事例で学ぶセキュリティインシデント（第3回）取引停止の恐れもあるサプライチェーン攻撃

　C社は関西に拠点を構え、自動車部品メーカーで構成されるサプライチェーンの一角を担う。従業員は100名ほどの企業だが、品質の高い部品を供給し、取引先とも良好な関係を築いてきた。専任の情報システム部門はなく、管理部の社員がIT担当を兼務する。サプライチェーンの中核を担う大手部品メーカーからは定期的にセキュリティ対策の報告を求められ、IT担当者が対応してきた経緯がある。

　IT担当者は設計部から管理部へ不正アクセスの疑いのあるパソコンを持ち帰るとともに、連絡してきた社員から事情を聞いた。朝、出勤してパソコンを立ち上げたところ、いつもより動作が遅いことに気付いたという。そして、パソコンの中に見覚えのないファイルがあったことからハッキングを疑い、管理部に電話したという。

　設計部のパソコンは自動車部品メーカーから提供されるCADデータを扱うため、他のパソコンよりもスペックが高く、ウイルス対策などセキュリティにも留意してきた。まず、攻撃の手口として考えられるのがソフトウエアのぜい弱性を悪用した不正アクセス。ソフトウエアにウイルスを仕掛け、バージョンアップ時などに感染させる。設計部のパソコンは定期的にソフトウエアのバージョンアップを実施しているが、当該パソコン以外は攻撃の痕跡もないことから、他の手口が考えられる。次に考えられるのがIDやパスワードの不正利用だ。ID、パスワードはパソコンのログインの他にも、ファイル共有などのアプリケーション利用時にも入力が求められる。管理部では従業員に対して定期的なパスワードの変更を求めてきたが、いくつものパスワードを覚えきれないといった理由から、同じパスワードを使い続けている人もいるようだ。

　パソコンが不正アクセスされた設計部の社員もそうした1人だ。プライベートで使用しているパスワードと同じものを業務でも使い回していたという。攻撃者は解析ソフトを悪用してパスワードを調べ、盗み取る。いくら不正アクセスの対策を講じていても、攻撃者が本人になりすまし、盗み取った正規のID、パスワードを使ってログインするため不正アクセスを防ぎにくいという問題がある。

多要素認証でパスワードを強化

　C社ではITの構築・運用をサポートしてもらっている事業者に連絡を取り、設計担当者が見覚えのないというファイルを削除するとともに、ウイルス対策ソフトの定義ファイルを最新版に更新してスキャンした。パソコンのログを調べたところ、サーバーなどを不正操作した形跡が見当たらなかったため、当該パソコン以外は被害がなかったと判断した。ただ、念のため、サプライチェーンの大手部品メーカーには不正アクセスのインシデントが発生したことを報告した。

　そして、C社の全社員に対してパスワードの使い回しは止め、推測が難しいパスワードに改めるよう周知・徹底を指示。さらにパスワード管理の強化策として、多要素認証の導入を決めた。多要素認証は、ID、パスワードに加え、本人固有の生体認証や、ログインするたびにパスワード（認証コード）が変わるワンタイムパスワードなどを組み合わせることで不正アクセスを防御する効果がある。

　また、攻撃者の遠隔操作など不正な通信を検知・ブロックする機能を備えるUTMの導入や、パソコンのセキュリティを強化するエンドポイントセキュリティの導入も今後の検討事項となった。サプライチェーン攻撃を防ぐには、取引先との情報管理規則を徹底することや、信頼できる取引先を選定すること、取引先と情報セキュリティの責任範囲を明確にして合意を得ることなどがポイントとなる。

　C社では今回のインシデント発生を教訓に、サプライチェーンを構成する1社として信頼され、継続的に選ばれる企業となるためにセキュリティ対策を強化していく考えだ。