2024.10.16

中小企業におけるセキュリティ脅威への対策強化〜サプライチェーンの弱点を悪用した攻撃から対策を学ぶ〜

独立行政法人情報処理推進機構（IPA）が毎年発行している「情報セキュリティ10大脅威2024」から、中小企業の経営者やシステム担当者が注目すべき点を掘り下げていきます。

今回は２位に挙げられている「サプライチェーンの弱点を悪用した攻撃」を事例とともに深掘りします。

１．サプライチェーンとは

サプライチェーンとは、商品の企画、開発、調達、製造、在庫管理、物流など、製造から販売までの一連のプロセス及び、その商品やサービスが最終消費者に届くまでに関わる全ての組織や活動のネットワークを指します。

サプライヤー、製造業社、流通業者などがこれにあたります。

また、ソフトウェア開発のライフサイクル*に関与する全てのモノ（ライブラリ、各種ツール等）や人の繋がりを、ソフトウェアサプライチェーンと呼びます。

*ソフトウェア開発のライフサイクル：ソフトウェアが企画・仕様、設計から実装、テスト、運用、及びメンテナンス・監視までたどる、一連のライフサイクルのこと

このような「ビジネス上の繋がり」や「ソフトウェアの繋がり」を悪用した攻撃をサプライチェーン攻撃と呼びます。

この脅威が業務にもたらす影響や、取るべき対策について解説いたします。

ビジネスもセキュリティ対策も関係組織で二人三脚を（IPA　情報セキュリティ10大脅威 2024 解説書より）

引用元：IPA　情報セキュリティ10大脅威 2024 解説書より

２．狙われるサプライチェーンの弱点

標的とする組織が強固なセキュリティ対策を行っていて直接攻撃が困難な場合、攻撃者は、そのサプライチェーンの脆弱な部分を探し出して攻撃を行います。

大手企業と繋がりのある中小企業の中には、セキュリティへの対策が十分でない企業も多くあります。攻撃者はその脆弱な企業を足掛かりとして間接的、及び段階的に標的とする組織を狙います。

攻撃者の侵入を許してしまった場合、機密情報の漏えいや信用の失墜等、様々な被害が発生します。

また、自組織のセキュリティ対策が十分ではなく、攻撃を受けた上で足掛かりとされると、サプライチェーン上の取引相手に損害を与えてしまい、取引相手を失ったり、損害賠償を求められたりするおそれが想定されます。

３．主な攻撃手口

サプライチェーンを狙った攻撃はさまざまな手口で行われます。以下に代表的なサプライチェーンの弱点を悪用した攻撃例を紹介いたします。

（１）取引先や委託先が保有する機密情報を狙った攻撃

標的とする組織よりもセキュリティが脆弱な取引先や委託先、国内外の子会社等を攻撃し、その攻撃を受けた組織が保有する標的組織の機密情報等を窃取する手法です。

標的とする組織では機密情報扱いであり、堅牢なセキュリティのもと管理されているとしても、セキュリティが脆弱なサプライチェーン上の組織でも同じように厳密に管理されているとは限らず、そこが狙われてしまうのです。

（２）ソフトウェアサプライチェーン攻撃

標的組織と取引のある、または調達するであろうソフトウェアやサービスを改ざんして、ソフトウェアそのものやアップデートプログラムなどに不正コードを混入させ、標的組織に侵入するための足掛かりとする攻撃手法です。

標的組織がそのソフトウェアを導入したり、更新する際にウイルス感染を引き起こすのです。

（３）サービスサプライチェーン攻撃

はじめに企業システムの運用、監視等を請け負う事業者（MSP：マネージドサービスプロバイダー）等を攻撃し、足掛かりとする攻撃手法。

MSPが利用する資産管理ソフトウェア等にウイルスを仕込み、MSPの複数顧客にウイルスを感染させる手口もあります。

４．サプライチェーンの弱点を悪用した具体的な攻撃事例

【事例１：業務委託先業者からの顧客情報漏えい】

2023年1月、複数の保険会社が、業務委託先から顧客の個人情報が流出したことを公表しました。

業務委託先の適切なセキュリティ対策がされていないサーバーへ不正アクセスされた事が原因でした。

また流出した個人情報が海外のWebサイトに掲載されていたことで、被害が発覚しました。

流出の規模は保険会社により異なるが、多いところでは約130万人分にも及び、調査や対処に追われました。

引用元：IPA　情報セキュリティ10大脅威 2024 解説書より抜粋

この事例は、「２．主な攻撃手口」の「（１）取引先や委託先が保有する機密情報を狙った攻撃」の具体的な内容になります。

保険会社が必要とするセキュリティ要件が委託業者側で徹底されていなかった点を攻撃者に狙われた訳ですが、保険会社側もセキュリティ要件が徹底されているかを管理する責任があり、これが十分ではなかったことも併せて原因と言えます。

【事例２：提携先企業に不正アクセス、顧客情報漏えい】

2023年11月、メッシュWi-Fiを提供するJCOMが顧客情報の漏えいを公表しました。

当該サービスは米国Plume Design社が提供元であり、同社の提携先のモバイルアプリのアクセスログサーバーが不正アクセスされたことが原因でした。

これにより約23万件の顧客の氏名と約5千件のメールアドレスが漏えいしました。

引用元：IPA　情報セキュリティ10大脅威 2024 解説書より抜粋

この事例は、「２．主な攻撃手口」の「（３）サービスサプライチェーン攻撃」の具体例です。

アクセスログ自体はサービス提供側が管理している情報なので、利用者側であるJCOMでは対処が難しい事例です。

自社が提供するサービスで利用する、サービス事業者(MSP)のセキュリティ対策が十分か否かを見極める必要があると言えます。