サイバーセキュリティのダイナミクスを理解するには、様々な根底にある概念を理解する必要があります。その一つに、ソフトウェア・サプライチェーン攻撃という現象があります。この攻撃は、攻撃者がサプライチェーンの脆弱性を悪用して悪意のあるソフトウェアを侵入させることで、組織にとって甚大な脅威となります。このブログ記事では、実際の事例をいくつか取り上げ、ソフトウェア・サプライチェーン攻撃の複雑さと深刻さを明らかにします。
ソフトウェアサプライチェーン攻撃とは何ですか?
ソフトウェアサプライチェーン攻撃の事例を詳しく見ていく前に、ソフトウェアサプライチェーン攻撃とは何かを正確に定義することが重要です。簡単に言うと、この種のサイバー攻撃はソフトウェア開発者やサプライヤーを標的とし、機密情報へのアクセスや業務妨害を意図しています。攻撃者はソフトウェアサプライチェーンやサードパーティサービスの弱点を悪用することで、正規のソフトウェアやハードウェアを侵害し、マルウェアや悪意のあるコードに感染させます。
ソフトウェアサプライチェーン攻撃の悪評と結果
長年にわたり、ソフトウェアサプライチェーン攻撃による注目を集める事例が数多く発生し、世界中の企業に壊滅的な影響をもたらしてきました。サイバーセキュリティ企業のRisk Based Securityは、2020年に報告された脆弱性の数が過去最多となったことを明らかにしました。これは、ソフトウェアサプライチェーン攻撃の増加が一因となっています。
注目すべきソフトウェアサプライチェーン攻撃の例
SolarWinds Orion の侵害
ソフトウェアサプライチェーン攻撃の最近の最も注目すべき事例は、SolarWindsへの侵害です。2020年後半に発生したこの事件では、悪意のある攻撃者がSolarWindsのOrionソフトウェアのビルドシステムに侵入しました。彼らはソフトウェアアップデートに悪意のあるコードを挿入し、数千もの顧客システムに配布しました。この侵害により、複数の米国政府機関とフォーチュン500企業が侵害を受け、史上最悪のサイバーセキュリティインシデントの一つとなりました。
CCleaner攻撃
2017年、コンピューターから不要なファイルを削除する人気ソフトウェア「CCleaner」が、ソフトウェアサプライチェーン攻撃の被害に遭いました。ハッカーは同社のシステムに侵入し、CCleanerソフトウェアに悪意のあるコードを導入しました。その結果、200万台以上のデバイスがマルウェアに感染したアップデートをダウンロードし、機密データがサイバー犯罪者の手に渡る危険性がありました。この攻撃の後、サイバーセキュリティの状況は大きく変化し、ソフトウェアアプリケーションの定期的なアップデートとパッチ適用の重要性が改めて認識されました。
シャドウハンマー
ShadowHammerサプライチェーン攻撃は、攻撃者が悪用する可能性のある新たな手段を例示しています。2018年、犯人はASUSのLive Updateツールに侵入し、バックドアを仕掛けました。ASUSはこのツールを自社製品のアップデート配信に利用し、数千台のコンピューターが意図せずして不正なソフトウェアをダウンロード・インストールする事態に陥りました。皮肉なことに、このマルウェア感染は、サイバーセキュリティを強化するために設計されたコンポーネントでさえ、サイバー脅威の侵入経路となり得ることを実証しました。
NotPetya攻撃
以前から発生しているものの、依然として重要な例として、2017年6月に発生したNotPetya攻撃が挙げられます。当初はランサムウェアの一種として出現したNotPetyaは、後にサイバー兵器として分類されました。このマルウェアは主に、ウクライナで広く利用されていた会計ソフトウェアMEDocの侵害によって拡散しました。NotPetyaは世界中で広範囲にわたる被害をもたらし、大企業に影響を与え、100億ドルを超える損害をもたらしました。
過去の攻撃から学び、より良い防御を
これらのインシデントは、サイバー脅威が絶えず進化し、攻撃者が攻撃計画を練るための新たな手段を駆使しているという事実を改めて認識させてくれます。サプライチェーン攻撃は、信頼関係を悪用し、未検知の脆弱性を組み込むため、特に脅威となっています。これらの事例は、あらゆる規模の組織にとって、サイバーセキュリティ体制を強力かつ全社規模で継続的に監視することの重要性を改めて浮き彫りにしています。
結論は
結論として、ソフトウェア・サプライチェーン攻撃は、サイバーセキュリティの脅威に対する私たちの理解を大きく変えるものです。SolarWindsの侵害からCCleanerへの攻撃まで、これらのソフトウェア・サプライチェーン攻撃の事例は、潜在的な混乱と被害の規模を浮き彫りにしています。こうしたリスクを軽減するには、脅威ハンティング、特権アクセス管理、IDおよびアクセス管理といった強力かつ積極的な対策が不可欠です。