フィッシング攻撃からサプライチェーンを守る

本記事では、当社のAPACビジネスユニットのディレクターであるタス・カルフォグルーが、サプライチェーンの脆弱性と、ドメインセキュリティの強化の必要性について解説します。

フィッシングとサプライチェーン

長年にわたり、フィッシングは最も一般的かつ成功率の高いサイバー攻撃の手法であり続けており、攻撃の90%以上が悪意のあるメールから始まっています。相互に深く結びついたビジネスエコシステムにおいて、フィッシング攻撃はサプライチェーンの脆弱性を露呈させ、大規模な混乱を招く恐れがあります。 請求書詐欺からネットワーク侵入に至るまで、サプライチェーンもまた、その最弱のリンクと同じ強さしか持ちません。サプライチェーン攻撃が増加している中、サプライチェーンを構成する組織は、フィッシング攻撃から自社のドメインを確実に保護することが極めて重要です。

サプライチェーンとは何ですか？

サプライチェーンとは、商品やサービスの生産・提供のために連携して機能する、組織、プロセス、およびリソースからなる複雑で相互に結びついたネットワークのことです。サプライチェーンは複数の段階から成り立ち、原材料の調達、製造、物流、流通、最終的な配送、販売業務など、あらゆるプロセスを含みます。

サプライチェーンは、小売、テクノロジー、医療、製造といったさまざまな業界にまたがっており、世界的な商取引において不可欠な要素となっています。

サプライチェーン、すなわち「取引先となる人々や企業」のセキュリティを確保することは極めて重要です。なぜなら、組織のセキュリティの強度は、その最も弱い部分によって決まるからです。サプライヤー、ベンダー、またはパートナーのセキュリティが侵害された場合、そのリスクは自社にも波及し、財務面、業務面、そして評判において損害を被る可能性があります。

組織が自社のセキュリティ体制の強化に注力する際、外部からのリスクが持ち込まれないよう、サプライヤーやベンダー、さらにはサプライチェーンにも目を向けることが重要になります。

従来のサプライチェーンとソフトウェア・サプライチェーン

従来のサプライチェーンが、原材料から完成品に至るまでの物理的な製品の移動を指すのに対し、ソフトウェア・サプライチェーンは、ソフトウェアの開発、配布、および導入を意味します。このプロセスでは、脆弱性や悪意のあるコードの注入のリスクが高いサードパーティ製コード、オープンソース・ライブラリ、クラウドサービスが頻繁に利用されます。

ソフトウェアのサプライチェーンは、組織内で見落とされがちな点であるため、特に重視する必要があります。サプライチェーンのリスク評価を行う際には、組織が利用しているソフトウェアベンダーを考慮することが重要です。

サプライチェーンの攻撃対象領域

ここでは、悪意のある攻撃者がサードパーティのサプライヤーやベンダーの脆弱性を調査・発見し、標的のネットワークに侵入する、いわゆる従来のサプライチェーン攻撃に焦点を当てます。彼らは、そのサードパーティの脆弱性を悪用して、標的のネットワークやデジタル資産へのアクセス権を獲得します。

サプライヤー、パートナー、ベンダーの数や取引が増えるにつれ、攻撃の侵入経路となる可能性も高まります。多数の標的を同時に攻撃できるため、サプライチェーンは犯罪者にとって魅力的な標的となっています。

サプライチェーン攻撃の侵入経路

サプライヤー

サプライヤーは組織に商品やサービスを提供しており、他の第三者ベンダーと同様、取引先企業の攻撃の入り口となり得ます。特に頻繁に見られる手口が請求書詐欺です。この手口では、サプライヤーのメールアカウントが乗っ取られ、攻撃者がそのサプライヤーになりすまして、偽の銀行口座への支払いを指示する偽の請求書を送信します。

西オーストラリア州地方裁判所における最近の事件「Mobius Group Pty Ltd 対 Inoteq Pty Ltd（2024年）」では、Mobius社の電子メールアカウントが不正アクセスを受け、その結果、Inoteq社が詐欺用の銀行口座へ資金を送金する事態となった。裁判所は、責任はInoteq社にあるとの判断を下し、同社に対しMobius社へ当該金額を再度支払うよう命じた。

ソフトウェアベンダー

メール配信サービスプロバイダー（ESP）は、企業が顧客にマーケティングメールや取引関連メールを送信するために利用する一般的なベンダーです。ESPのネットワークが侵害された場合、攻撃者は貴社の顧客データやメーリングリストにアクセスできる可能性があります。攻撃者はこの情報を基に、貴社の顧客を標的としたフィッシング攻撃を仕掛けることができます。さらに、権限を昇格させれば、貴社を装って顧客に直接メールを送信することも可能になります。

