🔰DMMビットコイン482億円流出――ハッカーは「自社ではなく、信頼している取引先」を狙う🔯ミカと教授のサイバーセキュリテイ🖥️第14回

🔰DMMビットコイン482億円流出――ハッカーは「自社ではなく、信頼している取引先」を狙う🔯ミカと教授のサイバーセキュリテイ🖥️第14回

【サプライチェーン攻撃――「自社を攻めず、信頼している取引先やソフトを攻める」】

ミカ「教授、会社のセキュリティを完璧にすれば、かなり安全になりますよね」
教授「かなり、は正しい。完璧、は怪しい」
ミカ「ファイアウォールも入れました」
教授「よろしい」
ミカ「MFAも導入しました」
教授「よろしい」
ミカ「社員教育もしました」
教授「よろしい」
ミカ「ではハッカーは諦めますね」
教授「そこで攻撃者は考える。『この会社を攻撃するのは面倒だな』」
ミカ「勝ちました」
教授「そして次に、**『この会社の取引先で、もっと入りやすい会社はないか』**と探す」
ミカ「そっちへ行くのですか」
教授「今日のテーマ、サプライチェーン攻撃だ」
ミカ「自宅の玄関を要塞にしたら、宅配業者になりすまして入ってきたような話ですね」
教授「いいところを突いている」

【そもそもサプライチェーンとは何か】

ミカ「サプライチェーンというと、工場や物流の話に聞こえます」
教授「本来は、原材料、部品調達、製造、物流、販売など、商品やサービスが顧客へ届くまでのつながりを指す」
ミカ「自動車なら、部品メーカーから完成車メーカー、販売店まで」
教授「そうだ。しかしITではもっと広く考える必要がある」
ミカ「例えば？」
教授「システム開発会社、クラウド会社、保守会社、会計ソフト、VPN、プラグイン、ライブラリ、取引先、子会社、海外拠点……」
ミカ「ずいぶん増えましたね」
教授「会社は一社だけで仕事をしているわけではないからな」
ミカ「つまり、自社のセキュリティは、自社だけでは完結しない」
教授「今日の第一の核心だ」

【サプライチェーン攻撃は何を狙うのか】

ミカ「普通の攻撃と何が違うのですか」
教授「攻撃者が本命企業を直接攻撃しないことだ」
ミカ「なぜでしょう」
教授「本命企業の守りが強いからだ」
ミカ「では、守りの弱い取引先へ」
教授「そうだ。IPAも、セキュリティ対策の強い企業を直接攻撃せず、サプライチェーンの中の比較的弱い取引先やサービスなどを足掛かりにする攻撃を説明している」
ミカ「正面玄関が頑丈なので？」
教授「出入りしている業者の通用口を見る」
ミカ「嫌な泥棒ですね」
教授「優秀な攻撃者ほど、最も頑丈な壁ではなく、最も弱い接点を探す」

【身近な例に置き換える】

ミカ「いつもの例をお願いします」
教授「大きな会社の本社ビルを考えよう」
ミカ「警備員がいます」
教授「社員証も必要だ」
ミカ「監視カメラもあります」
教授「攻撃者が正面玄関から入ろうとする」
ミカ「止められます」
教授「そこで攻撃者は向かいの清掃会社を見る」
ミカ「清掃会社？」
教授「毎晩、本社へ入るためのカードを持っている」
ミカ「まさか」
教授「清掃会社を攻撃して、その入館情報を奪う」
ミカ「それで本社へ入る」
教授「本社から見れば、普段から付き合っている清掃会社だ」
ミカ「怪しまれにくい」
教授「これがサプライチェーン攻撃の発想だ」
ミカ「泥棒なのに取引関係まで研究するのですね」
教授「攻撃者の企業研究は、ときどき就職活動より熱心だ」

