サプライチェーン攻撃の7つの対策方法｜
目的や攻撃手法の種類

サプライチェーン攻撃とは、サイバー攻撃のターゲットである大企業を狙って、取引先企業や関連会社を経由した不正アクセスを行うサイバー攻撃のことです。このように他社を経由する理由は、ターゲットとなる大企業のセキュリティーが強固で、直接突破するのが難しいためです。それに対して、関連企業は大企業と比較してセキュリティーレベルが低い傾向にあり、弱点となってしまうことがあります。サプライチェーン攻撃は、こうした企業間のセキュリティーレベルの違いを悪用した手口だといえます。

サイバー犯罪者がサプライチェーン攻撃を行う目的は、大企業の保有するデータと引き換えに要求する高額な身代金や、大企業の機密情報などです。セキュリティーレベルの低い企業は、自社の被害が懸念されるだけでなく、他社へのサイバー攻撃に悪用されかねません。万が一、サプライチェーン攻撃に巻き込まれると、自社だけでなく取引先にも大きな損失を与えるおそれがあります。大手企業と取引のある企業では、情報セキュリティーの担当者がサプライチェーン攻撃について理解を深め、適切な対策を行うことが重要です。

サプライチェーン攻撃は、組織を狙ったサイバー攻撃のなかでも、近年とりわけ注目されている手口の一つです。2022年度には、独立行政法人情報処理推進機構（IPA）が公表する「情報セキュリティー10大脅威」にて、第3位にランクインしました。

サプライチェーン攻撃は、国内に留まらず世界的な被害が懸念されており、犯罪グループによる組織的な犯行も見受けられます。IPAの報告によれば、自社の子会社や海外拠点、業務委託先企業が狙われた事例も存在します。被害を受けた企業の中には、犯罪の温床であるダークウェブに顧客の個人情報が流出するといった、深刻な情報漏えいにつながってしまったケースも少なくありません。

サプライチェーン攻撃は、2021年度の4位から順位を上げていることから、今後の情報セキュリティー対策で注意すべき脅威だと考えられています。なお、2022年の第1位は「ランサムウェアによる被害」、第2位は「標的型攻撃による機密情報の窃取」でした。これらのサイバー攻撃は、いずれも国内で複数の被害事例があり、早急に対策が求められています。

【出典】「情報セキュリティ10大脅威 2022」（独立行政法人情報処理推進機構）
URL：https://www.ipa.go.jp/security/vuln/10threats2022.html

大企業の取引先の中から、セキュリティー対策が手薄になっている企業を探し、踏み台にする手法です。踏み台とは、他者の端末やサーバーなどを乗っ取り、そこからサイバー攻撃を仕掛けることを意味します。こうした手口は「グループサプライチェーン攻撃」と呼ばれることがあります。

グループサプライチェーン攻撃には、主に2つのパターンが存在します。一つは、踏み台となった取引先から不正アクセスして、ターゲットである大企業まで侵入するパターンです。もう一つは、取引先からターゲットである大企業の情報を盗み出し、情報を引き換えに大企業へ金銭を要求するパターンが挙げられます。

ベンダーが大企業へ納品するソフトウェアやハードウェアを経由して、悪意ある第三者が不正侵入する手法です。ITシステムなどの製品にマルウェアが仕込まれており、大企業への納品物を通じてサイバー攻撃が行われます。マルウェアとは、ユーザーに被害をもたらす悪意あるソフトウェアのことです。こうした手口は「ソフトウェアサプライチェーン攻撃」と呼ばれることがあります。

ソフトウェアサプライチェーン攻撃では、サイバー犯罪者が製品の脆弱性を狙って攻撃を仕掛けます。マルウェアが含まれているとは知らずに、多数の人がソフトウェアをダウンロードしてしまう危険性もあり、注意が必要です。更新プログラムなどがターゲットとなり、一気にマルウェア感染が広がってしまうおそれもあります。

サプライチェーン攻撃では、関連企業のセキュリティーにおけるあらゆる脆弱性がターゲットになり得ます。そのため、OSやソフトウェアを常に最新版に更新する基本のセキュリティー対策が必須です。アップデートを怠るとセキュリティーの脆弱性が放置されてしまうためご注意ください。

パスワードの強化はセキュリティー対策の基本です。パスワード窃取のリスクを減らすには、一定以上の長さの複雑なパスワードを設定して、定期的に変更することが有効だとされています。その反対に、パスワードに規則性のある文字列を採用したり、複数のサービスでパスワードを使い回したりするのは好ましくありません。

社内の端末のウイルス感染を防ぐために有効な対策です。ウイルス対策ソフトを導入すると、ネットワークを常時監視して、不審な挙動を速やかに検知できるようになります。また、フィッシングメールをはじめとした、企業を狙った多様なサイバー攻撃をブロックすることも可能です。

近年のビジネスシーンでは、クラウドを用いたデータ共有が活用されています。データ共有の際は、適切な権限設定を行い、データにアクセスできるユーザーの範囲を管理することが重要だといえます。また、システム上で履歴を閲覧できる状態にして、情報漏えいの発生時に速やかに原因を特定できると理想的です。

従業員一人ひとりのセキュリティー意識を高めるための、セキュリティー教育も欠かせません。サプライチェーン攻撃による被害や手口を理解させるために、社員研修を実施するようおすすめします。問題発生時の報告や相談の流れなど、一連の対応についても取り決めて、組織的に防御するのがポイントです。

大手企業との取引がある企業では、セキュリティー強化のための人材と予算を十分に確保するのが望ましいといえます。セキュリティーツールやサービスを導入して安全性の高い環境を構築するとともに、定期的な訓練を実施して、日頃からセキュリティーインシデントの発生に備えることが大切です。