中小企業が狙われるサプライチェーン攻撃とは

「うちは小さな会社だから、サイバー攻撃なんて狙われないよ」——そう思っていませんか？ですが近年、まさにその油断を突いて、中小企業を「踏み台」にする攻撃が急増しています。狙いはあなたの会社そのものではなく、その先にいる大手の取引先。気づかないうちに加害者にされてしまうこともある、それが「サプライチェーン攻撃」です。今回は、専門用語をかみくだきながら、その手口と備え方をお伝えします。

サプライチェーン攻撃とは「弱い輪」を狙う攻撃

サプライチェーンとは、商品やサービスが届くまでに関わる会社のつながり（部品メーカー→組立工場→販売店、など）のことです。サイバーの世界では、業務システムやソフトを介してつながった会社同士の関係を指します。

大手企業はセキュリティにお金をかけているので、正面から攻めるのは大変です。そこで攻撃者は、その大手とつながっている、比較的守りの薄い中小企業を最初の入口（弱い輪）として狙います。

• 大手の下請け・取引先の中小企業に侵入する
• そこを足がかりに、本命である大手のネットワークへ入り込む
• あるいは、提供しているソフトやデータに不正なプログラムを仕込む

つまり「あなたの会社を踏み台にして、その先を攻撃する」のが基本構造です。

よくある侵入の手口

取引先になりすましたメール

実在する取引先の担当者を装い、「請求書を更新しました」「新しい発注書です」といった添付ファイルやリンクを送ってきます。普段やり取りしている相手の名前だと、つい開いてしまいます。これがウイルス感染の入口になります。

使っているソフト・サービス経由

会社で導入している会計ソフトや業務ツールが、提供元ごと攻撃されるケースです。正規のアップデートを装ってウイルスが配られると、利用者は気づきようがありません。

VPNやリモート機器の弱点

テレワーク用のVPN機器や、社内のルーターに古い設定・初期パスワードが残っていると、そこから侵入されます。「設置したまま放置」が一番危険です。

「自分が踏み台になっていないか」を見分けるポイント

完全に防ぐのは難しいですが、異変のサインに早く気づくことはできます。

• 身に覚えのない時間帯にパソコンが勝手に動いている、動作が異常に重い
• 取引先から「おたくのアドレスから変なメールが届いた」と連絡が来た
• セキュリティソフトの警告を最近何度も消していないか
• 普段使わない海外からのログイン通知が、業務アカウントに届いていないか

取引先からの「変なメールが届いた」という連絡は、すでにあなたの会社が乗っ取られているサインかもしれません。軽く流さず、すぐ確認しましょう。

なお、取引先を装うメールかどうかは送信元ドメインで見分けられます。本物の取引先なら、いつもと同じ会社ドメインのはずです。少しでも文字が違う（例：example.co.jp が example-co.jp になっているなど）場合は要注意。電話など別の手段で本人に確認するのが確実です。

中小企業が今日からできる備え

お金をかけずとも、基本を固めるだけで「弱い輪」から抜け出せます。

• ソフトとOSを最新に保つ：アップデート通知を後回しにしない。古い穴がそのまま入口になります
• パスワードの使い回しをやめる：重要な業務アカウントには二段階認証（ログイン時にスマホへ届く確認コード）を必ず設定
• VPN機器・ルーターの初期パスワードを変更：設置時のまま放置しない
• 添付ファイルとリンクは「送信元ドメイン」を確認してから開く
• 取引先と「異変があったら連絡し合う」ルールを決めておく

特に二段階認証は無料でできて効果が大きい、最優先の対策です。

不安なときはBULLCOM Securityへ

サプライチェーン攻撃は「うちは関係ない」という油断が一番のスキです。とはいえ、何から手をつければいいか分からない、という声もよく聞きます。

「この取引先からのメール、本物かな？」と迷ったら、そのメールのスクリーンショットをLINEで送っていただければ、私たちが詐欺・なりすましかどうかを判断します。社内のセキュリティ点検のご相談もLINEで無料で承っています。一人で抱え込まず、まずはお気軽にメッセージをお送りください。