サプライチェーン攻撃とは
サプライチェーン攻撃とは、 不正アクセスのために目標とするターゲットを直接攻撃するのではなく、 潜在的な経路となるところを攻撃し、ターゲットへ至るような手法での攻撃を指します。 サプライチェーン攻撃に類されている攻撃方法として以下が挙げられます。
- 目標の仕入先、発注先、委託先など、セキュリティ対策の弱い関係先から攻略し、そこを足がかりに本命である目標を攻撃する方法
- 目標が使っているハードウェアやソフトウェアに、バックドアを仕込んだりマルウェアを組み込んだりする方法
前者の具体的な事例は公開情報としては少ないですが、 2017年に猛威をふるったランサムウェアであるWannaCryは、 サプライチェーンを経由して広がったと目されています。 2011年にRSA SecurityからSecure IDを盗みだし、 ロッキードマーチン社やノースロップグラマン社へ不正アクセスした事例も、 サプライチェーン攻撃とされています。
後者の例としては、無線LANルータの脆弱性を突く攻撃が知られています。 特に家庭用の無線LANルータなどでは、ユーザーに知識が無い、 もしくは既にメーカーによるサポートが終了しているなど、 アップデートされにくい傾向があります。
原材料の調達から部品化、製造、物流、販売といった一連の流れは、 複数の企業で構成されるのが普通で、サプライチェーンと呼ばれます。 そのどこかにある、セキュリティの弱い所を攻撃することから「サプライチェーン攻撃」と呼ばれています。
これらのことから、セキュリティの検討において、 サプライチェーン攻撃を想定していく必要があると言えます。 例えば、取引先企業との間で不正な通信が行われていないかをチェックする、 または製品化のために利用する製品やサービスの製造元について調査し、 リスクが無いかをチェックする、などが考えられます。