戦略的パートナー

戦略的パートナーがシステム、データ、または知的財産への特権的なアクセス権を持っている場合、攻撃対象領域はそのパートナーの環境にまで拡大します。攻撃者は、その信頼関係を悪用して、上流または下流に向けて攻撃を仕掛ける可能性があります。マネージド・サービス・プロバイダー（MSP）はその一例です。MSPでの情報漏洩が発生した場合、システムや個人情報への不正アクセスにつながる恐れがあります。

SolarWindsへの攻撃を覚えている方もいるかもしれません。このサプライチェーン攻撃は史上最も広範囲に及んだものの一つであり、攻撃者はソフトウェアの更新プログラムを悪用してSolarWindsの顧客数千社に侵入し、数千万ドル規模の損害をもたらしました。フォーティネットの報告によると、シンガポールの企業は、このSolarWindsへのサプライチェーン攻撃により、年間売上高の9.1%を失ったとのことです。

各業界におけるサプライチェーンの確保

オーストラリア – 防衛産業
防衛産業セキュリティ・プログラム（DISP）は、オーストラリア国防省が推進する取り組みであり、防衛関連企業とそのサプライチェーンが厳格なセキュリティ要件を満たし、サプライチェーン全体のリスクを低減できるよう支援するものです。DISPは、統一された基準とプロセスを定めることで、オーストラリア国防軍（ADF）と取引を行う企業が、機密情報や重要情報、システム、資産を確実に保護できるようにしています。

ペイメント・カード・インダストリー・データ・セキュリティ・スタンダード（
）PCI DSS（ペイメント・カード・インダストリー・データ・セキュリティ・スタンダード）は、ISO 28000や特定の防衛・産業プログラムのような包括的なサプライチェーン・フレームワークではありませんが、ペイメント・カード・データの取り扱いに関連する サプライチェーン・リスクの重要な側面に対処しています。 ベンダーの監督、正式なコンプライアンスチェック、および安全な設定を義務付けることで、PCI DSSは、社内システムから外部委託プロバイダーに至るまで、決済チェーンに関わるすべての主体が、一貫性のある監査済みのセキュリティ管理を維持し、情報漏洩の防止やサプライチェーンの脆弱性の低減に寄与することを保証します。

ニュージーランド – 政府
『ニュージーランド情報セキュリティマニュアル』は、政府が発行した主要なセキュリティフレームワークです。このマニュアルは、情報システムの管理とセキュリティ確保に関するガイドライン、基準、およびベストプラクティスを提供しています。「サプライチェーン」という用語は明示的に使用されていませんが、政府のサプライチェーンのセキュリティ確保につながる多くの基本対策が盛り込まれています。機密情報の電子メール通信を確実に暗号化し、フィッシング攻撃を軽減するためにDMARCを活用するセキュアな電子メールフレームワークは、サプライチェーンのセキュリティ確保の一例に過ぎません。

サプライチェーンのリスク低減におけるDMARCの役割

電子メールは操作が容易であるため、依然としてサイバー犯罪者にとって最も主要な初期攻撃経路となっています。サプライチェーンのリスクを低減するには、保有するドメインのセキュリティを確保することが極めて重要です。電子メールドメインの使用状況を監視・制限するための主要な対策として、DMARCが挙げられます。

DMARCを導入し、サプライチェーンのベンダーにも同様の対応を求めることは、貴社とサプライチェーンパートナーの間でやり取りされる多数の電子メールを、すべての関係者が信頼できるための有効な手段の一つです。

---

---

dmarcianのDMARC管理プラットフォームと無料ツールは、ドメインの可視化と管理、および悪用からの保護に活用できるだけでなく、ベンダー管理戦略の一環として、サプライチェーンの監査や監視を行うためのリソースとしても役立ちます。

dmarcianが
をどのように支援できるかメールセキュリティの専門家チームを擁し、ドメインセキュリティを通じてメールとインターネットの信頼性を高めることを使命とするdmarcianは、組織のドメインカタログの評価、およびDMARCの導入と長期的な運用管理を支援します。無料トライアルにご登録いただければ、当社のオンボーディングおよびサポートチームが導入から運用まで全面的にサポートいたします。

---

さらに詳しく議論を続けたい方は、ぜひ dmarcian Forum へお越しください。