SecurityReport

SQAT®

����-����年秋冬号

サプライチェーン攻撃を知る

BBSecは内閣サイバーセキュリティセンターの「サイバーセキュリティ普及啓発」に賛同しています

便利で安全なネットワーク社会を創造するごあいさつ株式会社ブロードバンドセキュリティ

セキュリティサービス本部 本部長

齊藤 義人

����年上半期は、サイバーセキュリティのトピックが濁流のように押し寄せてきました。
ウクライナを襲った大規模なサイバー攻撃、それに関連した攻防からの余波も様々な分野に影響を及ぼしました。DDoS攻撃も規模が拡大していきました。毎秒����万リクエストにもおよぶ過去最大規模のDDoS攻撃が発生したと思えば、�ケ月後には秒間����万リクエストの攻撃が発生しました。
更には自動車のハッキングや、多要素認証が標的とされたトピックなど、注目すべき情報がない日の方が少なかったように思います。
セキュリティ関係者が危惧してきたようなサイバー危機の数々が、現実として起こっているのです。

本レポートは、株式会社ブロードバンドセキュリティ（以下、BBSec）の脆弱性診断サービス「SQAT®」における����年上半期（�月～�月）の診断結果からデータを抽出し、集約したものを当社のエンジニアらの感性も交えてアウトプットしたものです。
今号は、サプライチェーン攻撃やクレジットカード情報漏洩インシデントの現状に焦点をあてた企画や、奈良先端科学技術大学院大学の門林雄基教授に寄稿していただいた企画が掲載されております。

本レポートが、読者の皆様のセキュリティ対策における有益な情報としてご活用いただけることを願ってやみません。それこそが「便利で安全なネットワーク社会を創造する」をモットーに掲げる BBSec の使命であると考えております。

CONTENTSSQAT®（Software Quality Analysis Team）とは～スペシャリスト集団が組織の脆弱性対策をトータルに支援～＜巻頭企画＞

サプライチェーン攻撃を知る ─── ��＜注目テーマ＞

セキュリティの過去、現在、未来 ─── ��

診断の現場から ─── ��＜現状分析＞

クレジットカード情報漏洩インシデントの現状～ ���� 年上半期 PFI レポートより～ ─── ��「SQAT®」は、BBSecがご提供する脆弱性診断サービスです。
エンジニア、コンサルタント、ホワイトハッカー等から編成された精鋭チームが、あらゆる側面から網羅的な診断を実施。
スペシャリストのノウハウを結集して組織の情報システム強化をお手伝いします。
お客様は金融機関・インターネット事業者などの民間企業から、官公庁をはじめとする公共機関まで幅広く、これまでに延べ�,���組織、��,���を超えるシステムで利用されています。

※本レポートは、当社セキュリティサービス本部のホームページ「SQAT®.jp（URL：https://www.sqat.jp/）」https://www.sqat.jp/sqat-securityreport/から診断結果にみる情報セキュリティの現状～ ���� 年上半期 診断結果分析～ ─── ��

ダウンロード可能です。

カテゴリ別脆弱性検出状況 ─── ��

業界別診断結果レーダーチャート ─── ��＜事業拠点＞

東京本社

SQAT.jp

大阪支店

名古屋支店

東北セキュリティ診断センター

韓国支店〒���-����
東京都新宿区西新宿�-�-�
野村不動産西新宿共同ビル�F
TEL：��-����-����〒���-����
大阪府大阪市北区梅田�-�-�
大阪駅前第�ビル��F
TEL：��-����-����〒���-����
東京都品川区東品川�-�-�
天王洲パークサイドビル�FTEL：��-����-����〒���-����
秋田県秋田市中通�-�-��
秋田センタービル �F
TEL:���-���-����

天王洲オフィス

〒���-����
愛知県名古屋市中区錦�-�-��J・伊藤ビル�F
TEL：���-���-������F, Samsung Life Seocho Tower
� Seocho-daero ��-gil, Seocho-gu
Seoul �����, Korea
TEL : +��-�-����-����

サービス名は各社の商標又は登録商標です。
なお、本文中では商標又は登録商標を表すマークを特に提示していない場合があります。
※ 本誌において記載されている会社名、商品名、この冊子は、クリエイティブ・コモンズ表示�.�ライセンスの下に提供しております。
二次利用にあたっては、出典明示（出典：株式会社ブロードバンドセキュリティ発行『SQAT® Security Report ����-����年 秋冬号』
）をお願いします。
また、商用利用は許諾しておりません。

SQAT®はBBSecの登録商標です。
登録商標第�������号

イラプ
サンーェ
チ

撃攻を知る

国内外のサイバー攻撃や、セキュリティ対策に関する報道を追っている当社アナリストが堅牢なセキュリティを探る企画の第２弾。今号は「サプライチェーン攻撃」に焦点を当てる。攻撃の種類や対策方法はもちろん、今号は主に事故事例からサプライチェーン攻撃を紐解いていく。

SQAT® Security Report 編集部
BBSec SQAT Security Report ����-����年 秋冬号

��セキュリティ対策の意義もしセキュリティインシデントが起こったら…

情報資産の価値が上がる中、企業としてセキュリティ対策を行うのはいまや当たり前となっている。

結果

・情報の紛失・改竄・漏洩・バックドアを仕掛けられる・次の攻撃への踏み台にされる・業務停止・売上の減少・損害賠償などの支払い・セキュリティ対策コストの増大

実際、セキュリティインシデントが発生すると、事業継続の危機にさらされる可能性があるた
め、セキュリティ対策は必須である。
しかし、行うべき対応は多様かつ広範であり、すべてにおいて穴がないよう網羅的に行うのは至難の業だ。

