中小企業が標的にされているサプライチェーン攻撃とは

サプライチェーンとは、商品や製品、サービスが消費者に届くまでの過程における「供給の連鎖」のことを指します。例えば、何かしら物を作って販売する場合、まず原材料や部品を調達して商品を製造し、店舗に商品を配送後、お客様へ販売といった流れになるかと思います。この一連の流れがサプライチェーンと呼ばれています。

この連鎖のなかで、様々な企業が関わることになります。仕入先やメーカー、物流業者、卸売業者、小売業者が思い浮かぶかと思います。このどれか1つの企業がサイバー攻撃の被害に遭ってしまうとビジネスが停止してしまう可能性が高く、このような攻撃手法をサプライチェーン攻撃と呼ばれています。

2022年3月1日に報道された某自動車メーカーの全工場停止は記憶に新しいかと思います。工場稼働を停止した背景は部品の仕入れ先企業のサーバーがマルウェア感染したことにあります。安全を確保するために、社内の全サーバーを停止して、外部とのネットワークも遮断。停止したサーバーの中には、部品の受発注処理をする基幹システムも含まれるため自動車メーカーへ部品を納入出来ず、車の製造が出来ないため工場を停止するに至りました。その後の報道でランサムウェアへの感染が原因とされています。今回の感染によって、国内に14拠点ある全ての工場を停止することになり、およそ1万3000台の生産に影響が出ました。また、国内全工場の停止は前例がないものとなっています。こうした事件を受けて、政府からはサイバーセキュリティ対策の強化について注意喚起もしています。

今回の事件は氷山の一角であり、サプライチェーン攻撃被害は拡大しています。2022年1月に独立行政法人 情報処理推進機構（IPA）が発表した「情報セキュリティ10大脅威2022」によれば「サプライチェーンの弱点を悪用した攻撃」は3位にランクインしています。（1位はランサムウェアによる被害、2位は標的型攻撃による機密情報の窃取）

出典：「IPA 情報セキュリティ10大脅威 2022」を元に弊社で作成

なぜここまで被害が拡大しているのか。それは主な攻撃対象を中堅・中小企業に絞っていることが原因かと思われます。サイバー攻撃の標的は、個人情報などを多く所有している大企業や政府機関が狙われることが多いです。しかし、大企業の多くはセキュリティ対策がしっかり行われており、容易に攻撃は成功しません。そのため標的である大企業の関連会社や取引先の中からセキュリティが緩い企業を探して攻撃します。例えば、関連会社のPCをマルウェア感染させて乗っ取り、それを足掛かりにして本命の大企業へとサイバー攻撃を仕掛けて情報を抜き取るといった方法が考えられます。

将来的にはセキュリティ対策が不十分で、リスクマネジメントをしていない中堅・中小企業は、大企業との取引が出来なくなってしまう可能性もあるかもしれません。今後は会社規模に関わらず、セキュリティ対策を行っていく必要があります。