COLUMN

サプライチェーン攻撃とは？事例、攻撃の手法、対策法について解説

クラウドやセキュリティなど、クラウドに関する情報満載のNTT東日本メールマガジンはこちらからご登録ください。

「サプライチェーン攻撃ってなに？」

「サプライチェーン攻撃を防ぐにはどうすればいい？」

サプライチェーン攻撃とは、標的となる企業に直接攻撃するのではなく、セキュリティの手薄な関連会社や取引先企業を通じて不正に侵入するサイバー攻撃のことです。

サプライチェーン攻撃は大企業ではなく、中小企業こそがターゲットになります。

サプライチェーン攻撃についてきちんと理解した上で正しいセキュリティ対策を行わなければ、気付くとサプライチェーン攻撃を受けてしまい、取引先や関連企業に多大な損害を与えてしまうことがあるのです。

そこでこの記事では、サプライチェーン攻撃について詳しく解説します。

【この記事を読めばわかること】

この記事を読み、サプライチェーン攻撃について深く理解することで、正しいサプライチェーン攻撃対策がわかります。

そしてサプライチェーン攻撃に対してきちんとセキュリティ対策を行うことで、サプライチェーン攻撃を受けた場合に被る損害を防ぎ、自社の信頼性をきちんと保つことができるのです。

ぜひ最後までお読みください。

クラウドやセキュリティなど、クラウドに関する情報満載のNTT東日本メールマガジンはこちらからご登録ください。

1.サプライチェーン攻撃とは

サプライチェーン攻撃とは、どのようなサイバー攻撃なのでしょうか？

サプライチェーン攻撃について理解するために、まずはサプライチェーン攻撃の

• 特徴
• 目的
• 最新の動向

について紹介していきます。

1-1.セキュリティ対策が手薄な関連企業や取引先企業を経由して侵入する攻撃

サプライチェーン攻撃とは、ターゲットとなる大企業の関連会社や取引先を経由して、大企業へ不正に侵入する攻撃のことです。

そもそもサプライチェーンとは、製品の原材料や部品の調達から、商品が完成し販売するまでの一連の流れのことを指す言葉です。

日本語では「供給連鎖」といいます。

例えば車の製造会社のB社として例を考えてみましょう。

車の製造を行うのはB社ですが、原料や部品はそれぞれ別の関連企業や取引先企業が製造しています。

配送は配送会社、販売は販売会社と、様々な関連会社や取引先企業が関わり合って製造から販売までが行われているものです。

サプライチェーン攻撃は、この企業の繋がりや関わりをターゲットにしたサイバー攻撃です。

標的となる大企業はセキュリティ対策が強固で、なかなか侵入できません。

そこでセキュリティが手薄な取引先企業にサイバー攻撃を行い、そこを踏み台にして大企業へと不正に侵入していくのです。

日本の会社の約9割は中小企業が占めており、大企業の関連会社、取引先企業の中には中小企業が多数あります。

中小企業では大企業ほどセキュリティ対策にコストや人を費やすことができず、どうしてもセキュリティは手薄になりがちです。

そのため、サプライチェーン攻撃は増加しており、大きな問題となっているのです。

1-2.サプライチェーン攻撃の目的

サプライチェーン攻撃の目的は次のようなものが挙げられます。

【サプライチェーン攻撃の目的】

ひとつめは、情報を盗み取ること自体を目的とする場合です。

企業の機密情報を盗み出し、それを欲しがる第三者に売ることで金銭を得るために行います。

もうひとつは身代金をとることを目的とする場合です。

大企業のサーバーなどに侵入し、マルウェア（悪意のあるソフトウェア）に感染させ、PCなどの端末を使えない状態にする、個人情報や機密情報を抜き取るなどした上で、端末を動くようにしたり、情報を流出させない代わりに身代金を要求するものです。

どちらも不正に利益を得るために行われる、犯罪行為です。

1-3.サプライチェーン攻撃の動向

サプライチェーン攻撃は年々脅威を増しているサイバー攻撃です。

IPA（情報処理推進機構）が毎年発表している「情報セキュリティ10大脅威 2022」では、昨年の4位から順位を上げ、第3位に選ばれています。

• 横にスクロールします

参考：情報セキュリティ10大脅威 2022

サプライチェーン攻撃の中でも特にOSS（オープンソースソフトウェア）を狙った攻撃が増えており、2021年度は1万2,000件を超え前年比約650％増となりました。