【日本企業の実例――DMM Bitcoinは直接狙われなかった】

ミカ「日本企業で分かりやすい事例はありますか」
教授「第7回でも扱ったDMM Bitcoinの約482億円相当の暗号資産流出事件は、今回のテーマを理解するうえでも非常に重要だ」
ミカ「セッションCookieを盗まれた事件ですね」
教授「そうだ。しかし今回は、攻撃経路を別の角度から見よう」
ミカ「攻撃者はDMM Bitcoinの社員を最初に狙ったのでは？」
教授「違う。警察庁、FBIなどの公表では、攻撃者はまず、日本の暗号資産ウォレットソフトウェア会社Gincoの従業員へ接触した」
ミカ「DMM Bitcoinではなく取引先側？」
教授「そうだ。LinkedInで採用担当者を装い、Gincoのウォレット管理システムへアクセスできる従業員へ接触した」
ミカ「第6回のフィッシングみたいですね」
教授「採用試験を装った悪意あるPythonコードを使い、その従業員を侵害した」
ミカ「そこからセッションCookieを奪った」
教授「その情報を悪用してGincoのシステムへアクセスし、最終的にはDMM Bitcoinの正規の取引リクエストが改ざんされたとみられている」
ミカ「つまり攻撃者は、本命へ正面から行かなかった」
教授「DMM Bitcoinと業務上つながっていたGinco側から近づいた」
ミカ「これぞ『自社を攻めず、信頼している取引先を攻める』ですね」
教授「非常に分かりやすい例だ」

【なぜ取引先は狙われるのか】

ミカ「でも大企業の取引先なら、その会社もセキュリティは強いのでは？」
教授「もちろん強い会社も多い。しかしサプライチェーンには多数の企業が参加する」
ミカ「100社あれば？」
教授「100社すべてが同じレベルで守られているとは限らない」
ミカ「大企業はSOCもEDRもMFAも導入」
教授「しかし小規模な委託先では、古いVPN機器を使っているかもしれない」
ミカ「共通パスワードかもしれない」
教授「退職者のアカウントが残っているかもしれない」
ミカ「パッチが当たっていないサーバーがあるかもしれない」
教授「攻撃者はそういう差を見る」
ミカ「鎖は一番弱い輪っかの強さで決まる」
教授「まさにサプライチェーンだ」

【取引先を攻撃するだけがサプライチェーン攻撃ではない】

ミカ「取引先だけ気を付ければいいのですね」
教授「それでは半分だ」
ミカ「まだありますか」
教授「ソフトウェアサプライチェーンがある」
ミカ「ソフトウェアにもサプライチェーン？」
教授「君が一つのWebアプリを作るとしよう」
ミカ「HTML、JavaScript、PHPなどを使います」
教授「全部ゼロから書くか？」
ミカ「ライブラリやフレームワークを使います」
教授「パッケージも使う」
ミカ「GitHubから取得することもあります」
教授「そのどこかへ悪意あるコードが入り込んだら？」
ミカ「自分では一行も危険なコードを書いていないのに、アプリへ入ってしまう」
教授「それが怖いところだ」

【信頼しているソフトの更新が攻撃になる】

ミカ「でも公式ソフトのアップデートなら安心でしょう」
教授「通常は更新することが重要だ。しかし、もしソフトウェア会社の開発環境そのものが侵害されたら？」
ミカ「更新ファイルに悪意あるコードを入れられる？」
教授「そういうタイプのサプライチェーン攻撃もある」
ミカ「利用者からすると？」
教授「いつもの正規ソフトから、いつもの更新通知が来る」
ミカ「当然アップデートします」
教授「その信頼が利用される」
ミカ「怖いですね」
教授「フィッシングなら『怪しいメールをクリックするな』と言える。しかし正規の更新経路が悪用されれば、利用者が正しい操作をしても被害につながり得る」
ミカ「信頼そのものが攻撃手段になる」
教授「今日の第二の核心だ」

【便利なライブラリにもサプライチェーンがある】

ミカ「プログラマーにも関係がありますね」
教授「非常に関係がある」
ミカ「例えばPythonなら？」
教授「外部パッケージをインストールする」
ミカ「JavaScriptならnpm」
教授「PHPならComposer」
ミカ「便利だから普通に使います」
教授「問題は、『誰が作ったのか』『今も保守されているのか』『本当にその名前で合っているのか』を何も考えずに導入することだ」
ミカ「有名なパッケージ名を一文字間違えたら？」
教授「それを狙うTyposquattingという手法もある」
ミカ「第134回候補ですね」
教授「よく覚えているな」
ミカ「300回くらいまで行けそうな気がしてきました」
教授「攻撃者も新作を出してくるから困る」

