サプライ チェーン攻撃: サイバー犯罪者はソフトウェア プロバイダーを標的にしています

画像クレジット:
画像著作権
iStock

サプライ チェーン攻撃: サイバー犯罪者はソフトウェア プロバイダーを標的にしています

サプライ チェーン攻撃: サイバー犯罪者はソフトウェア プロバイダーを標的にしています

小見出しのテキスト
サプライ チェーン攻撃は、ベンダーのソフトウェアを標的にして悪用する企業やユーザーを脅かします。
    • 著者:
    • 著者名
      クォンタムラン・フォーサイト
    • 2023 年 2 月 9 日

    サプライ チェーン攻撃は、世界中の企業や組織にとってますます懸念されています。 これらの攻撃は、サイバー犯罪者が企業のサプライ チェーンに侵入し、それを使用して標的の組織のシステムやデータにアクセスするときに発生します。 これらの攻撃の結果は、財務上の損失、企業の評判の低下、機密情報の侵害、業務の中断など、深刻なものになる可能性があります。 

    サプライ チェーン攻撃のコンテキスト

    サプライ チェーン攻撃とは、サードパーティ ソフトウェア、特に標的組織のシステムやデータを管理するソフトウェアを標的とするサイバー攻撃です。 2021 年の「Threat Landscape for Supply Chain Attacks」レポートによると、過去 66 か月間のサプライ チェーン攻撃の 12% がサプライヤーのシステム コードを標的とし、20% がデータを標的とし、12% が内部プロセスを標的としていました。 マルウェアは、これらの攻撃で最も一般的に使用された方法であり、インシデントの 62% を占めています。 しかし、顧客に対する攻撃の XNUMX 分の XNUMX は、サプライヤーへの信頼を利用していました。

    サプライ チェーン攻撃の一例は、ソフトウェア会社 CCleaner に対する 2017 年の攻撃です。 ハッカーは、同社のソフトウェア サプライ チェーンを侵害し、ソフトウェアの更新を通じてマルウェアを配布することができ、何百万人ものユーザーに影響を与えました。 この攻撃は、サードパーティ プロバイダーに依存することの潜在的な脆弱性と、これらの攻撃から保護するための強力なセキュリティ対策の重要性を浮き彫りにしました。

    サードパーティ プロバイダーへの依存度の高まりと複雑なデジタル サプライ チェーン ネットワークは、デジタル サプライ チェーン犯罪の増加に大きく貢献しています。 企業が業務やサービスをより多く外部委託するにつれて、攻撃者にとって潜在的なエントリ ポイントの数が増加します。 この傾向は、小規模または安全性の低いサプライヤに関しては特に懸念されます。これらのサプライヤは、大規模な組織と同じレベルのセキュリティ対策を実施していない可能性があるためです。 もう XNUMX つの要因は、古いソフトウェアやパッチが適用されていないソフトウェアやシステムの使用です。 サイバー犯罪者は、ソフトウェアやシステムの既知の脆弱性を悪用して、企業のデジタル サプライ チェーンにアクセスすることがよくあります。 

    破壊的な影響

    サプライ チェーンへの攻撃は、深刻な長期的被害をもたらす可能性があります。 注目を集める例としては、政府機関や企業に IT 管理ソフトウェアを提供する SolarWinds に対する 2020 年 XNUMX 月のサイバー攻撃があります。 ハッカーはソフトウェア アップデートを使用して、複数の米国政府機関を含む同社の顧客にマルウェアを配布しました。 この攻撃は、侵害の規模が大きく、数か月間検出されなかったという事実から、重大なものでした。

    対象企業が必要不可欠なサービスを提供している場合、被害はさらに深刻です。 もう 2021 つの例は、XNUMX 年 XNUMX 月に世界的な食品会社 JBS がランサムウェア攻撃に見舞われ、米国、カナダ、オーストラリアを含む複数の国での業務が中断されたときです。 この攻撃は、REvil として知られる犯罪グループによって実行され、同社のサードパーティ ソフトウェアの脆弱性を悪用しました。 この事件は、精肉工場や食料品店など、JBS の顧客にも影響を与えました。 これらの企業は肉製品の不足に直面しており、代替ソースを見つけるか、事業を調整する必要がありました。

    デジタル サプライ チェーン攻撃から保護するには、企業が回復力のある柔軟なセキュリティ対策を講じることが不可欠です。 これらの対策には、サードパーティ プロバイダーに対する徹底的なデュー デリジェンスの実施、ソフトウェアとシステムの定期的な更新とパッチ適用、強力なセキュリティ ポリシーと手順の実装が含まれます。 企業は、フィッシング攻撃を含む潜在的な攻撃を特定して防止する方法について、従業員を教育することも重要です。

    サプライチェーン攻撃の影響 

    サプライ チェーン攻撃のより広範な影響には、次のようなものがあります。

    • 特に政府機関では、サードパーティ製ソフトウェアの利用が減少し、機密データの社内ソリューションへの依存度が高まっています。
    • 特に公益事業や電気通信などの重要なサービスを提供する組織の間で、内部で開発されたサイバーセキュリティ対策の予算が増加します。
    • 従業員がフィッシング攻撃の犠牲になったり、それぞれの会社のシステムに不注意でマルウェアを導入したりするインシデントが増加しています。
    • サイバー犯罪者が定期的なパッチ更新を実装するソフトウェア開発者を利用するため、ゼロデイ攻撃が一般的になり、これらのハッカーが悪用できる複数のバグが含まれる可能性があります。
    • ソフトウェア開発プロセスの脆弱性を検索するために雇われる倫理的ハッカーの使用の増加。
    • サードパーティのサプライヤの完全なリストの提供と、ソフトウェア開発プロセスの潜在的な監査をベンダーに要求する規制を可決する政府が増えています。

    コメントする質問

    • 日常業務で使用しているサードパーティ製アプリはいくつありますか? また、どの程度のアクセスを許可していますか?
    • サードパーティベンダーにとって十分なセキュリティはどの程度だと思いますか?
    • 政府は、サードパーティ ベンダーの規制基準を施行するために介入する必要がありますか?

    インサイトの参照

    この洞察のために、次の一般的な機関リンクが参照されました。