今後、ますます増加することが予想されており、サプライチェーン攻撃に対する正しい対策が必要となっているのです。

2.サプライチェーン攻撃の3つの手法

サプライチェーン攻撃は、どのような手法で行われるのでしょうか？

サプライチェーン攻撃の手法は、大きく分けて次の3つがあります。

それぞれ詳しくみていきましょう。

2-1.取引先を踏み台にした手法

サプライチェーン攻撃の手法の1つめは、取引先企業を踏み台にする手法です。

まずは標的となる大企業の取引先や関連企業を調べます。

そして取引先企業や関連企業の中からセキュリティ対策が手薄な中小企業を狙い、サイバー攻撃を行ってメールアドレスなどの情報を盗みます。

盗んだメールアドレスなどの情報をもとに、標的となる大企業へ取引先企業を装ったメールを送り、添付ファイルに仕込んだランサムウェアなどに感染させ、大企業にサイバー攻撃を行うのです。

メール情報などを盗まずに、直接取引先企業や関連企業にランサムウェアを送り、感染させることによって、サプライチェーンが稼働しなくなるようにする攻撃もあります。

2-2.ハードウェアやソフトウェアを通じた感染経路

サプライチェーン攻撃の手法の2つめは、ハードウェアやソフトウェアを通じた感染経路を使った攻撃手法です。

ハードウェアやソフトウェアを販売する取引先企業に不正に侵入し、更新プログラムなど納品するプログラムの中にランサムウェアなどのマルウェア（悪意のあるソフトウェア）を埋め込みます。