【もう一つの日本企業の教訓――小島プレス工業とトヨタ】

ミカ「サプライチェーンが止まる例もありますか」
教授「2022年の小島プレス工業へのサイバー攻撃も重要な教訓だ」
ミカ「トヨタの仕入先ですね」
教授「そうだ。小島プレス工業は2022年2月26日夜、サーバーへの外部からの不正アクセスを検知し、被害拡大防止のためシステムを停止した」
ミカ「それでトヨタにも影響が？」
教授「トヨタ自動車は、小島プレス工業のシステム障害の影響で、2022年3月1日に国内全14工場28ラインの稼働を停止した」
ミカ「一社のシステム障害で、トヨタの国内工場全部ですか」
教授「翌日から稼働は再開されたが、サプライチェーン依存の大きさを示す事件だった」
ミカ「ただし、これは攻撃者が小島プレスを踏み台にしてトヨタへ侵入したわけではない？」
教授「重要な違いだ。公表資料からは、攻撃者が小島プレスを経由してトヨタのネットワークへ侵入したとは確認できない」
ミカ「では厳密には？」
教授「サプライチェーン上の企業へのサイバー攻撃が、取引先の事業継続まで止めた事例として理解するのが正確だ」
ミカ「サプライチェーン攻撃と、サプライチェーンを通じた被害波及は区別する」
教授「その姿勢は大切だ」

【デジタルの攻撃が工場を止める】

ミカ「でも不思議ですね。サーバーが攻撃されただけで、なぜ自動車工場まで止まるのですか」
教授「現代の製造業では、部品の発注、納入指示、生産計画など多くの業務がシステムでつながっている」
ミカ「電話とFAXだけで部品を発注しているわけではない」
教授「そうだ。だからデジタルの障害が、物理的な生産停止へつながる」
ミカ「ランサムウェアの回と似ています」
教授「サイバー攻撃はパソコン画面の中だけの問題ではない」
ミカ「工場の機械まで止まる」
教授「物流も止まり得る」
ミカ「売上も止まる」
教授「そして取引先まで止まる」
ミカ「一社のIT事故が経済のドミノになる」
教授「サプライチェーンリスクの怖さだ」

【安全な範囲で仕組みを確認する】

ミカ「黒板で整理しましょう」
教授「では三社を書く」
ミカ「A社が大企業」
教授「B社がシステム保守会社」
ミカ「C社が攻撃者？」
教授「C社を攻撃者にするのは失礼だ。攻撃者は別に書きなさい」
ミカ「はい」
教授「A社のセキュリティは強固だ」
ミカ「攻撃者がA社へ直接侵入しようとして失敗」
教授「そこでB社を見る」
ミカ「B社はA社のシステムへ保守接続する権限を持っている」
教授「攻撃者がB社のアカウントを奪う」
ミカ「B社になりすましてA社へアクセス」
教授「これが典型的な構造だ」
ミカ「A社が攻撃者を信用したわけではない」
教授「A社が信用しているB社を、攻撃者が利用したのだ」

【VPNがあっても取引先アカウントを信用しすぎない】

ミカ「取引先専用VPNを作れば安全では？」
教授「VPNは重要だ。しかしVPNの先で何を認証する？」
ミカ「IDとパスワード」
教授「それが盗まれたら？」
ミカ「正規の取引先に見える」
教授「だから取引先接続にもMFAを使う」
ミカ「アクセスできる範囲も限定する」
教授「そうだ。保守会社だからといって社内ネットワーク全部へアクセスさせる必要はない」
ミカ「必要なサーバーだけ」
教授「必要な時間だけ」
ミカ「必要な操作だけ」
教授「最小権限君、今週も出演だ」
ミカ「もうレギュラーではなく主演級ですね」

