FortiGate ZTNA
この記事では、サプライチェーン攻撃の手法と効果的な対策をわかりやすく解説します。
近年、企業規模を問わず世界的に脅威が高まっていますが、具体的な対策がわからない方もいらっしゃるでしょう。増加している背景もご紹介しますのでぜひ参考にしてください。
※本記事に掲載している情報は2024年3月時点のものです
目次
FortiGate ZTNA
マルウェアを無力化し、業務を止めないという最大の価値を実現！
従来の検知型と全く異なる、革新的なエンドポイントプロテクション製品。
サプライチェーン攻撃とは、最終標的となる大企業に攻撃を加えるために、同じサプライチェーンに属するセキュリティレベルの低い中小企業を足掛かりとして利用するサイバー攻撃です。
サプライチェーンとは本来、製品の企画開発、原材料の調達、製品の製造、発送、販売までの一連の取引の流れをいいますが、サプライチェーン攻撃では分業によって複数の企業が密接に関連していることを悪用し、ネットワークに脆弱性を有する企業が狙われます。
このため、近年では企業規模を問わず攻撃の対象となっており、万が一攻撃を受けた場合には、自社だけでなくサプライチェーン全体に被害が及ぶリスクがあります。
近年、生産性の向上や国際的な競争力の強化をめざして、企業活動を工程ごとに分割して企業間で分業を進める「バリューチェーン」の取り組みが進められています。
国内外問わず分業が進むなかで、セキュリティに脆弱性を持つ海外拠点や国内の中小企業がサプライチェーン攻撃の標的となり、サプライチェーンに含まれる大企業まで大きな被害が発生しています。
多くの企業でセキュリティ対策が重視され、セキュリティレベルも向上していますが、海外拠点や国内の関連企業まで含めると対策は十分でなく、今後もサプライチェーン攻撃の被害は続くと考えられます。
ここでは、攻撃者がなぜサプライチェーン攻撃を行うのか、その主な目的を2つご紹介します。
サプライチェーン攻撃では、攻撃対象となったコンピューターに悪意を持ったプログラムを感染させ、PCやモバイル端末などのデバイスを不正に操作することで、企業の保有する重要情報を窃取します。
盗み取った情報は、秘匿性が高く犯行が特定されにくいダークウェブなどのサイトを通じて高額で売買できるため、攻撃者は不正に経済的利益を得る目的でサプライチェーン攻撃を行います。
近年、サプライチェーン攻撃の中でも、身代金（ランサム）を要求するマルウェアとして「ランサムウェア」が猛威を振るっています。
ランサムウェアは、PCやサーバーに保存されている重要なデータを暗号化し、元の状態に戻す代わりに身代金を要求するソフトウェアです。
情報の流出先として、警察や専門機関でも攻撃者を特定するのが困難なダークウェブが利用されます。金銭要求に応じなければ情報流出、金銭要求に応じてもデータの復旧が保証されるわけではなく、被害企業は難しい判断を迫られるといえます。
サプライチェーン攻撃の手法は大きく3つに分けられます。それぞれ解説していきます。
1つ目の手法は、「ソフトウェアサプライチェーン攻撃」と呼ばれ、ソフトウェアやハードウェアの開発・製造・販売の工程に不正に侵入し、悪意を持ったプログラムを組み込む攻撃です。
ユーザーは正規の製品を購入したにもかかわらず、不正なプログラムが実行されることでマルウェアに感染するため、利用者の多いソフトウェアやハードウェアほど感染被害が拡大します。
購入時にすでに感染している場合のほかに、アップデートを利用して時間差で不正プログラムを実行する手口もあるため注意が必要です。
2つ目の攻撃は「サービスサプライチェーン攻撃」です。サーバー管理、ネットワーク管理、クラウドなどのサービスを提供する事業者を経由して最終ターゲットを狙う手口です。
事業者が管理するネットワークの脆弱性をついてマルウェアに感染させ、サービスを利用する大企業などのコンピューターに不正に侵入し、重要なデータを窃取します。
サーバーなどの機器が乗っ取りにあった場合には、情報流出だけでなくサービスの停止につながるリスクもあります。
3つ目は、最終的な攻撃目標として設定した大企業を直接攻撃するのではなく、その関連会社や取引先企業である中小企業のコンピューターに侵入するサプライチェーン攻撃で、「ビジネスサプライチェーン攻撃」とも呼ばれます。
大企業では高度なセキュリティ対策が実施されていることが多く、外部から不正に侵入するのは困難ですが、中小企業などセキュリティ対策が十分でない脆弱性をついて、不正なプログラムに感染させるという手口です。
攻撃者は最終目標である大企業の情報を窃取するために、踏み台としてその関連会社や取引先を狙います。
サプライチェーン攻撃を受けた場合に、想定される被害について解説します。