取引先企業も標的となる大企業も気付かずに更新プログラムを配布し、受け取ってしまうと、更新プログラムなどから社内に感染が広がってしまうのです。

2-3.委託先から情報を盗むケース

サプライチェーン攻撃の手法の3つめは、サーバー運用などを委託された取引先企業に不正アクセスを行い、情報を盗むケースです。

システム開発を依頼している、顧客情報を委託しているなど、情報を取引先企業に委託している場合に、その委託先企業を攻撃して情報を盗み取ります。

盗み取った情報を質にして、金銭などを脅し取ることもあります。

3.サプライチェーン攻撃への対策は必須！

「大企業ならともかく、うちのような小さい会社がサイバー攻撃を受けるはずがない」

「サプライチェーン攻撃対策が必要だとは思っていない」

そんな考え方を持っている方は間違いです。

結論から申し上げますと、「サプライチェーン攻撃への対策はどの企業でも必須」です。

サプライチェーン攻撃に対する対策が必要な理由は次の2つです。

それぞれ詳しくみていきましょう。

3-1.中小企業こそサプライチェーン攻撃のターゲットだから

サプライチェーン攻撃対策がどの企業でも必須な理由のひとつめは、中小企業こそサプライチェーン攻撃のターゲットになるからです。

サプライチェーン攻撃は、本当の目的である大企業を攻撃し、金銭を得るために、関連する中小企業を狙うサイバー攻撃です。

「うちの会社は規模が小さいからサイバー攻撃されることはない」

のではなく、

「規模が小さいからこそ、セキュリティが甘いと考えられて攻撃を受けやすい」

のがサプライチェーン攻撃なのです。

現代のビジネスは一社だけで完結するのではなく、商品の製造から販売までの間に様々な企業が関わり合います。

自社は中小企業で、取引先も中小企業であっても、その先には大企業があることが多いのです。

そのため、どんな中小企業であっても、サプライチェーン攻撃の対象となる可能性があります。

必ずセキュリティ対策を行うことが必要なのです。

3-2.サプライチェーン攻撃を受けた場合の被害が大きいから

サプライチェーン攻撃を受けた場合、自社の規模以上に被害が大きくなる可能性が高いというのも対策が必須な理由です。

「うちの会社は規模が小さいから、サイバー攻撃を受けてもそこまで被害は大きくならない」

と考えてしまうかもしれませんが、それは間違いです。

サプライチェーン攻撃は、中小企業にサイバー攻撃を仕掛けることで、結果としてその先にいる大企業にサイバー攻撃を行う手法です。

そのため、サプライチェーン攻撃を受けてしまった場合、被害が企業規模よりもかなり大きくなってしまう可能性が高いのです。

自社の経営規模よりも結果として被害額がかなり大きいものになってしまうことを防ぐためにも、サプライチェーン攻撃に対するセキュリティ対策は必須となるのです。

4.サプライチェーン攻撃を防ぐ対策5つ

サプライチェーン攻撃に対して対策をしなくてはならないことは理解できましたが、具体的にはどのような対策を行えばいいのでしょうか？

サプライチェーン攻撃を防ぐためには、次の5つの対策をすべて行うことが必要です。

それぞれについて詳しくみていきましょう。

4-1.OSやソフトウェアは常に最新にする

サプライチェーン攻撃を防ぐ1つめの対策は、OSやソフトウェアを常に最新のものに更新しておくということです。

OSやソフトウェアを古いまま使っていると、新たに見つかった脆弱性に対応できず、それを悪用したウィルスに感染してしまうことがあります。

脆弱性に対応しなかったことで、重大なセキュリティ事故を起こしてしまった事例もあるのです。

OSやソフトウェアは常にアップデートし、最新のものにするようにしましょう。

【対策の具体例】

4-2.ウイルス対策ソフトを導入する

サプライチェーン攻撃を防ぐ2つめの対策は、ウイルス対策ソフトを導入することです。

ウイルス対策ソフトの導入はサイバーセキュリティ対策の中でも基本となる対策で、総務省が行った令和2年度の「通信利用動向調査」でも、83%の企業が対策としてウイルス対策ソフトを導入しているという結果が出ています。

しかし、約20%の企業は、いまだにウイルス対策ソフトを導入していないのです。

一度導入しても、他のソフトと干渉しあい、動作を妨げるなどの理由で停止してしまうこともあります。

ウイルスによるサプライチェーン攻撃を防ぐためにも、ウイルス対策ソフトは必ず導入しましょう。

またウイルス対策ソフトを導入後は、必ずアップデートを行い、常にウイルス定義ファイル（防ぐべきウイルスが一覧になったファイル）が最新のものにしておくことも大切です。

【対策の具体例】

参考：令和2年度「通信利用動向調査」　

4-3.パスワードは10文字以上のフレーズの組み合わせにする

サプライチェーン攻撃を防ぐ3つめの対策は、パスワードを強化することです。

パスワードが推測される、解析される、Webサービスから流出したパスワードが悪用されるなどの理由で、不正にログインされる事例が増えています。

特に問題となるのがパスワードの推測や解析です。

パスワードには誕生日や名前など推測されやすいものは使ってはいけないのはもちろんですが、短いパスワードもセキュリティが低くなってしまいます。

アメリカのニューズウィークによれば、ハッキングソフトを使用し7文字のパスワードを割り出すには0.00029秒しかかからないのに対して、12文字のパスワードなら200年かかる可能性があるとされています。

パスワードはなるべく長く、複雑なものにすることで、セキュリティ強度を上げることができるのです。

IPA（情報処理推進機構）の推奨は10文字以上ですが、もし可能であればさらに長いパスワードにすると良いでしょう。

パスワードの作り方ですが、米国国立科学技術研究所（NIST）によれば、自分は覚えやすく破られにくいパスワードとして「関係のないフレーズの組み合わせ」を勧めています。