【取引先の端末まで考える】

ミカ「自社の端末をEDRで守っても、取引先のPCまでは管理できません」
教授「そこがサプライチェーン管理の難しさだ」
ミカ「ではどうする？」
教授「契約時にセキュリティ要件を確認する」
ミカ「MFAを使っていますか」
教授「パッチ管理はどうしていますか」
ミカ「インシデントが起きたら何時間以内に連絡しますか」
教授「再委託先はありますか」
ミカ「再委託？」
教授「A社がB社へ委託し、B社がC社へ再委託していることもある」
ミカ「C社がさらにD社へ」
教授「その先は？」
ミカ「教授、急に戸籍調査みたいになってきました」
教授「取引関係にも家系図が必要な時代だ」

【ソフトウェアの部品表を持つ】

ミカ「ソフトウェア側ではどう管理しますか」
教授「そこでSBOMという考え方がある」
ミカ「また略語ですね」
教授「Software Bill of Materials。ソフトウェア部品表だ」
ミカ「工場の部品表みたいなもの？」
教授「そのとおり。このシステムでは、どのライブラリの何バージョンを使っているかを把握する」
ミカ「脆弱性が発表されたら？」
教授「自社が該当するかすぐ確認できる」
ミカ「分からなければ？」
教授「『そのライブラリ、うちで使っていましたっけ？』という会議から始まる」
ミカ「攻撃者はその会議が終わるまで待ってくれません」
教授「そこだ」

【プログラマーはどう防ぐか】

ミカ「開発者ができることをまとめましょう」
教授「まず、外部ライブラリを無制限に追加しない」
ミカ「便利そうだから全部入れる、をやめる」
教授「公式な配布元を確認する」
ミカ「名前の似たパッケージにも注意」
教授「バージョンを管理する」
ミカ「脆弱性情報を確認する」
教授「不要になった依存関係は削除する」
ミカ「秘密鍵やAPIキーをソースコードへ書かない」
教授「CI/CD環境も保護する」
ミカ「GitHubアカウントにはMFA」
教授「コードレビューも行う」
ミカ「つまり、自分が書いたコードだけ見ていてはいけない」
教授「現代のアプリケーションでは、自分が書いていないコードのほうが多いことすらある」
ミカ「それは少し怖いですね」
教授「だから依存関係を管理する」

【経営者は何を防ぐのか】

ミカ「経営者側は？」
教授「まず、取引先一覧を単なる購買リストだと思わないことだ」
ミカ「セキュリティ上の接続先一覧でもある」
教授「そうだ。自社データへアクセスする会社、システムへ接続する会社、クラウドサービスを提供する会社などを把握する」
ミカ「重要度も分ける？」
教授「当然だ。清掃会社と基幹システムの保守会社を、同じリスクとして扱う必要はない」
ミカ「データへアクセスできるか」
教授「ネットワークへ接続できるか」
ミカ「業務が止まると自社も止まるか」
教授「そこを見る」
ミカ「取引先管理が、そのままサイバーリスク管理になる」
教授「そういうことだ」

【小さな会社だから狙われない、が逆になる】

ミカ「中小企業なら、大企業ほど狙われないのでは？」
教授「サプライチェーン攻撃では、その考え方が逆転することがある」
ミカ「どういうことです？」
教授「攻撃者から見れば、中小企業そのものに興味がなくても、その会社が大企業への入口を持っていれば価値がある」
ミカ「うちは重要情報を持っていないから安全、ではない」
教授「取引先の情報を持っているかもしれない」
ミカ「保守用IDを持っているかもしれない」
教授「メールのやり取りを持っているかもしれない」
ミカ「請求書や担当者名もある」
教授「攻撃材料として十分だ」
ミカ「自分の会社の価値を、攻撃者は違う角度から評価するのですね」
教授「残念ながら、非常に熱心な企業分析だ」

