自社のセキュリティ対策が強固であっても、取引先や子会社を経由して侵入されるサプライチェーン攻撃は企業にとって深刻な脅威です。
本記事では、サプライチェーン攻撃の手法や国内外の被害事例、有効なセキュリティ対策を分かりやすく解説します。自社と取引先のセキュリティ管理体制を強化し、サイバーリスクを低減する具体的なヒントを得られます。
Cloud Mail SECURITYSUITEのサービス資料を受け取る
サプライチェーン攻撃とは？
サプライチェーン攻撃は、ターゲットとなる企業の子会社や業務委託先、使用しているソフトウェアなどの脆弱なポイントを介して侵入を試みるサイバー攻撃の手法です。
自社のセキュリティ対策が堅牢であっても、サプライチェーンのなかにセキュリティの弱い拠点が1つでも存在すると、そこが侵入口として悪用されてしまいます。被害は自社のみにとどまらず、取引先や顧客へも拡大するおそれがあります。
PPAP対策やメールセキュリティ強化サービス
サービスの概要資料を受け取るサプライチェーン攻撃の種類
サプライチェーン攻撃には、ターゲット層や侵入ルートに応じて複数の攻撃手法が存在します。
ソフトウェアサプライチェーン攻撃
ソフトウェアサプライチェーン攻撃は、多くの企業で利用されているソフトウェアの開発元や更新プログラムの配信サーバを標的にする手法です。
攻撃者は、システムのアップデートファイルやプログラムのソースコードへ事前に悪意あるコードを仕込みます。正規の更新処理を通じてユーザの環境へマルウェアが拡散されるため、従来の検知対策を回避して感染が広がりやすい点が特徴です。
サービスサプライチェーン攻撃
サービスサプライチェーン攻撃は、ターゲット企業が利用するクラウドサービスや業務委託先、管理サービス事業者（MSP）などの外部サービスを標的とする手法です。
自社のセキュリティ対策を強化しても、システム管理や業務プロセスを委託しているサードパーティの環境に脆弱性が存在する場合、そこを経由して重要データへアクセスされます。委託先のIDやアクセス権限が悪用されるケースも多く、被害の察知が遅れやすい傾向にあります。
ビジネスサプライチェーン攻撃
ビジネスサプライチェーン攻撃は、企業の取引関係や業務プロセス全体を標的にする手法です。
取引先になりすまして悪意のあるメールを送信するビジネスメール詐欺（BEC）や、信頼関係を利用して偽の請求書を送り金銭を騙し取る行為などが該当します。システム上の脆弱性のみならず、人間の心理や業務上の慣習を巧みに悪用するため、技術的なセキュリティ対策だけでは防ぎきれない点がネックです。
PPAP対策やメールセキュリティ強化サービス
サービスの概要資料を受け取る【日本国内】サプライチェーン攻撃の被害事例
近年は日本国内でも、サプライチェーン攻撃による深刻な被害事例が相次いで報告されています。
子会社経由の侵入による工場稼働停止
2022年2月、大手自動車メーカーA社の主要取引先である部品企業がサイバー攻撃を受け、システム障害が発生しました。攻撃を受けた取引企業と受発注システムが連携していた影響により、A社は部品の受発注作業を行えなくなり、国内の全14工場28ラインの稼働を一時停止せざるを得ない事態へと発展しています。
自社のセキュリティ体制が強固であっても、子会社や取引先などサプライチェーン内の拠点に存在する脆弱性が突かれれば、グループ全体の事業停止につながる恐れを示す事例です。
※参考：情報セキュリティ10大脅威 2023｜独立行政法人 情報処理推進機構（IPA）
委託先企業でのマルウェア感染
2023年11月、大手情報・通信企業のB社は、業務委託先のさらなる委託先におけるパソコンのマルウェア感染をきっかけに、約44万件（その後の調査で約51万件に修正発表）の個人情報が漏洩した可能性があると発表しました。B社と委託先で共通化されていた認証基盤を経由して、B社のシステムへの侵入を許した形です。
業務の委託関係を突いた典型的なサービスサプライチェーン攻撃の事例であり、委託先のセキュリティ管理徹底が課題となりました。
※参考：情報セキュリティ10大脅威 2024｜独立行政法人 情報処理推進機構（IPA）
ランサムウェア感染による業務停止
2022年10月、大阪の急性期病院において、給食事業者と接続していた事業者用ルータの脆弱性を突かれ、システム内部へ侵入される事態が発生しました。この攻撃により病院内の電子カルテシステムがランサムウェアに感染して暗号化され、診療停止や手術の延期など、地域医療機能に数か月におよぶ深刻な影響を及ぼしました。
保守用回線などのサプライチェーンを起点としたサイバー攻撃のリスクを裏付ける代表的な事例です。
※参考：医療機関等におけるサイバーセキュリティ対策の強化について（注意喚起）｜厚生労働省
PPAP対策やメールセキュリティ強化サービス
サービスの概要資料を受け取る【海外】サプライチェーン攻撃の被害事例
