撃する

サプライチェーン攻撃の1つの手口は、関連会社を踏み台として本命のターゲットに侵入する方法です。この手口は、「ビジネスサプライチェーン攻撃」とも言われます。

攻撃者はサプライチェーン上の関連会社との信頼関係を悪用し、間接的に標的企業のセキュリティを突破します。例えば、攻撃者はサプライヤーのシステムを侵害し、そのサプライヤーを通じて標的企業のシステムにアクセスします。

この手口は、標的企業が直接的な攻撃を警戒している場合に特に有効です。また、取引先の企業を偽り、マルウェアを仕込んだメールを標的企業に送りつける手口もあります。

【関連記事】マルウェアとは？種類や感染経路、感染した場合の症状や対処法を解説

サービス提供前の脆弱性を狙う

サービスや製品が市場に出回る前の脆弱性を狙う手口も確認されています。この手口は「ソフトウェアサプライチェーン攻撃」とも言われており、攻撃者がサービスや製品の提供工程を侵害し、ソフトウェアなどに不正なコードを混入させます。

この種の攻撃は、ソフトウェアやハードウェアの初期設計段階に介入する点が特徴です。バックドアやマルウェアを埋め込むことで、広範囲にわたって被害を引き起こすことが可能になります。

【関連記事】バックドアとは？被害が出る仕組みや代表的な手口を紹介

サービス提供元を直接攻撃する

サプライチェーン攻撃の中には、サービス提供元を直接攻撃する手口も存在します。この手口は「サービスサプライチェーン攻撃」とも呼ばれ、攻撃者は「MSP（マネージドサービスプロバイダ）」などのセキュリティシステムに侵入し、そこから他の企業への攻撃を拡大します。

攻撃者はサービス提供元をハブとして利用し、その顧客ネットワークを通じて広範囲にわたる攻撃を仕掛けることが可能です。サービス提供元が多くの顧客とビジネスを展開している場合、より大規模な被害に繋がる恐れがあります。

総合病院がサプライチェーン攻撃で2ヶ月間の業務停止

2022年10月、医療センターに給食を提供していた事業者を踏み台に、国内の総合病院がサプライチェーン攻撃の被害に遭い2ヶ月間の業務停止となりました。攻撃者は同病院に侵入し、ランサムウェアによる攻撃を実施しています。

この際、医療センターの基幹サーバー、電子カルテシステム関連のサーバー、パソコンなど約1,300台のファイルが暗号化され、その影響で緊急時以外の診療停止に追い込まれました。この事件の要因は、ネットワーク上の脆弱性が放置されたことにあります。

大手認証サービスのネットワークがハッキング

2022年1月、サプライチェーン攻撃の手口により、大手認証サービスのネットワークがハッキングされました。悪名高いハッカー集団「Lapsus（ラプサス）」によってハッキングが行われ、全顧客データの2.5％に相当する366の法人企業が不正アクセスの被害に遭っています。

侵入を許した業務委託先と大手認証サービスにおける対応の流れが明らかとなり、その内容から両社の反応の鈍さが発覚。緊急性の認識の欠如が浮き彫りになりました。

大手電機メーカー約8,000台のPCに不正アクセス

2019年6月、大手総合電機メーカーが大規模なサプライチェーン攻撃を受け、約8,000台のPCに不正アクセスが発生しました。攻撃者は中国に拠点を置く関連会社へ侵入し、約120台のPC、約40台のサーバーに不正アクセスを実施。

その結果、防衛省や内閣府・原子力規制委員会といった政府機関から、電力会社やJRなどの民間企業にまで被害が及び、重要データの漏洩が疑われました。

企業間の連携を強める

サプライチェーン全体でのセキュリティ対策の共有と連携を強化することは、サイバー攻撃を防ぐ上で非常に重要です。各企業は自社のセキュリティだけでなく、取引先企業との情報共有を通じて、脆弱性を未然に取り除くことが求められます。

具体的には、定期的なセキュリティ会議の開催、共通のセキュリティ基準の策定、リスク評価の共有など、企業間での積極的なコミュニケーションが攻撃のリスクを低減します。

OSやソフトウェアを常に最新にする

使用するOSやソフトウェアは常に最新の状態に保つようにしましょう。セキュリティパッチの適用は、システムの脆弱性を修正し、攻撃者による悪用のリスクを低減します。自動アップデートの設定や、定期的なセキュリティチェックを行うことが推奨されます。

複雑なパスワードを設定する

企業内外で使用する全てのアカウントに複雑なパスワードを設定することも重要です。強固なパスワードの設定は、攻撃者の推測や突破を困難にし、社内のセキュリティを大幅に強化します。複雑なパスワードの一例は以下の通りです。

反対に、短いパスワードや予測しやすいパスワードは不正アクセスの危険性を高めるため注意が必要です。パスワードを攻撃者に知られないために、定期的にパスワードを変更する対策も有効です。

従業員のセキュリティ意識を向上させる

従業員へのセキュリティ教育を定期的に実施することで、組織全体のセキュリティ意識を高めることができます。この対策は、従業員が日常的な業務の中で遭遇する可能性のあるリスクを理解し、適切に対応できるようにするために重要です。

セキュリティ研修には、フィッシング詐欺の識別、パスワード管理、機密情報の扱い方などを含めるべきです。定期的に開催することで、従業員の危機管理能力を高められます。

セキュリティ対策ソフトを取り入れる

さまざまなサイバー脅威から保護するためにも、セキュリティ対策ソフトの導入が推奨されます。対策ソフトを導入することで、不正アクセスの試みやマルウェアを迅速に検出し、その後の対応を正確に行うことが可能になります。

継続的なセキュリティアップデートを実施すれば、新たに発見される脅威に対しても効果的に対処できます。対策ソフトを導入する際は、信頼できる開発元のツールを選ぶことが大切です。