サプライチェーン攻撃事例　2022年から2023年の最新事例と対策を紹介（vol.15）

サプライチェーンへのサイバー攻撃が、2022年から2023年にかけて増えています。なぜ製造業や医療サービス等のサプライチェーン企業が狙われているのでしょう？そしてサプライチェーン攻撃とはどんなもので、サプライチェーン攻撃を受けてしまった時の影響とは、どのような被害範囲になるのでしょう？そこでサプライチェーン攻撃の最新事例をご紹介し、攻撃パターンや対策をご紹介していきます。サプライチェーン攻撃は大手企業ではなく、実は中小企業が狙われているのです。

サプライチェーンとは？

サプライチェーンとは、商品や製品・サービスが消費者や企業に届くまでの一連の流れのことを言います。もっと具体的なイメージで言うと調達、製造・生産、在庫、配送・物流、販売、サービス、消費といった役割や作業によって、モノが作られて消費者のもとに運ばれるまで大きなサイクルです。これがサプライチェーンです。

つまり、商品や製品・サービスが消費者や企業に届くまでには、数多くの生産者、商流、サービスが関与するのです。たくさんの企業が支え合って商品や製品・サービスが完成しており、消費者や企業は利用できているということです。

サプライチェーン攻撃とは？

このような数多くの企業で構成されるサプライチェーンを狙ったサイバー攻撃が増えています。サプライチェーンを狙ったサイバー攻撃には様々な種類がありますが、最も多いのがランサムウェアです。

ランサムウェアを使って‘１企業’に対する攻撃とは、次のようなものが一般的です。例えばインターネットから侵入したコンピューターウイルスをパソコンに感染させ、社内のネットワークを停止させます。ファイルを暗号化する手口によって、社内システムを使用不能にし、攻撃者は企業に対し、元の状態に戻したければ「身代金」を要求します。

ランサムウェアを使った‘1企業’に対する攻撃であれば、1企業内のサイバー攻撃への対応となります。しかし、ランサムウェアでサプライチェーンを狙ったサイバー攻撃の対応は違ってきます。なぜ対応が違ってくるかというと、サプライチェーンでつながった企業全体に大きな影響が出てくるからです。サイバー攻撃への対応範囲が大きくなるのです。

背景にはサプライチェーン企業、グループ企業、親会社と子会社は、ネットワークで企業同士のシステムがつながっているという実態があります。調達、製造・生産、在庫、配送・物流、販売、サービスという作業が、ほぼすべてつながっています。もちろんサプライチェーンのネットワークは強固なセキュリティ対策をしており、企業間でもネットワーク接続のセグメント（階層や深さ）は違います。

しかし、ランサムウェアでサプライチェーンを狙ったサイバー攻撃は、サプライチェーンでつながっている企業間のシステムやネットワークの弱点を突いてきます。つまり、パソコンやネットワークのセキュリティ対策が甘く、リモート接続機器に脆弱性があるサプライチェーン企業を、攻撃者は狙っているのです。これが一般的に、サプライチェーン攻撃と呼ばれています（以下、サプライチェーン攻撃）。では企業に及ぼすサプライチェーン攻撃の影響はどのようなものがあるのでしょうか。

サプライチェーン攻撃の影響とは？　中小も大手企業も増加している理由

パソコンやネットワークのセキュリティ対策が甘く、リモート接続機器に脆弱性があるサプライチェーン企業が、サプライチェーン攻撃を受けると、どのような影響があるのでしょうか。大きく２つの視点でサプライチェーン攻撃の影響を考えるとわかりやすいと思います。

【サプライチェーン攻撃の影響】

１）1企業への攻撃から、サプライチェーン企業間のネットワークへ広がる影響

サプライチェーンの1企業（例：中小企業）が攻撃を受け、サプライチェーン間のネットワークから大手企業の社内システムを使用不能させるケース。サプライチェーンの1企業のセキュリティ対策の甘さや、サプライチェーン間のネットワークの脆弱性を狙った攻撃と言えます。

２）1企業への攻撃から、サプライチェーンの機能が停止した影響

サプライチェーンの1企業（例：中小企業）が攻撃を受け、サプライチェーンの1企業としての機能が停止し、商品や製品が生産できないケース。サプライチェーンの1企業のセキュリティ対策の甘さや脆弱性を狙った攻撃と言えます。

サプライチェーン攻撃を受けると、サプライチェーン全体に対し、このような大きな影響があるのです。サプライチェーン攻撃の特徴は「セキュリティ対策が強固な大手企業を狙うよりも、セキュリティ対策が甘い中小企業を狙い、サプライチェーン機能の停止から、身代金を獲る」ということです。

つまり「ウチのような中小企業は狙われない」「中小企業は攻撃者から獲られるデータも少ない」という考えを改めなければなりません。攻撃者はセキュリティ対策ができていない中小企業から、サプライチェーンのひとつである大手企業を狙うという方法に、攻撃パターンを切り替えてきているとも言えるでしょう。このような理由でサプライチェーン攻撃が中小企業も大手企業も増加しているのです。

図１にある通り、警視庁が発表している2022年のランサムウェアによるサイバー攻撃は、中小企業が増えていることがわかります。

図１図1

2022年のランサムウェアによるサイバー攻撃は、中小企業が大手企業より多く、全体の半分以上を占めています。ではサプライチェーン攻撃の具体的な事例とはどのようなものがあるのでしょうか？

2022年の最新事例１）部品サプライチェーン企業から攻撃

トヨタ自動車の部品をつくるサプライチェーン企業がサイバー攻撃を受け、部品供給を管理するシステムが影響を受けました。トヨタ自動車は2022年３月1日に国内全工場（14工場28ライン）の稼働を停止すると発表し、サプライチェーン攻撃による点検や対策を行いました。

