サプライチェーンを狙うサイバー攻撃の事例と、企業に必要な調査・対策を解説します。

サプライチェーン攻撃の主要事例

サプライチェーン攻撃とは、標的企業そのものではなく、取引先、委託先、ソフトウェア提供事業者、保守会社などを経由して侵入するサイバー攻撃です。自社のセキュリティ対策が堅固でも、関係先の弱点を足掛かりに被害が及ぶため、被害範囲が広がりやすく、発覚までに時間を要する傾向があります。

代表例として、2020年に判明した米SolarWinds社の事件があります。攻撃者は同社のネットワーク監視ソフトの更新プログラムに不正コードを混入させ、正規のアップデートを信頼して導入した政府機関や多数の企業へ侵入しました。正規ソフトの配布経路が悪用されたため、通常のウイルス対策だけでは検知が難しい事案でした。

また、2021年にはKaseya社のIT管理ソフトの脆弱性を悪用し、同社の顧客であるITサービス事業者を通じて、多数の企業にランサムウェア被害が発生しました。委託先が一括管理する端末やシステムが侵害されると、複数の取引先へ連鎖的に被害が拡大します。

国内でも、委託先のメールアカウント乗っ取り、取引先を装う請求書メール、VPNやクラウドサービスの認証情報漏洩などを起点に、不正送金、情報窃取、業務停止へ至る事例が見られます。被害時には侵入経路、漏洩情報、関係先への影響を速やかに調査し、証拠を保全することが重要です。

被害発覚時に行う調査と証拠保全

サプライチェーン経由のサイバー攻撃が疑われる場合、最優先すべきは被害拡大の防止と、原因究明・責任追及に耐え得る証拠の保全です。感染端末や不正通信が確認された機器は、安易に電源を切ったり初期化したりせず、まずネットワークから隔離します。電源断はメモリ上に残るマルウェアの痕跡、実行中プロセス、通信情報などを失わせるおそれがあるため、専門家の判断の下で対応することが重要です。

調査では、侵入元となった取引先、委託先、ソフトウェア更新サーバー、共有アカウントなどを洗い出し、ログを時系列で分析します。具体的には、認証ログ、VPN・クラウドサービスのアクセス履歴、メール送受信記録、EDRやファイアウォールのログ、更新プログラムの配布履歴、ファイル操作履歴などを収集します。侵入者がどの経路で入り、どの端末・データにアクセスし、外部送信や改ざんを行ったかを特定します。

証拠保全では、対象データの原本性を確保するため、ディスクイメージやログを改変されない形式で複製し、ハッシュ値を記録します。さらに、取得日時、取得者、保管場所、取扱者を記した管理記録を残し、証拠の連続性を明確にします。取引先の関与や契約違反が疑われるケースでは、独断で相手方システムへアクセスせず、契約内容と法的権限を確認した上で、第三者調査機関や弁護士と連携して客観的な調査を進める必要があります。

取引先を含めた実効的な対策

サプライチェーン攻撃への対策は、自社のネットワークを守るだけでは不十分です。委託先、開発会社、クラウド事業者、物流会社、販売代理店など、業務上接続する取引先も含めて管理する必要があります。まずは取引先を重要度や接続権限、取り扱う情報の機密性に応じて分類し、リスクの高い先からセキュリティ評価を実施します。情報セキュリティ規程、アクセス権管理、多要素認証、脆弱性対応、再委託先の管理、事故時の連絡体制などを確認し、必要に応じて改善を求めることが重要です。

契約書には、秘密保持条項だけでなく、セキュリティ基準の遵守、インシデント発生時の報告期限、ログ保存、調査協力、監査権限、損害賠償や再委託の条件を明記します。特に、侵害の発覚後にログが消去されていたり、委託先が調査に非協力的だったりすると、被害範囲や責任所在の特定が難しくなります。

また、取引開始時の審査だけで終わらせず、定期的な再評価と外部公開情報の監視を行うことが必要です。不審な通信、認証情報の不正利用、取引先名を使ったフィッシング、機密情報の漏えい兆候が見られた場合は、早期に証拠保全を行います。端末・サーバーのログ、メール、アクセス記録、契約資料、関係者の説明を時系列で整理し、必要に応じて専門家によるデジタルフォレンジックや信用調査を活用します。平時から取引先を含む訓練と連絡網の整備を進めることが、被害の拡大防止と事業継続につながります。