サプライチェーン攻撃の事例

サプライチェーン攻撃によるセキュリティインシデントのパターンは「インターネット × 不正アクセス」「ITソリューション × 人的ミス」「ITソリューション × 内部不正」の大きく3つに分けられます。
「インターネット × 不正アクセス」はシステムの脆弱性を狙った標的型攻撃やマルウェア感染などで企業の機密情報や個人情報窃取を狙ったもので、システムの脆弱性に向けた直接的な攻撃により不正侵入をすることです。「ITソリューション × 人的ミス」は標的型攻撃メールなどで企業の従業員の人的ミスを誘った攻撃により会社の重要情報を盗み取ることを目的としたもので、間接的にシステム不正侵入のための情報窃取を狙ったものです。「ITソリューション × 内部不正」は企業の従業員、グループ会社の従業員、業務委託をしている関係者などが実行するため、業務アカウントを悪用し企業の重要情報や顧客の個人情報を盗み取り情報漏えい事故が発生します。
それぞれのセキュリティインシデントのパターンと合わせて実際に起ってしまった事故を例に詳しく見ていきましょう。

世界中で起こっているソフトウェアに由来した攻撃

インターネット × 不正アクセス

予め特定のターゲットを絞るのではなく、正規のフリーソフトウェアにマルウェアを忍ばせておき、そのソフトウェアをインストールする際にパソコンがマルウェアに感染させてしまうという不特定多数のユーザに向けた無差別な犯行です。企業の従業員がインストールをすれば会社の顧客情報や個人情報、営業秘密情報を盗み取れる可能性があることを目的としています。マルウェアは放っておくと会社のサーバに保管しているファイルに感染させて社内システムを乗っ取ることも可能です。乗っ取られたシステムは外部のC2サーバにマルウェアによる不正通信で情報を送り込んで会社内部の情報を自動的に盗み取ることも可能です。

プロスポーツのファンクラブ会員を狙ったサイバー攻撃

インターネット × 不正アクセス

Webアプリケーションの脆弱性を狙った攻撃による不正アクセスでデータベースサーバに保管されている個人情報を盗み取る犯行です。Apache Struts2とはWebアプリケーションを開発するためのソフトウェアフレームワークで国内のWebサイトでも多く利用されているものです。公開されていた脆弱性を狙いシステムに不正侵入が可能だったことからWebアプリケーションの脆弱性対策をしていなかったことが原因でした。

通信販売用サイトを狙ったサイバー攻撃

インターネット × 不正アクセス

Y社が開発、保守を行っているECサイトの脆弱性を狙った標的型攻撃による顧客情報漏えい事故です。SQLとはデータベース管理システムにおいてデータを検索したり更新する場合に利用される言語のことで、SQLインジェクションとはSQLを悪用したものでありデータベースとWebアプリケーションが連動したECサイトのようなWebサイトにある手法です。脆弱性を放置しておくと個人情報などが盗み出されたり、Webサイトが改ざんされたりします。結果的にX社の資産である顧客の個人情報が漏えいしてしまったため、Y社はX社より損害賠償請求を受けることになりました。

防衛産業・セキュリティ企業を狙ったサイバー攻撃

ITソリューション × 人的ミス

米国トップレベルの武器製造・軍事サービスを誇り強固なセキュリティ技術を持っている大企業ですが、最終的にはシステムの不正侵入を許してしまった世界的に有名な事故です。攻撃者は綿密な計画により犯行に及んだと言われており、事前に十分な調査のもと戦略的な多段攻撃を仕掛けていました。「RSA SecurID」とは防衛産業の軍需関連情報を保有しているロッキード・マーティン社のシステムに入るためのアカウント情報が入っており、それを利用することでシステムへの侵入が可能となります。「RSA SecurID」の情報を持っているEMC社の人的ミスを誘った標的型攻撃メールによる犯行により「RSA SecurID」の情報窃取が実現できました。

グループ企業における内部不正

ITソリューション × 内部不正

業務委託していた大手学習塾グループ会社以外の関係者の犯行による顧客情報漏えい事故です。大手学習塾グループ会社が事故に気がついたのはサービスを利用している顧客からの苦情によるもので、登録していないパソコンソフトウェア販売業者からDM（ダイレクトメール）が届くようになり不審に思った為、お問い合わせをしたところ内部調査を実施し発覚した経緯があります。

サプライチェーン攻撃の手口

サプライチェーンを一連の流れで考えて全体効率化をはかるには、そこに必ずITシステムが存在します。サーバやネットワークなどのインフラや、メールや様々なアプリケーションなどによって情報の伝達や連携がはかられています。サプライチェーンに対するサイバー攻撃のリスクはここにあり、攻撃者はシステムの脆弱性などの穴をみつけて侵入し、最終的に攻撃対象とする企業や団体にたどり着き、個人情報など重要な情報の詐取などを行います。

