サプライチェーン攻撃の原因は何か？中小企業や零細企業が採るべき対策について

サイバー攻撃のターゲットは主に重要な情報を持つ大企業だと考えられていたが、今やそれは過去の認識だ。近年、中小・零細企業が狙われるケースが増えている。その背後にはサプライチェーン攻撃の影響がある。本記事では、サプライチェーン攻撃の概要や実際の被害例、さらには効果的な対策について説明する。

サプライチェーン攻撃とは

サプライチェーン攻撃とは、企業の「サプライチェーン」を標的とした攻撃のことを指します。取引先などを介したネットワーク経由で目標の企業に攻撃を仕掛ける手法です。サイバー攻撃の激化やデジタル化の進展に伴い、大企業や行政機関ではセキュリティ対策が強化されていますが、中小・零細企業ではリソース不足により対策が不十分なケースも少なくありません。この記事では、企業の生産や流通を狙うサプライチェーン攻撃について詳しく解説します。

サプライチェーン攻撃増加の背景

近年、サプライチェーン攻撃が激化している背景には、以下のような理由が挙げられる。

広がるセキュリティ対策の格差

増大するセキュリティリスクへの対応として、国内の情報セキュリティ市場は拡大の一途をたどっています。企業のセキュリティ対策投資の増加に加え、リモートワークの普及に伴う対策強化の必要性も市場拡大の一因です。大企業はセキュリティ対策を進める一方で、中小・零細企業は予算や人材面での課題があり、また経営者が情報資産の重要性を低く見積もって対策を軽視する場合も見られます。こうした脆弱な中小企業がサプライチェーン攻撃の標的とされやすくなっているのです。

標的型攻撃の増加

データの価値が向上し、情報漏えいによる企業への影響が大きくなる中、闇ビジネスのエコシステムも確立されつつあり、攻撃者にとって攻撃のメリットが増しています。そのため、時間や手間をかけてでも狙う価値のある対象には標的型攻撃が執拗に行われ、成功するまで繰り返されることがあります。特に、大量の個人情報や高度な機密情報を有する企業は、サプライチェーン攻撃を含むさまざまな方法で攻撃者に狙われやすい状況です。

容易に入手可能な攻撃ツールや各種情報

攻撃者は、ダークウェブなどさまざまな手段を通じて攻撃ツールや脆弱性情報を容易に手に入れられる環境にあります。流通する攻撃ツールの一部はRaaS（Ransomware as a Service）として提供されており、これはランサムウェア攻撃用のツールキットや仕組みの提供を含むサービスビジネスです。これにより、マルウェアの知識がなくても攻撃が可能な時代になりました。また、近年では「ダブルエクストーション（二重の脅迫）」など、ランサムウェアの手口もより悪質で執拗なものに変化しており、今後さらに多様化が予測されています。

サプライチェーン攻撃への対策

サプライチェーン攻撃への対策の近道は、適切なセキュリティ対策を講じることだ。特に、以下のような対策が重要となる。

経営者の意識改革

各種調査によれば、多くの中小企業経営者はセキュリティ対策を他人事のように考えがちであることが明らかになっています。サプライチェーン攻撃に対して正しい理解を深め、被害を受けた際に取引停止に至る可能性があることを認識すべきです。特に中小企業は、特定の取引先に売上の多くを依存しているケースが少なくありません。そのため、依存度の高い取引先との関係が断たれれば、事業存続が危機にさらされる状況に陥りかねません。このリスクを踏まえ、IPAの「サイバーセキュリティ経営ガイドライン」などを参考にしつつ、組織としてのセキュリティ対策を強化する必要があります。

マルウェア、ランサムウェア対策

サプライチェーン攻撃の多くは、マルウェアやランサムウェアの感染を通じて引き起こされています。そのため、従業員が使用するパソコンにセキュリティソフトを導入することが、基本的な対策として不可欠です。さらに、不審なファイルを開かないことや、業務に無関係なWebサイトへのアクセスを控えるなど、従業員のセキュリティ意識向上を目的とした社内研修の実施も考慮すべきでしょう。

社内、社外への通信を監視

攻撃者がサプライチェーン攻撃や標的型攻撃を行う際、ターゲットへの事前調査を実施する場合が少なくありません。そのため、これらの兆候を早めに察知することで、セキュリティ対策の確実性を高めることができます。社内外のネットワークで不審な通信を監視するためには、IDSやIPSなどの機器を導入することが推奨されます。

認証強度の向上

社内システムへのログイン時には、認証レベルを強化することでセキュリティを向上させることが可能です。通常のパスワード認証に加えて、ワンタイムパスワードや生体認証の導入を検討する価値があります。また、アクセス権限の適切な設定も欠かせません。

サプライチェーン全体を考慮したセキュリティ対策へ

サプライチェーン攻撃は攻撃者にとっても多くの手間とコストがかかる攻撃手法です。それでもなお、この攻撃が増え続けているのは、成功時のリターンが非常に大きいためです。複雑なサプライチェーンにおいて、どこかに脆弱な部分が残ってしまうのは避けがたく、デジタル連携が密接になるほど、攻撃者にとって侵入後の目標達成の確率が高まります。