例えば、企業や組織のセキュリティ脅威として、毎年上位にランクされるランサムウェアに感染した場合には、社内のPCやサーバー上に保存されている重要なデータやファイルが暗号化され利用できなくなります。また、端末自体がロックされ通常の利用ができなくなる恐れもあります。
この場合、自社だけでなく、サプライチェーン全体で業務やサービスが停止に追い込まれるリスクがあり、元の状態に戻すために攻撃者から身代金を要求されるなど被害は広範囲に波及します。
サプライチェーン攻撃の中には、攻撃対象のコンピューターを乗っ取り、重要情報を窃取するものがあります。
企業が保有するデータには、顧客情報、取引先情報、従業員情報など機密性の高い情報が含まれるため、万が一、漏えいした場合には社会的な信頼性を失墜しかねません。
これにより、新規の取引や融資、新規採用などさまざまな企業活動に悪影響を及ぼすと考えられます。
サプライチェーン攻撃により、重要なデータの破壊、暗号化によるシステム停止などの被害を受けた場合には、自社だけで復旧するのは困難な場合が多く、事業再開まで多額の費用が発生します。
また、自社のコンピューター以外にサプライチェーンの広範囲に攻撃を受けた場合には、多額の復旧費用の負担だけでなく損害賠償により企業の存続も危ぶまれます。
ここからは、サプライチェーン攻撃による被害を受けないために、企業が取り得る効果的な対策をご紹介していきます。
サプライチェーン攻撃の対策として、ウイルス対策ソフトの導入は必須といえます。
攻撃に利用されるマルウェアは日々進化しており、ウイルス定義を常に最新に保つことで感染リスクを軽減できるとともに、万が一、感染した場合の被害を最小限に抑え事業の早期復旧にも役立ちます。
企業では多くの機密情報を取り扱います。自社だけでなく、関連会社、取引先をセキュリティリスクから守るために、サプライチェーン全体でウイルス対策ソフト導入の検討を進めるのがよいでしょう。
サプライチェーン攻撃は、OSやソフトウェアの脆弱性を狙って実行されることが多く、攻撃者に隙を与えないためには、OSやソフトウェアのアップデートをこまめに行う必要があります。
OSやソフトウェアのアップデートは、プログラムの不具合修正に加え、脆弱性の対策も取られているため、新しいプログラムが提供された場合には、すみやかに適用しましょう。
サプライチェーン攻撃を未然に防ぐためには、従業員に対するセキュリティ教育も重要です。
近年、金融機関や大手通販サイトなどを装い、不特定多数の攻撃対象になりすましメールを送り付け、添付ファイルの開封やメール内のURLへの遷移から不正プログラムに感染させるという手口が流行しています。不審なメールは開かないように日頃から社内で周知するのが重要といえるでしょう。
また、会社のノートPCでプライベートなウェブサイト閲覧を行い、不正サイトからランサムウェアなどのマルウェアに感染する事例も後を絶ちません。業務に関係のない利用を禁止するなど、従業員のセキュリティに関する意識を高める取り組みも必要です。
企業規模に比べIT部門の人員が少ない場合には、セキュリティ対策が十分に行えないリスクがあります。
IT部門は売上に直接貢献する部門ではありませんが、企業が安定した経営を行っていくために不可欠な機能であるとの認識のうえ、人員、予算の確保を行う必要があるといえます。
どうしても社内人員で対応しきれない場合には、外部のセキュリティ対策サービスを活用するのも有効です。
コストは掛かりますが、万が一、情報が流出した場合の損害を考慮すると、専門家に依頼しセキュリティレベルを上げることでコストメリットが得られることもあります。
この記事では、サプライチェーン攻撃の概要、攻撃の目的・手法、攻撃を受けた場合の被害、対策などについて解説しました。
近年、生産性向上や国際的な競争力強化をめざして企業間での分業（バリューチェーン）が進んでいますが、サプライチェーンに属する企業内でセキュリティレベルが異なるため、脆弱性を有する企業を足掛かりとしたサプライチェーン攻撃による被害が急増しています。
攻撃を受けた場合には、業務やサービスの停止、社会的な信用の失墜、多額の復旧費用などにより企業の存続にも影響を及ぼすため、ウイルス対策ソフトの導入やOSのアップデート、従業員に対するセキュリティ教育など、日頃から対策が必要です。
本記事を参考に、サプライチェーン攻撃の理解を深め、ぜひ効果的な対策を実施してください。
※本記事における価格情報記載はすべて税抜表記です。
※Microsoft、Windows、Windows 10およびMicrosoftのロゴは、米国およびその他の国におけるMicrosoft Corporationの登録商標または商標です。
※その他、記載されている会社名、製品名は、各社の登録商標または商標です。
このコラムをシェアする
マルウェアを無力化し、業務を止めないという最大の価値を実現！
従来の検知型と全く異なる、革新的なエンドポイントプロテクション製品。
