本報告書によると、サプライチェーン攻撃の半数以上が、サイバーセキュリティーの分野ではよく知られた攻撃者や、特定の組織に狙いを定めてさまざまな手段を駆使して侵入を試みるグループによるものだという。つまり愉快犯のようなものではなく、目的がはっきりしているプロの仕事が多いということも、他のサイバー攻撃とは異なる特徴とも言える。

図1はサプライチェーン攻撃の典型的な事例の一つである。攻撃者（ATTACKER）はSolarWinds社のネットワークに侵入し、同社が開発し、販売しているOrionというネットワーク管理システムのプログラムにマルウエア（注4）を紛れ込ませることに成功した。顧客がSolarWinds社のサイトからOrionのアップデート用ファイルをダウンロードし、それを自社で運用しているOrionに適用した時に、攻撃者が紛れ込ませたマルウエアが顧客のシステムに組み込まれた。攻撃者はそれを使って顧客から情報を盗み出している。

画像を拡大 図1. サプライチェーン攻撃の例（出典：ENISA / Threat Landscape for Supply Chain Attacks）

この事例に関して、攻撃者がサプライヤーに侵入する時に用いられた手法については、「ゼロデイ脆弱性の悪用、またはブルートフォース攻撃（注5）、またはソーシャル・エンジニアリング（注6）かも知れない」と記述されている。つまり、どのような手口で侵入されたか分かっていないのである。

これもサプライチェーン攻撃の実態を端的に表わしているといえる。本報告書によると、侵入されたサプライヤーのうち、用いられた攻撃手法が分からない事例が66％を占めるという。これとは対象的に、侵入された顧客のうち攻撃手法が分からないのは9％未満である。これは顧客側に比べてサプライヤー側で、侵入を検知したり、侵入されたことを調査・報告するための仕組みや体制が不十分であることの現れと考えられており、本報告書ではこのようなギャップが問題視されている。つまり攻撃者はこのようなギャップに目を付けて、脇の甘いサプライヤーを狙って攻撃を仕掛けてくるのである。

筆者が見聞きする範囲でも、一般的な知名度の低い企業などの方々の中には、サイバー攻撃に関して「ウチのような無名な弱小企業は狙われないだろう」と認識されている方が少なくないが、このような形で踏み台にされるリスクが、むしろ最近高まってきていることを踏まえて、対策状況を見直す必要があろう。