サイバー犯罪者がサプライチェーンパートナーを悪用して攻撃を仕掛ける手口

その本質上、サプライチェーンは人と組織の協働パートナーシップを必要とする。これは共通目標の達成と成長を促進するが、同時に多くの問題を孕んでいる。

この共生関係を通じて、企業は知らぬ間に自社ビジネスの機微な側面をさらけ出している。しかし、この見過ごされがちな弱点が、サイバー犯罪者に標的組織への足がかりを与えてきた。

こうした攻撃の蔓延を裏付けるように、OpusとPonemon Instituteの研究では、少なくとも59%の組織がサードパーティ企業を経由したサイバー攻撃を受けたと報告している。さらに衝撃的なのは、調査対象組織のわずか16%しか、サードパーティからのサイバーセキュリティリスクを効果的に軽減できていると答えていないことだ。

自社をこうしたリスクから守る第一歩は、リスクを特定することだ。以下に、悪意あるアクターがサプライチェーンパートナーを通じて攻撃を仕掛けるいくつかの手口を、実例と共に示す。

ほぼすべての組織が外部のハードウェアとソフトウェアを利用している。ゼロから技術を構築したがる組織は少ない。オープンソース分野のブームにより、ほぼあらゆるビジネス運営面でアウトソーシングの大波が押し寄せている。

その利便性の裏には、相当なリスクが潜む。2018年の悪名高いEquifax情報漏洩は、オンラインデータベースを運営するソフトウェアの欠陥に起因した。Equifaxはまた、自社サイト上の悪意あるダウンロードリンク（別ベンダー由来）も原因だと主張した。

これらサプライチェーンの弱点の結果、犯罪者は少なくとも1億4,300万人の個人データを入手した。

多くの企業が、適切なセキュリティ対策なしにインターネット接続されたHVAC（空調）システムを使用している。これらはハッカーにとって企業システムへの潜在的なゲートウェイとなり得る。2014年の大規模なTarget情報漏洩がその例だ。

ハッカーはTargetのHVACシステムを提供する会社のログイン認証情報を入手。ログインし、決済システムに侵入し、推定7,000万人分の情報を窃取した。氏名、住所、メールアドレス、電話番号など機微なデータが含まれていた。

もう一つのリスク源は、企業の機密データを預かるクラウドサービスプロバイダだ。確かにこうした事業者はシステムセキュリティに多額投資しており、評判がかかっている。

しかし、他の組織システムと同様、これらも侵害される可能性がある。2018年の「パラダイス文書」流出がその例だ。約1,340万件の機密ファイルが流出し、世界中のグローバル企業と超富裕層の金融取引が暴露された。うち約半分、680万件はオフショア法律事務所Applebyからのものだった。

2018年夏にも類似のインシデントが発生した。Deep Root Analyticsが約2億人の有権者個人データを流出させた。同社は共和党・民主党両方が利用するマーケティング会社だ。原因は、データを誤って公開アクセス可能なサーバーに置いてしまったことだ。

これは従業員約50人の比較的小規模な会社だが、同様のインシデントは大規模組織でも起きている。Verizonの情報漏洩では、Nice Systemsが600万件の顧客記録を公開のAmazon S3ストレージサーバーに置いていた。記録は6か月分のカスタマーサービス通話ログで、個人情報とアカウント情報が含まれていた。Nice Systemsは3,500人超の従業員を抱える。

従業員25万人超のDeloitteも同様のデータ漏洩を経験している。2018年9月、ハッカーが一部ブルチップ顧客の機密計画とメールにアクセスした。この場合の抜け穴は、管理アカウントの一つにおける弱いアクセス制御だった。

大企業では社内セキュリティが鉄壁でも、ベンダーのITシステムがそうとは限らない。それが昨秋、オーストラリアのDomino's Pizzaで起きたようだ。当時の報道によれば、元サプライヤーの脆弱なサイバーセキュリティシステムが原因だった。顧客名とメールアドレスが漏洩し、影響を受けた顧客がパーソナライズされたスパムメールを受信し始めて発覚した。Domino'sは「個人データへの悪意あるハッキングはなく、自社システムに責任はない」と主張したが、ダメージはすでに生じていた。

サイバー犯罪者が悪用し得るもう一つの抜け穴は、IoT（モノのインターネット）センサーだ。多くの事業者はコンピュータ、電話、ネットワークのセキュリティリスクに警戒している。しかしIoTデバイスはしばしば見過ごされ、攻撃者が企業システムへ飛び込む足がかりとなり得る。

これらのデバイスには通信目的でインターネットに接続するセンサーが搭載されている。サプライチェーンで一般的で、機械故障予測や在庫管理などを支援する。機能的価値がある一方で、人気の攻撃ベクトルであり、機密データアクセス、サボタージュ、ボットネット攻撃を可能にする。

こうした攻撃の例として、Miraiと呼ばれるボットネットがDynを侵害したケースがある。DynはReddit、Netflix、Githubなどにドメイン名サービスを提供している。MiraiはIoT特化型ボットネットで、DDoS（分散型サービス妨害）攻撃を実行するよう設計されている。

以上の例は、攻撃者があなたのサプライチェーンの弱いリンクを使ってシステムへアクセスできることを裏付けている。残念ながら、サプライチェーンパートナーが実装するセキュリティ対策を直接コントロールすることはできない。しかし結局のところ、顧客は「どう侵害されたか」には関心がない。ただ「データが安全か」を知りたいだけだ。そしてこれは、確実なセキュリティを確保する責任があなたの手にあることを意味する。

サードパーティのセキュリティシステムとプライバシーポリシーのデューデリジェンス（適切な調査・評価）は不可欠だ。見てきた通り、大小問わず組織がこれらの手口の餌食になる。パートナーの規模に関わらず、セキュリティへの取り組み姿勢を評価することが肝要だ。

自社の弱点がどこにあるかを特定し、すべての抜け穴を塞ぐことを最優先課題とせよ。

Olivia Scott氏はVPNpro.comのマーケティングマネージャー。