・風評被害
・ブランドイメージの失墜
・組織内のモラルの低下
・行政指導（免許の剥奪など）

経済的損

失喪失
力の競争

失墜
用の信的

社会

事業継続の危機

効率的に対策を行うために、まずは企業がさらされている脅威について知っておかなければならない。今号はその中でもサプライチェーン攻撃について紹介する。

サプライチェーン攻撃

サプライチェーンとは調達、製造、配送、販売、消費といった、商品が消費者に届くまでの一連の流れを指す。
これを利用して何らかのサイバー攻撃を仕掛けて情報奪取などを狙うのがサプライチェーン攻撃であり、IPAの「情報セキュリティ
��大脅威 ����」で組織における脅威の第�位にランクインするなど、近年注目が集まっている。
攻撃のパターンには、次のようなものがある。

１ 組織間の弱い部分を狙う攻撃
大企業に侵入したいが、セキュリティ対策が堅牢でできない…
セキュリティ対策が甘い二 次 請 け、三次請 けの会社から攻めるぞ！

攻撃者

三次請け

二次請け

一次請け

大企業

・中小企業から盗んだ情報をもとになりすましメールなどサプライチェーン上の他の企業に対してより効果的な攻撃を仕掛ける

ATTACK！

広く利用されているコンポーネントを狙う攻撃� ［パターン�］

ソフトウェア提供元の１社を攻撃するだけで、ソフトウェアを利用している複数の会社から情報をGET！

攻撃者［パターン �］ATTACK！

顧客に提供される前に罠を仕込んでおいて気づかれない内に広範囲に攻撃するぞ！

ソフトウェア提供元

ソフトウェア利用者
Software

Software

Software

Software

不正なコンポーネント

Softwareハードウェアの組み立て
攻撃者��Software

Webサイト・ソフトウェアの開発

BBSec SQAT Security Report ����-����年 秋冬号

Software・セキュリティ対策が比較的甘い中小企業が狙われる・開 発・組 み立て時に使われる部品などに不正なプログラムを仕込み、提供元も気づかぬうちに顧客が情報を盗まれたり、マルウェア感染したりしてしまう・アイロンや電気ケトルなど、一見ネットワークに関係なさそうな機器に仕込まれた事例も対策のポイント

基本的な情報セキュリティ対策の実施を、サプライチェーン全体で取り組む基本的な情報セキュリティ対策の例

・ 情報資産の可視化
・ OSやソフトウェアの最新状態へのアップデート
・ 権限管理による重要情報取り扱い者の絞り込み
・ パスワードの強化
・ 脆弱性診断等によるセキュリティ上の問題の可視化

・ マルウェア対策製品の導入
・ アクセス制御ソリューションの導入
・ 従業員全員に対するセキュリティ教育の定期実施
・ インシデント発生時の対応手順等セキュリティに関するルールの策定・周知

サプライチェーン全体への取り組みの例

・ アンケート等を用いたサプライチェーン上の各企業におけるセキュリティ状況の把握
・ サプライチェーン上にセキュリティ水準の異なる企業があるか確認
・ サプライチェーン上の企業間における重要情報の定義と取り扱い方法の取り決め実施

被害者が加害者にもなり得る

サプライチェーン攻撃は、セキュリティに比較的予算を割いて対策していると考えられる大手企業ばかりでなく、そこにつらなる中小企業も狙われやすい。
また、多くの企業/組織が依存しているソフトウェア・機器がターゲットとされる場合もある。
気づかないうちにサプライチェーンにつらなる多数の企業/組織のシステムに深く侵入され、長期間にわたって侵害されていた、という被害事例もある。
結果的に、被害を受けた自社/自組織が、意図せずサプライチェーン上にある多数の企業/組織に対する攻撃の加害者ともなり得るのだ。
そのような事態を招かないよう、基本的な情報セキュリティ対策は必ず実施し、サプライチェーン上の他の企業/組織と足並みを揃えて取り組む必要がある。
もし自社/自組織に不足している対策やシステム上の弱点が明確でない場合は、外部のセキュリティ専門家の目を頼るのも有効な手段の�つである。

脆弱性診断サービス 自動診断と手動診断の組合せにより高精度のセキュリティ診断を提供します
QUALITY

COMMUNICATION

情報収集力に裏打ちされた分析対応優先度がわかる報告

豊富かつ最新の診断シグネチャ

多彩なオプションメニュー

B BSecSUPPORT

スピーディーな連携・報告

診断終了後�か月まで再診断可能

緊急度が高い場合の連絡診断に関するご質問受付

再診断期間内のご相談受付

脆 弱 性 診 断サービス

クラウドセキュリティ
設 定 診 断 サ ー ビ ス ベストプラクティスに基づく適切な設定か確認し、クラウド利用の不安を払拭します
各クラウド * 固有のセキュリティ設定基準に対する適合度を評価

個々のベンチマークを横ぐしに展開した
高い網羅性

評価結果に加え、設定に関する最新状況をご提供する報告書*本サービスは現在、Amazon Web Services、Microsoft Azure、Google Cloud
Platform、Oracle Cloudに対応しております。

BBSec クラウドセキュリティ設定
BBSec SQAT Security Report ����-����年 秋冬号

��