インターネット経由で販売の役割をするECサイト運営会社を例にして考察

例えばECサイト運営会社で考えてみましょう。サイバー攻撃によってクレジットカード情報、住所や名前の個人情報の漏えいからポイント不正利用や個人情報リストを転売する事故が起こってしまった場合、実際問題として一時的なサイトの閉鎖を余儀なくされ売上の減少につながるだけでなく、社会的に信用を失い、ブランドイメージは失墜してしまいます。ECサイトそのものがセキュリティ対策をしっかりとしていたとしても、複雑に構成されたシステムやサプライチェーンのなかに一つでも穴があれば、そこからすべてが崩れ去るというリスクをかかえています。
もちろんECサイトそのものは、個人情報を扱うとともに、クレジットカード等による決済がおこなわれるため、万全のセキュリティ対策を施す必要があります。新規にWebサイトを構築したときはもちろん、定期的にWebサイトの脆弱性診断を行うことで、セキュリティの入り口対策をし、攻撃者からの悪意ある攻撃や情報漏えい事故などのリスクを未然に防がなければなりません。定期的なツール診断の実施が有効ですが、大量の個人情報を取り扱っているECサイトでは、実際にユーザがアクセスする場合と同じ環境で、ツール診断ではカバーしきれないセッション管理系の手動診断も合わせて実施することが求められます。

Webアプリケーションへの攻撃

ECサイトのデータベースを狙った攻撃による個人情報窃取（SQLインジェクション）

SQL（Structured Query Language）とは、データベース管理システム(DBMS)においてデータを検索したり更新する場合に利用される言語のことで、SQLインジェクションとは、データベースと連動したWebアプリケーションへの攻撃手法です。脆弱性のひとつであり、これが悪用されるとデータベースにある個人情報などが盗み出されたり、改ざんされたりします。

セッションハイジャックによる攻撃者がユーザのなりすまし（クロスサイトスクリプティング）

クロスサイトスクリプティング(XSS)とは、ユーザが入力した情報を表示するようなWebアプリケーションの脆弱性を利用した攻撃手法です。脆弱性のあるサイトにスクリプトが埋め込まれるところから攻撃が始まり、掲示板サイトやTwitterのような、ユーザからの入力内容をWebページに表示するWebアプリケーション（「インタラクティブ（相互作用、双方向）」サイト）において、Webサイトの脆弱性を利用した攻撃手法を指します。攻撃者は入力内容に、スクリプト付のリンクを貼ることや対象となるページにアクセスするとスクリプトが動作する等の罠を仕掛けます。被害者となるユーザが誤って罠を実行する（リンクをクリックすることやページにアクセスする等）と、セキュリティ的に問題のある別のウェブサイト（クロスサイト）に対し、脆弱性を利用した悪意を持った実行内容（スクリプト）が含まれた通信が実行されます。その結果、偽ページに誘導され個人情報などの重要情報の入力を促すフォームが立ち上がったりする場合があります。またCookie（ブラウザから取得できるユーザのコンピュータ上の情報）を取得する作りとなっている場合があり悪意のあるスクリプトが実行されると個人情報の窃取やマルウェア感染によるユーザのセッションハイジャックで、なりすましに利用されてしまう被害も発生してしまいます。

サイト不正改ざんによるクレジットカード情報の詐取（クロスサイトリクエストフォージェリ）

クロスサイトリクエストフォージェリ(CSRF)とは、Webアプリケーションに存在する脆弱性によって、会員サイトなどにログインした利用者がフォームなどに書き込みをした場合、本来の目的とは違う処理が行われる攻撃手法です。偽サイトに誘導させる悪意のあるスクリプトを正規のサイトに埋め込み、偽サイトに誘導させ、そのフォームにクレジットカードの情報を入れると犯罪者が情報詐取する手法です。

サーバへの攻撃

攻撃目標であるサーバに対して大量のデータを送り付ける攻撃（DoS攻撃）

DoS攻撃とは、Denial of Service Attackのことで、Webサーバに対して、大量なデータを送りつけることで、高負荷に耐えられずサイトをダウンさせることを目的にした攻撃です。古典的なものにF5アタックと呼ばれるものがあります。F5を押すことでhttpリクエストを要求できるため攻撃対象に大きな負荷をかけ、アプリケーションそのものをダウンさせることできます。

サーバの脆弱性をついた侵入により間接的に本来のターゲットを攻撃（DDoS攻撃）

DDoS攻撃とは、Distributed Denial of Service attackのことで、DoS攻撃との違いはトロイの木馬などのマルウェアを使って複数のマシンを乗っ取ったうえで、攻撃をしかけることで、DoS攻撃よりもさらに大きな負荷をかけることができます。また攻撃者は踏み台にされているだけで意図しているわけでなく、また対象が分散しているので、攻撃者の特定は難しくなります。

攻撃者によるリモートハッキング（不正侵入）

攻撃者は攻撃目標の選定、偵察などを計画を練り、攻撃用サーバや攻撃メールを準備します。図を見て順を追って行くと、①の標的型メール送付でシステム内の機器に対してマルウェア感染をさせます。メールを開封したりメール内のリンクをクリックすることでパソコンがウイルス感染をし攻撃者が②のバックドアという見えない仕掛けをつくります。バックドアを手がかりにパソコンの端末情報やネットワーク構成把握をし③内部調査潜入で、サーバ不正ログインや管理サーバ乗っ取りで他端末への攻撃範囲拡大をしていきます。攻撃用サーバと不正通信をすることで、ID、パスワードがあるアカウント情報や顧客情報などの④情報搾取を行います。

