当ページは検証・整備中のドラフトです。
内容は実環境での検証や追加調査により変更される予定です。
参照：ページ公開・更新ポリシー
サプライチェーン攻撃とは
サプライチェーン攻撃とは、最終的な標的を直接攻撃するのではなく、その取引先や委託先、保守事業者などを経由して侵入する攻撃手法である。
「サプライチェーン（Supply Chain）」とは、製品やサービスが提供されるまでの一連のつながりを指す。
攻撃者は、この信頼関係を利用することで、本来であれば侵入が困難な組織への侵入を試みる。
なお、サプライチェーン攻撃には、取引先や保守事業者を経由するものだけでなく、ソフトウェアやアップデート、オープンソースライブラリなどを悪用するものも存在するが、ここでは取引先や委託先、保守事業者との信頼関係を悪用する攻撃について言及する。
サプライチェーン攻撃はどのように行われるのか
セキュリティ対策が弱い組織を狙う
攻撃者は、最終的な標的ではなく、その取引先や委託先など、比較的侵入しやすい組織を狙う。
一度侵入に成功すると、その組織が持つ信頼関係を利用して、本来の標的へと攻撃を広げる。
信頼された通信やアカウントを悪用する
攻撃者は、VPNやリモート保守、メール、共有システムなど、正規の取引で利用される通信やアカウントを悪用する。
受け取る側から見ると、普段利用している取引先や保守事業者からの通信であるため、不審な通信と判断しにくい。
保守事業者や委託先が狙われる理由
保守事業者やITベンダーは、多くの顧客環境へアクセスできる。
そのため、一つの事業者へ侵入できれば、複数の顧客へ攻撃を展開できる可能性がある。
このような理由から、保守用アカウントやリモート保守環境も重要な攻撃対象となっている。
サプライチェーンは相互に影響し合う
サプライチェーン攻撃は、「小規模事業者が踏み台となり、大企業が被害を受ける」という一方向だけではない。
事業者は規模に関係なく、多くの取引先や委託先、保守事業者、クラウドサービスなどと連携して事業を行っている。
そのため、
- 自社が踏み台となって取引先へ被害を広げる
- 取引先が侵害され、自社が被害を受ける
- 保守事業者やサービス事業者が侵害され、複数の利用者へ被害が広がる
など、様々な経路が考えられる。
サプライチェーン攻撃では、自社が踏み台にならないことだけでなく、企業規模に関わらず取引先や保守業者が侵害されている可能性も考慮して対策することが重要である。
サプライチェーン攻撃への対策
サプライチェーン攻撃を完全に防ぐことは難しい。
攻撃対象となる組織やサービスは多岐にわたり、自社の統制が及ばないことも多いためである。
また、攻撃者は正規の取引先や保守事業者になりすまして接触する場合もあり、システムだけで判別できないこともある。
そのため、技術的な対策だけでなく、共通マニュアルやガイドラインを整備し、組織として判断できる体制を構築することも重要である。
あわせて、自社への侵入を防ぐ対策と、侵入された場合でも被害を最小限に抑える対策を組み合わせて実施する。
主な対策は次のとおりである。
- 多要素認証を導入する
- ソフトウェアを最新の状態に保つ
- VPNやリモート保守を適切に管理する
- 権限を必要最小限にする
- バックアップを取得する
- 不審なメールや添付ファイルに注意する
- 取引先や保守事業者からの通信であっても、内容を確認する運用を行う
まとめ
サプライチェーン攻撃とは、取引先や委託先、保守事業者との信頼関係を悪用して侵入する攻撃手法である。
事業者は規模に関係なく、多くの組織やサービスと連携して事業を行っているため、自社が標的になる場合だけでなく、取引先や保守事業者が侵害されることで被害を受ける場合もある。
そのため、自社が踏み台にならないための対策と、取引先や委託先、保守事業者が侵害されている可能性も考慮した対策の両方を実施することが重要である。