サプライチェーン攻撃とは？具体的な手法から対策方法をご紹介

本記事をご覧になっている方は、サプライチェーン攻撃といった言葉をご存じでしょうか。サプライチェーン攻撃とは、ターゲット企業に対して直接攻撃を仕掛けるのではなく、取引先企業など関係のある周りの企業からウイルス感染などを広めて、間接的に攻撃を行うサイバー攻撃です。近年はさまざまなサイバー攻撃が行われていますが、頻出度としてはサプライチェーン攻撃がかなり多くなっています。これらのリスクを避けるためには、攻撃の概要から対策方法を知ることが大切です。そこで今回は、サプライチェーン攻撃とは何か特徴から概要、対策方法まで詳しく解説していこと思います。気になっている方はぜひ参考にしてください。

サプライチェーン攻撃とは

サプライチェーン攻撃とは、ターゲット企業に対して直接サイバー攻撃を実施するのではなく、セキュリティ対策が弱い関連企業や取引先企業を経由して、ターゲット企業のシステムに不正侵入するサイバー攻撃です。たとえば、セキュリティ対策の厳重な大企業に対して直接ウイルスをばらまくのではなく、その取引先企業にウイルスをばらまいて、間接的に感染させていきます。信頼している企業とでのやり取りでいつの間にかウイルスに感染してしまい、データの損傷だけでなく企業間の関係悪化にも影響するため、注意する必要があります。

そもそもサプライチェーンとは

サプライチェーンとは、製品の原材料や部品の仕入れ、製造や配達・販売・消費といった一連の供給連鎖のことを意味します。これらの過程には複数の企業が関わっており、その中には小規模の企業も含まれているでしょう。そのセキュリティ対策の薄い企業を狙ってウイルスをばらまき、一連の流れにのせてターゲット企業に攻撃を仕掛けるのがサプライチェーン攻撃です。

サプライチェーン攻撃の目的

サプライチェーン攻撃の目的として、従来はウイルスをばらまいて情報を抜き取ったりデータを削除するマルウェア型が多かったですが、近年は企業のデータを勝手に暗号化し、そのデータの解除を条件に身代金を要求するランサムウェア型が増えています。

サプライチェーン攻撃の具体的な手法

ここでは、サプライチェーン攻撃の具体的な手法をご紹介します。それぞれのパターンを理解し、セキュリティ対策のヒントにして頂けたらと思います。

取引先を経由して感染させるパターン

まず一つ目は、最も基本的な攻撃手法である関連企業・取引先企業を踏み台にした感染パターンです。サプライチェーンの中で脆弱性のある企業を見つけ出し、セキュリティホール（セキュリティの穴）からウイルスの送信や不正ログインを行います。どこから感染したか把握するためには複数の企業に調査の依頼をする必要があり、多方面に迷惑をかけてしまう問題があります。

ハード・ソフトウェアを通じて感染させるパターン

続いて多いのが、ハード・ソフトウェアを通じて感染するパターンです。取引先企業から納品してもらったソフトウェアやハードウェアにウイルスを送り込み、納品のタイミングで感染させます。気づかず社内にウイルスが広まってしまうケースがあるため、納品時は検証を厳重に行いましょう。

委託先から情報を盗むパターン

逆に委託先からターゲット企業の情報を盗む攻撃もあります。委託先企業に不正アクセスして、ターゲット企業の取引情報から顧客情報を抜き取り、拡散したり身代金を要求するなど、攻撃方法も多様化しています。それぞれ問題発生時の動きを検討しておくなど、対処方法を設定しておくようにしましょう。

サプライチェーン攻撃の現状

正直なところ、サプライチェーン攻撃を完全に防ぐことは難しいのが現状です。理由として、そもそも自社のみでセキュリティ対策が完結しないのがあります。近年は多くの企業でセキュリティ対策が進められていますが、セキュリティツールの導入や研修など、コストがかかり実施できない場所も多いです。

サプライチェーン攻撃の対策方法

対策が難しいサプライチェーン攻撃ですが、周りを巻き込まないためにも自社のセキュリティは強化しておきましょう。具体的には、ネットワークとデバイスの挙動監視があげられます。たとえば、ネットワークへの侵入を防ぐIPS（ネットワーク上のトラフィックを監視して不正な通信を発見したら通知する仕組み）を導入したり、EDR（パソコンやサーバーの挙動を監視する仕組み）を導入する方法があります。また、取引先企業とセキュリティ対策について話し合い、予防できるトラブルや問題発生時の動きを決めておくことで、関連企業への影響を減らすことができるでしょう。

サプライチェーン攻撃への対策は企業間のセキュリティを高める

本記事では、サプライチェーン攻撃とは何か、概要から特徴、対策方法などをご紹介しました。自社の保有している大切な情報やパソコン機器を守るためのセキュリティ対策はとても重要ですが、取引先企業など、ビジネスとして関わっている相手を巻き込まないようなセキュリティ対策も必要です。常にあらゆるリスクから身を守れるよう、セキュリティに対して意識するようにしましょう。