サプライチェーン企業の本社ではなく、子会社のリモート接続機器の脆弱性を突かれ、ネットワークに侵入されたのが原因です。パソコンやサーバーに攻撃被害があり、データが暗号化され、システムが停止しました。そしてサプライチェーン企業としての機能：部品が出荷できなくなり、トヨタ自動車という世界最大の製造業のサプライチェーンが停止したのです。

2023年の最新事例２）給食を提供するサプライチェーン企業から攻撃

ランサムウェアとみられるサイバー攻撃でシステム障害が起き、大阪急性期・総合医療センター（病床数800超え）の医療サービスが約2ケ月も停止しました。電子カルテのデータが暗号化されただけでなく、病院システム全体に影響があり、2023年になりやっと復旧できました。サプライチェーン攻撃事例として、復旧までにかなりの時間のかかったケースでした。

給食を委託する給食サプライチェーン企業経由で病院システムに侵入されたのが原因でした。このケースも給食サプライチェーン企業のリモート接続機器の脆弱性を突かれ、ネットワークに侵入された事例と考えられます。

病院への給食は単なるお弁当を届けるだけでありません。患者様のアレルギー対応や健康状態に配慮した食事を提供するために、きめ細かなレシピ等のデータベースと連携しています。密接に病院と接続する給食システムの、ネットワークの脆弱性から攻撃された事例です。

サプライチェーン企業へのリモート接続装置の攻撃パターン

一般的なリモートアクセスを行うリモート接続装置の脆弱性を突くケースの攻撃パターンは、以下の手口と言われています。

【サプライチェーン企業へのリモート接続装置の攻撃パターン　例】

  1. まず攻撃者がリモート接続装置の脆弱性を突き、ID・パスワードを盗む
  2. 盗んだID・パスワードから正規の権限で社内ネットワークに侵入する
  3. そして正規の権限でサプライチェーンネットワークに侵入する
  4. 攻撃可能なパソコンやサーバーを特定し、何かしらの方法でパソコンやサーバーに不正アクセスする
  5. 又はシステム管理者として、ランサムウェアをパソコン端末に展開する

このように攻撃者はターゲットとしているサプライチェーン企業のシステムと連携しているサプライヤーへ、何かしらの方法を用いて不正アクセスを行い、身代金を要求しようとしているのです。サプライチェーンのための連携用システムやネットワーク接続後、他システムへ様々な手法を用いて侵入しランサムウェアを展開していく攻撃パターンには注意が必要です。

ではサプライチェーン攻撃に、何か良い対策はないのでしょうか？実は意外に知られていない、サプライチェーン攻撃の対策方法があるのです。

意外に知られていない、サプライチェーン攻撃の対策方法

サプライチェーン攻撃にはリモート接続機器の脆弱性を狙い、ランサムウェアを展開してくる攻撃パターンだけでなく、「Emotet」（エモテット）と呼ばれるメールで攻撃してくるパターンもあります。Emotetはウイルスで感染を狙うマルウェアであり、ランサムウェアのひとつです。

攻撃者はEmotetのような手口で添付ファイルを開かせようします。アンチウィルス（AV）で対策をしていたとしても、ファイルを開けば感染し、ランサムウェアとなるリスクがあります。

つまり、企業はリモート接続機器の脆弱性対策や、ウイルス感染対策などの数多くのセキュリティ対策をしなくてはなりません。このような対策を多層防御と言います。しかし、いくらセキュリティ対策をしても、Emotetのようなにすり抜けて感染してしまうランサムウェアがあり、ネットワーク対策は万全にできるとは言えません。

ただし、企業はサプライチェーン攻撃の脅威から企業を守らなければなりません。では、サプライチェーン攻撃を受け、ランサムウェアが発症したとしても、被害に合わないソリューションはないのでしょうか？ランサムウェア対策ができるソリューションがひとつあります。「侵入・感染させない」から、「発症させない」へ、をコンセプトにしたランサムウェア対策ソリューション「AppGuard（アップガード）」です。

アンチウイルス製品は検知型であり既知のマルウェアに対応しますが、AppGuardは防御型のソリューションです。具体的にはOS環境、プロセス、フォルダ、ファイル、メモリ、設定値等のOS環境そのものを守るエンドポイントソリューションです。万が一、サプライチェーン攻撃を受け、ランサムウェアに感染しても、クライアントやOS環境を防御します。ランサムウェアの影響で危険なプロセスが発生しても、動作させないしくみを作れるのです。

まとめ

「サプライチェーン攻撃事例　2022年から2023年の最新事例と対策を紹介」と題して、ご紹介してまいりました。サプライチェーンとは？サプライチェーン攻撃とは？サプライチェーン攻撃の影響とは？の意味がご理解いただけたと思います。

サプライチェーン攻撃は大手企業ではなく、中小企業が増加している理由もわかったと思います。製造業や病院サービスのサプライチェーン攻撃事例のような大きな事故にならないよう、今から対策をしてみてはいかがでしょうか？

対策のためには意外に知られていない、サプライチェーン攻撃の対策方法である、ランサムウェア対策ソリューション「AppGuard（アップガード）」をオススメします。詳しくは下記資料をご覧ください。きっとサプライチェーン攻撃から企業を守ってくれ、サプライチェーン企業としての安定した役割や機能を提供させてくれるはずです。

ランサムウェア対策からサプライチェーン攻撃について学習できる資料、「ランサムウェア対策ソリューションAppGuard 基本ガイドブック」をご用意しています。本資料は企業のセキュリティ強化に向けて必見の資料です。ぜひダウンロードいただき、ご覧ください。

本記事は2023年3月31日の情報を基に作成しています。サプライチェーン攻撃に関する詳しいお問い合わせは、各ウェブサイトからお願いします。