関係のないフレーズの組み合わせとは「イヌ誕生日いりごま」のような全く関係のない単語の組み合わせです。

アルファベットにすると「inutanzyoubiirigoma」になります。

まったく関係のない単語を組み合わせることで、推測されにくく、自分は覚えやすいパスワードができるのです。

単語の組み合わせが覚えにくい方には、好きな歌のフレーズを使う方法も推奨されています。

これは好きな歌のフレーズの最初の文字を組み合わせることで、パスワードを作る方法です。

例えば童謡の「七つの子」を選んだ場合、

『からす　なぜなくの　からすは　やまに

　かわいい　ななつの　こが　いるからよ』

の単語の頭の頭文字をとっていき「knkyknki」という文字の組み合わせを作るのです。

文字列としてはバラバラですが、好きな歌を頭に思い浮かべればパスワードを思い出すことができます。

【対策の具体例】

参考：実際に覚えておくハッキング防止パスワードを作成するための7つのヒント

4-4.社員のセキュリティ意識を高める

サプライチェーン攻撃を防ぐ4つめの対策は、社員のセキュリティ意識を高めることです。

社員のセキュリティ意識が低い場合、

• メールに添付されたファイルを開いてしまいランサムウェアに感染してしまった
• 社用PCでWebサイトを開いてマルウェア感染してしまった
• 簡単なパスワードを設定してしまいパスワードを解析されてしまった

などのセキュリティ事故を起こしてしまう可能性が高まります。

いくらセキュリティ対策を行ったとしても、ヒューマンエラーを完全に防ぐことは難しいのです。

なるべくヒューマンエラーを起こさないためにも、社員ひとりひとりのセキュリティ意識を高めることが重要となります。

まずは定期的にセキュリティ研修を開催する、セキュリティ事故事例を共有し危機意識を高めるといったことを行い、社員のセキュリティ意識を高めていきましょう。

【対策の具体例】

4-5.セキュリティ対策に人員と予算をきちんとつける

サプライチェーン攻撃を防ぐ5つめの対策は、セキュリティ対策に人員と予算をきちんとつけることです。

上記4つの対策をすべて行うには、対策を進める人員と予算が必要になります。

IPAが行った「2021年度 中小企業における情報セキュリティ対策に関する実態調査」でも、約3割の中小企業がセキュリティ対策を行っていないと応えており、その理由として「コストがかかり過ぎること」が挙げられています。

セキュリティ対策は必ず行うべきものであり、予算をかけてでも行わなくては、さらに大きな損失を生み出すことになってしまいます。

セキュリティ対策を行う人手をきちんと確保することも大切です。

先ほど紹介した「徳島県つるぎ町立半田病院でのセキュリティ事故」の事例でも、IT担当者が一人しかおらず、セキュリティ対策に手が回らなかったことがセキュリティ事故の要因となったと報告書にも記載されています。

セキュリティ対策を行う人材がいない場合は、外部にセキュリティ対策を委託することも選択肢に入れて、きちんとセキュリティ対策を行っていきましょう。

【対策の具体例】

参考：2021年度 中小企業における情報セキュリティ対策に関する実態調査

徳島県つるぎ町立半田病院　コンピュータウイルス感染事案　有識者会議調査報告書

5.サプライチェーン対策を含めたセキュリティ対策に不安があるならプロに相談したほうがいい

「クラウドを導入したものの、ベンダー任せだったのでサプライチェーンに対するセキュリティ対策がされているか不安」

「サプライチェーン対策のために、セキュリティ対策はしたいけれどICTに関する技術者がおらずどこから手をつけたらよいのか分からない」

そんなお悩みをお持ちの場合は、セキュリティ対策について一度プロに相談すべきです。

• なぜプロに相談するべきなのか
• どこに相談すればいいのか

について紹介していきます。

5-1.セキュリティ対策をプロに相談すべき理由

セキュリティ対策をプロに相談すべき理由は次の2つです。

【セキュリティ対策をプロに相談すべき理由】

それぞれ詳しくみていきましょう。

5-1-1.専門知識がないスタッフでは必要な対策がわからず不足してしまうから

セキュリティ対策をプロに相談すべき理由の1つめは、自社に必要なセキュリティ対策を見極めるのは、専門知識がないスタッフには難しく、必要な対策すべてを行うのは難しいからです。