スマートフォンアプリへの攻撃

アプリのプログラムを解読し偽造したコピーアプリを配布（リバースエンジニアリングによる不正改ざん）

モバイルアプリは、小売、銀行、旅行、ファーストフードなど様々な業種で利用が広がっています。特に昨今はモバイル端末を使ったキャッシュレス決済が注目を集めています。モバイルデバイスの利用用途が拡大し、個人情報や現金同様の支払い機能を有することによって、サイバー犯罪の対象としてハッキングの脅威は高まり、モバイルアプリに絡んだ不正利用や不正アプリによる被害が増加し続けています。リバースエンジニアリングとは、ソフトウェアやアプリの構造や仕組みを分析して明らかにすることですが、これを悪用して偽造アプリなどを作成したり、脆弱性を悪用したりする犯罪が近年多発しています。

標的型攻撃

大企業の場合は対策が手薄な中小企業を攻撃し侵入（標的型攻撃メール）

標的型攻撃とは、機密情報を盗み取るなどの明確な目的をもってターゲットを絞り、特定の個人や組織を狙った攻撃です。情報漏えいの最大の脅威は、標的型攻撃メールによる情報流出であり、被害の件数、流出する個人情報も増加しています。標的型攻撃メールとは、企業や官公庁など、特定の組織に対して、メールやWebサイトを利用してPCをウイルス感染させて、遠隔操作によって、組織内のサーバにアクセスして企業情報や個人情報を盗み取る攻撃です。標的型攻撃メールは同一企業、組織内の複数名に送付され、そのなかの一人でも開封すれば情報窃取につながる可能性があり、情報漏えいのリスクを低減させるためには、大企業から中小企業までサプライチェーンのなかで人的対策をとる必要があります。

サプライチェーン攻撃の対策方法

サプライチェーン攻撃のあらゆる手口から守るためには、攻撃の対象となる部分に着目をしセキュリティ対策を実施する必要があります。それぞれ対象となる箇所のWebアプリケーション対策、サーバ対策、スマートフォンアプリ対策、人的対策の4つに分けて見ていきましょう。

Webアプリケーションのセキュリティ対策

「Webアプリケーション脆弱性診断」「脆弱性手動診断サービス」は脆弱性を洗い出し対策を実施することでリスクを未然に回避することが出来ます。「Web改ざん検知」は万が一、改ざんが発見された場合はメンテナンス画面に切り替わりWebサイトやWebアプリケーションが長時間、危険な状態になることを防止できます。

ユースケース（Webアプリケーション脆弱性診断）

当社で提供する脆弱性診断の具体例の一部で、様々なWebサイト／Webアプリケーションのタイプやシステム構成に分けて考え実施します。

サーバのセキュリティ対策

「ペネトレーションテスト」ではシステム全体の観点で不正侵入の可能性がある弱点を把握を把握するために、あらゆる技術を用いて疑似攻撃を行い、万が一不正侵入をされた場合でも実地訓練を行うことで不正侵入後の対処を知るために人的対策まで行います。またペネトレーションテストは様々な攻撃を想定したユースケースで仮説（シナリオ）を作成し実施するため具体的なテスト内容の結果をもとに対策を実施することができます。システム内に潜む脆弱性や弱点があると分かった段階で「プラットフォーム脆弱性診断」でサーバOSなどのプラットフォーム層に潜む脆弱性を洗い出し、レポートをもとに脆弱性の対策を実施することでリスクを未然に回避することができます。また「Webアプリケーションファイアウォール」はインターネット上の「盾」となり、外部からのサーバへの攻撃を防御をし継続的なセキュリティ対策が実施できます。

ユースケース（ペネトレーションテスト）

当社で提供するペネトレーションテストの具体例の一部で、様々なシナリオを元に実践的なテストを実施します。

スマートフォンアプリのセキュリティ対策

「モバイルアプリ向け脆弱性診断サービス」「モバイルアプリ向け脆弱性手動診断サービス」はスマートフォンアプリの脆弱性を洗い出し対策を実施することで、ハッキングからの不正利用や個人情報漏えいのリスクを未然に防止することが出来ます。「次世代型モバイルアプリ保護サービス」はソースコードの難読化やバイナリ暗号化を行うことで、リバースエンジニアリングによる不正改ざんを防止し継続的なセキュリティ対策を実施することが出来ます。

ユースケース

当社で提供するモバイルアプリ向け脆弱性手動診断サービスや次世代型モバイル保護サービスの具体例の一部で、様々な攻撃手法に分けて考え実施します。

標的型攻撃対策（人的対策）

「標的型攻撃メール訓練サービス」は悪意のある迷惑メール（スパムメール）を誤って開封し添付ファイルを開いたり、メール内のリンクを踏んでしまい、パソコンやスマートフォンがウイルスに感染してしまうことを事前に防止するために、メール訓練によって従業員のセキュリティに対しての意識を高める訓練を実施することが出来ます。