日本国内だけでなく、海外においても、大規模かつ深刻なサプライチェーン攻撃の被害が報告されています。
マルウェア感染による顧客情報の流出
大手宿泊予約サイトの加盟ホテルを標的としたサイバー攻撃が発生し、顧客情報の流出被害が報告されました。攻撃者はホテル側の管理システムへアクセスするための認証情報を盗み出し、正規システムを介して宿泊客へフィッシングリンク付きのメッセージを送信しました。
システム自体の脆弱性ではなく、提携事業者の認証情報を悪用して顧客を騙す高度なサプライチェーン攻撃の事例です。
正規のソフトウェアを悪用したマルウェア配信
米国のソフトウェア企業が提供するネットワーク管理ソフトウェアの更新プログラムへ悪意のあるコードが挿入され、大規模な情報漏洩を引き起こした事例です。世界中の政府機関や大手企業など、数多くの組織が汚染されたソフトウェアを適用したことで、攻撃者にシステム内部へのアクセス権限を奪われました。
信頼されたソフトウェアを侵入の経路として悪用した、高度なソフトウェアサプライチェーン攻撃の典型例です。
※参考：サイバーセキュリティの最新の動向及びICTサイバーセキュリティ政策分科会について｜総務省
PPAP対策やメールセキュリティ強化サービス
サービスの概要資料を受け取るサプライチェーン攻撃に有効な対策
サプライチェーン攻撃を防ぐには、取引先を含めた包括的な防御体制を構築する必要があります。具体的には、以下のような対策が有効です。
サプライチェーン全体のセキュリティ対策を評価する
サプライチェーン攻撃の被害を防ぐためには、自社のみならず子会社や委託先を含めたグループ全体のセキュリティ対策状況を定期的に把握・評価する仕組みが不可欠です。
取引先のセキュリティチェックシート作成や外部監査の実施を通じて、脆弱な拠点を早期に特定して改修を促す対応が求められます。管理の目を全体に行き渡らせる取り組みが、攻撃者の侵入経路を塞ぐ第一歩となります。
契約時のセキュリティ要件を強化する
外部委託先やサードパーティとの契約締結時には、順守すべきセキュリティ要件を明確に規定することが重要です。責任の所在や情報取扱手順、求める管理基準を契約書に盛り込みます。
さらに、報告の義務付けや監査権限の設定を盛り込む施策により、取引先の対策レベルを実効的に担保できます。
インシデントの対応フローを構築・共有する
万が一、サイバー攻撃を受けた場合被害を最小限に抑えるため、あらかじめインシデント発生時の対応フローを構築しておくことも大切です。連絡網や報告手順、システムの隔離方法などの初期対応手順を定義し、取引先や委託先を含めた関係者間で事前に共有します。
迅速な状況把握と共有ができる体制を整えておくことが、被害拡大防止につながります。
セキュリティ対策システムを導入する
サプライチェーン攻撃の被害を防ぐには、セキュリティ対策システムの導入が有効です。組織内の端末やネットワークへEDR（Endpoint Detection and Response）などの最新高度な検知システムを配備することにより、未知の脅威やマルウェアの侵入を早期に発見できます。
また、サプライチェーン攻撃ではメールが悪用されるケースも多いため、システム導入によりメールセキュリティを強化することが推奨されます。例えば、メールのウイルスチェックや送信元のドメイン認証、誤送信対策などが可能なシステムを導入すれば、メールを起点としたサイバー攻撃や情報漏洩を防ぎやすくなります。
PPAP対策やメールセキュリティ強化サービス
サービスの概要資料を受け取るまとめ
サプライチェーンを狙った攻撃は、自社のセキュリティ対策が十分であっても、取引先や子会社などの脆弱性を突いて侵入されるリスクがあります。
被害を未然に防ぐためには、グループ企業や業務委託先を含めた包括的なセキュリティ対策が必要です。サプライチェーン全体のセキュリティ状態を定期的に評価し、契約時の要求事項定義やインシデント発生時の連絡・対応フローをあらかじめ整備しておく取り組みが重要です。
加えて、高度な検知ソフトの導入による常時監視体制を構築し、自社を取り巻くネットワーク全体で継続的かつ包括的な管理態勢を整える必要があります。
サプライチェーン攻撃の被害を抑えるためには、メールセキュリティの対策強化も欠かせません。一般的なメールサーバのみではセキュリティ機能が不足している場合も多く、攻撃者に悪用されるケースがあります。
「Cloud Mail SECURITYSUITE」なら、Microsoft 365やGoogle Workspaceのメールセキュリティを強化できます。アンチウイルスやアンチスパム、なりすまし対策などの充実した機能から、必要なものだけをお選びいただけるため、低コストで導入できます。また、お申し込みから最短5日でサービスを提供開始でき、導入におけるサポートも充実しています。