【取引先からメールが来たら信用してよいのか】

ミカ「いつもの取引先のメールアドレスなら信用してよいですよね」
教授「その取引先のメールアカウント自体が乗っ取られていたら？」
ミカ「本物のアドレスから偽メールが来る」
教授「過去のメール内容まで読まれていれば？」
ミカ「文章も自然になります」
教授「『前回のお打ち合わせの件ですが』と本物の流れに入り込める」
ミカ「フィッシングより見破りにくい」
教授「だから重要な振込先変更、認証情報の要求、ソフトウェアのインストール依頼などは、別経路で確認する」
ミカ「メールが来たら電話する」
教授「ただしメール本文に書かれた電話番号ではなく、普段使っている番号へな」
ミカ「そこまで？」
教授「偽メールの中の『お問い合わせ先』へ電話したら、攻撃者が出るかもしれない」
ミカ「サービスが良すぎます」

【事故が起きたら取引先へ早く知らせる】

ミカ「自社が侵害された場合は？」
教授「自社だけの問題と思ってはいけない」
ミカ「取引先も危ない」
教授「そうだ。攻撃者が自社のメール、認証情報、取引情報を利用して他社を狙う可能性がある」
ミカ「だから早く連絡する」
教授「契約段階で、インシデント発生時の連絡方法と期限を決めておくことも重要だ」
ミカ「隠したくなる会社もありそうです」
教授「隠している間に被害が連鎖すれば、事態はさらに悪化する」
ミカ「サプライチェーンでは、沈黙まで連鎖する」
教授「それだけは避けたいな」

【サプライチェーン攻撃が教える本当のこと】

ミカ「教授、今日の話を聞くと、自社だけ守っても安心できませんね」
教授「そこが最大の教訓だ」
ミカ「会社は取引先とつながっている」
教授「クラウドともつながる」
ミカ「ソフトウェアとも」
教授「開発者とも」
ミカ「子会社とも」
教授「顧客ともだ」
ミカ「全部切れば安全？」
教授「会社も営業できなくなる」
ミカ「では、どうする？」
教授「つながらないのではなく、つながっていることを前提に管理する」
ミカ「誰とつながっているのか」
教授「何を許しているのか」
ミカ「その相手が侵害されたら何が起こるのか」
教授「そこまで考える」
ミカ「信頼するけれど、無制限には信用しない」
教授「ゼロトラストにも通じる考え方だ」

【ミカと教授の一言で締める】

ミカ「教授、サプライチェーン攻撃を一言で説明してください」
教授「本命企業を直接攻撃する代わりに、その企業が信頼している取引先、委託先、ソフトウェアなどを足掛かりにする攻撃だ」
ミカ「何を狙っている？」
教授「技術だけではない」
ミカ「では？」
教授「会社と会社の間にある『信頼』だ」
ミカ「防御は？」
教授「自社だけを守ったところで終わらない」
ミカ「取引先も見る」
教授「ソフトウェアも見る」
ミカ「権限を絞る」
教授「異常を監視する」
ミカ「そして事故が起きたら早く共有する」
教授「そのとおり」
ミカ「教授、私は先生を信用しています」
教授「ありがとう」
ミカ「でも最小権限なので、レポート提出権限は与えません」
教授「それはアクセス制御ではなく、単なる提出拒否だ」

【次回予告】

【第15回　内部不正――「敵はいつもインターネットの向こう側にいるとは限らない」】

ミカ「次はハッカーが外から入ってこないのですか」
教授「最初から中にいる」
ミカ「社員？」
教授「社員、元社員、委託先など、正規の権限を持つ人物が問題になることもある」
ミカ「外の敵より怖そうですね」
教授「次回は、『入ってはいけない人を止める』のではなく、『入ってよい人が何をするか』をどう管理するのかを考えよう」

本文中のDMM Bitcoin／Gincoの経路は警察庁・FBI等の共同公表、小島プレス工業とトヨタの稼働停止は各社の公式公表に基づいています。DMM Bitcoin事件は取引先側を経由した攻撃経路が具体的に公表されています。小島プレス工業の事例については「トヨタへの侵入の踏み台」とは断定せず、サイバー被害がサプライチェーン上で事業停止へ波及した事例として区別しています。 (警察庁)