セキュリティ対策は、ウイルス対策ソフトを入れて終わりではありません。

年々巧妙化するサイバー攻撃に対抗するには、高いレベルの知識を持ったプロでないと構築が難しい部分があります。

大手企業であれば、専門知識を持ったシステム担当者が多く在籍しており、自社で対応を行うことが可能です。

しかしサプライチェーン攻撃の対象となる中小企業では、システム担当者がいない場合もあり、知識がすくなく対応が不十分になってしまうことがあるのです。

しかし、専門知識のあるプロに相談することで、必要な対策について提案を貰い、高いレベルのセキュリティ対策を行うことができるようになります。

きちんとしたセキュリティ対策を構築したいなら、プロに相談するのが安心なのです。

5-1-2.人手がないとセキュリティ対策を行うことが難しいから

セキュリティ対策をプロに相談すべき理由の2つめは、人手がないとセキュリティ対策を行うことが難しいからです。

「徳島県つるぎ町立半田病院でのセキュリティ事故」の事例でも、IT担当者が一人しかおらず、セキュリティ対策に手が回らなかったことがセキュリティ事故の要因となったと報告書にも記載されています。

セキュリティ対策を行うためにはシステム担当者の人員が必要ですが、中小企業では十分な人数を確保するのは難しく、セキュリティ対策を行えない場合が出てきてしまうのです。

これを防ぐためにも、プロに相談した上で、自社が必要とするセキュリティ対策の運用支援をしてもらうことが効果的です。

プロに頼む分、コストはかかってしまいますが、サプライチェーン攻撃を受けた場合の被害に比べたら少額で済みます。

サプライチェーン攻撃による多額の被害を防ぐためにも、プロに一度相談するのが良いでしょう。

5-2.セキュリティ対策を相談できる相談先は3つ

サプライチェーン攻撃の対策について相談したい場合、相談できるのは次の3つの相手です。

【セキュリティ対策を相談できる相手】

それぞれについてみていきましょう。

5-2-1.お付き合いのあるシステム会社

【おすすめの人】

セキュリティ対策について相談できる相談先の1つめは、お付き合いのあるシステム会社です。

すでに自社にシステムを導入する時にお世話になったシステム会社があれば、そこに相談してみるのがよいでしょう。

すでに一度お付き合いがある分、相談もしやすく、費用相場もある程度予想ができます。

また、その会社で導入したシステムに合わせて、相性の良いセキュリティソフトなどを選んでもらうことが可能です。

5-2-2. セキュリティ対策支援を行っているサービス会社

【おすすめの人】

セキュリティ対策について相談できる相談先の2つめは、IPA（情報処理推進機構）が行っているサイバーセキュリティお助け隊サービス制度です。

これは、中小企業向けにIPAが行っている支援サービスで、安価で効果的なセキュリティ対策をワンパッケージで提供してくれます。

必要な費用をIT導入補助金で補助を受けることも可能です。

詳しくはこちらのページをご覧ください。

5-2-3.クラウド導入支援事業者によるクラウド導入・支援サービス

NTT東日本の「クラウドセキュリティチェック for AWS」こちらよりダウンロードし併せてご確認ください。

【おすすめの人】

セキュリティ対策について相談できる相談先の3つめは、クラウド導入・支援サービスです。

すでにAWSなどのクラウドを自社で導入しているけれど、セキュリティ対策ができているか不安な場合や、セキュリティ対策だけでなく業務の改善のためにクラウドを導入したい方の場合は、セキュリティ対策だけでなくクラウドについてのプロに相談するのがおすすめです。

なぜなら、クラウドのセキュリティ対策は、他のセキュリティ対策だけでなく、クラウドの特性（他社と一緒にクラウドを利用する）といった面を理解した上でのセキュリティ対策が必要となるからです。

テレワークの推進や業務の効率化にも活かせるクラウド導入を考えているのなら、セキュリティ対策を含めて相談できるクラウド導入支援事業者に相談してみましょう。

6.まとめ

サプライチェーン攻撃について解説しました。

サプライチェーン攻撃は、企業のつながりをターゲットとしたサイバー攻撃で、中小企業が攻撃対象となるのが特徴です。

自社の規模よりも損害が大きくなる可能性も高く、取引先にも多大な損害を与えてしまうため、対策は必須です。

下記にあげた対策を行い、サプライチェーン攻撃を受けてしまうのを防ぎましょう。

この記事を参考に、サプライチェーン攻撃に対する正しい対策を行って、損害を出すのを防いでください。