多様化するサプライチェーン攻撃
「一口に『サプライチェーン攻撃』と言っても、昨今では複数のタイプがあり、それぞれが思い描く攻撃イメージが異なる可能性がある」と内海氏は指摘する。JPCERTコーディネーションセンターの資料を参考に、内海氏は以下の3つでサプライチェーン攻撃を整理する。
物理被害サプライチェーン攻撃
ターゲットになる企業の関連企業や取引先が直接的な攻撃を受け、部品供給などが滞るなど、物理的な被害が発生するものを指す。サプライチェーンの1次取引企業だけでなく、2次取引企業が攻撃されると部品供給が困難になる。その結果、川下のメーカーの製造中止を余儀なくされる複数の例が報告されている。2022年3月に起きたトヨタ取引先の小島プレス工業へのランサムウェア攻撃は、記憶に新しいところだ。
ソフトウェアサプライチェーン攻撃
ソフトウェアベンダーやマネージドサービスプロバイダーが提供するシステムに、マルウェアやバックドアが混入し、サービスユーザーやアプリケーション利用企業にまで被害が及ぶようなものを指す。OSSのモジュールに脆弱性があり、そこを攻撃される例が見られるようになってきた。たとえば2020年12月に起きたSolarWindsへの攻撃では、同社の製品にバックドアが混入し、18,000社の顧客が影響を受けた。
アイランドホップ攻撃
ターゲットになる企業の関連企業や取引先を複数攻撃し、いくつかの経路から段階的にターゲットへの攻撃を行う方法を指す。標的はターゲット企業が持つ重要な情報のこともあれば、その下請けの関連企業が持つ重要情報のこともある。これに該当するのが、2020年7月の米Kaseyaへの攻撃である。同社製品の脆弱性を突かれ、ランサムウェアの拡散に利用されてしまった。
このようにサプライチェーン攻撃には複数の種類があるが、「日本と海外で毛色の違いがあるように思う」と内海氏は続ける。海外ではソフトウェアサプライチェーン攻撃が中心で、攻撃テクニックにも様々なものがあるが、ターゲットになる資産がソフトウェアであるケースが多いという。具体的には、先行的に公開されているソフトウェアやライブラリーである。世の中のソフトウェアの99％がオープンソースソフトウェアのコードを利用しているとの指摘もあり、その関係でSBOM（Software Bill Of Materials：ソフトウェア部品表）を公開するべきという意見も聞かれる。
