「サイバーセキュリティ」は
 コストではなく投資！

昨今、国防に関わる大企業が大規模なサイバー攻撃を受け、個人情報や企業機密が漏えいした可能性があるというニュースが話題になっていますが、そこでクローズアップされているのが「サプライチェーン攻撃」と呼ばれる攻撃手法です。

これは、ターゲットになる大企業を直接狙うのではなく、その企業の「サプライチェーン（供給網）」上にある、より規模の小さな関連企業や取引先企業、ソフトウエアやIT機器を開発する企業などに攻撃を仕掛け、そこを踏み台にしてターゲット企業へのアクセスを狙うという手口です。

大企業と比べて規模の小さな企業は、サイバーセキュリティに多額の予算を割けないため比較的脆弱なセキュリティ体制にあるケースが多く、そこに目をつけられた形です。
サプライチェーン攻撃という手法自体は昔からあるものですが、情報処理推進機構（IPA）発表の「情報セキュリティ10大脅威 2019」では4位に初ランクインするなど、近年急速に注目が高まっています。

サプライチェーン攻撃の仕組み

有名なサプライチェーン攻撃の例としては、2017年に流行した「WannaCry」があります。これはランサムウエア（身代金要求プログラム）と呼ばれる種類のウイルスで、ウェブサイトやメールの添付ファイルなどからPCに侵入し、ファイルを暗号化して使えない状態にします。そして画面には「ファイルを復元してほしければ身代金（仮想通貨）を支払え」といった文章が表示されるのです。調査によると日本では約1,400万円の振り込みが確認されましたが暗号化の解除は行われませんでした。

被害はそれだけではありません。「WannaCry」はWindowsの脆弱性を悪用し、自身を複製してネットワークでつながったほかのPCにも侵入・感染する「ワーム」と呼ばれる性質をもっていたため、サプライチェーン経由で日本を含む世界150カ国以上で、30万台を越えるPCに被害が広まりました。

このような攻撃に対しては、更新プログラムの随時適用、セキュリティソフトの運用、定期的なバックアップといったごく普通の対応が有効です。逆に言えば、このような最低限の対応すらされていない事例がまだまだ多いということなのです。

サプライチェーン攻撃でも頻繁に使用される「マルウエア（malicious software：悪意のあるソフトウエア）」の脅威も相変わらず続いています。中でもここのところ話題になっているのが「Emotet（エモテット）」と呼ばれるマルウエアです。

「Emotet」は多くのマルウエア同様、メールに添付されたファイルや、ファイルへのリンクを開かせることで感染しそのPCを支配下に置きます。一度感染するとPC内に保存されたメールアドレスやメール本文、ネットワークパスワードなどが盗まれるだけでなく、その情報を使ってさらにネットワーク内に感染が拡大するようになっています。
また、一度感染したPCには外部の制御用サーバと通信して機能を追加することができるため、新たな攻撃手法を用いて攻撃されるリスクもあります。

「Emotet」の悪質な点は、あからさまに怪しいメールではなく、過去にやりとりしたことのある相手から実際に自分が送付したメールに「RE：〇〇」と返信のように送られてくるところです。本文には実際に自分が送付したメールの文面が引用されていることもあり、うっかり引っかかってしまう事例が後をたちません。

対策としては、怪しいメールの添付ファイル（多くがWordファイルです）やリンクを開かないことはもちろんですが、万一開いてしまったとしてもマクロを有効にするための「コンテンツの有効化」をクリックしなければ感染しないことがほとんどです。
このようなWordファイルが送られてきたら「コンテンツの有効化」ボタンを押す前に必ず詳しい人や部署に相談しましょう。

コンテンツの有効化表示画面

それでは実際にサイバー攻撃の被害を見ていきましょう。経済産業省が発表した資料によると、2015年の調査でサイバー攻撃（ウイルス以外）被害を受けた企業は4割を超えていますが、そのうちの約半数は外部からの指摘により発覚しています。

特に情報の窃盗を目的としたサプライチェーン攻撃は適切なセキュリティ対策を実施していないと気づくことは難しいため、知らないうちに取引先などに被害が拡大する恐れがあり、最悪の場合経営責任や法的責任が問われ、取引停止や高額な賠償金を支払うなどの甚大な経営リスクになります。

経営者は自社のサイバーセキュリティ対策にとどまらず、サプライチェーンのビジネスパートナーや委託先も含めた総合的なサイバーセキュリティ対策を実施すべきです。

セキュリティ対策をリスクを抑えるための「コスト」と捉えるのではなく、ITを利活用することで収益を生み出す上での「投資」と捉えることが重要になります。

経済産業省の「サイバーセキュリティ経営ガイドライン」や情報処理推進機構（IPA）の「中小企業の情報セキュリティ対策ガイドライン」などを参考に積極的に対策を行っていくことが求められています。

サイバー攻撃（ウイルス以外）を受けた企業の割合