サプライチェーン攻撃で GitHub が汚染されたら | ScanNetSecurity
2024.05.13(月)

サプライチェーン攻撃で GitHub が汚染されたら

一口にサプライチェーン攻撃といっても、それが指す攻撃の種類、目的、アタックサーフェスは複数のパターンが考えられる。関連報道を見ているとき、「これはどのレベルのサプライチェーンを指しているのか」と気になることがある。

研修・セミナー・カンファレンス セミナー・イベント
主要ソースコード管理システム
主要ソースコード管理システム 全 4 枚 拡大写真

 一口にサプライチェーン攻撃といっても、それが指す攻撃の種類、目的、アタックサーフェスは複数のパターンが考えられる。関連報道を見ているとき「これはどのレベルのサプライチェーンを指しているのか」と気になることがある。

●製造サプライチェーンへの攻撃

 新聞などで多くみられる「サプライチェーン攻撃」は、製品の製造から流通・販売までのサプライチェーンの中で、特定の企業を狙ってサイバー攻撃を行うこととなるだろう。一般には、子会社や取引先、海外子会社など、防御の弱い拠点や企業を狙って侵入または破壊工作を行う。チェーンの一部から侵入し、本丸の親会社や政府機関に到達する。

 製造業などでは、サプライヤーや関連企業に攻撃を行いシステムや工場の生産ラインを止める。本社や親会社に直接の被害は出ないが、製造チェーンの一部が止まることで製品全体の製造や出荷を止めることができる。近年の在庫が高度に制御された製造業のサプライチェーンでは、ねじひとつが入荷しないだけで、すべてのラインが止まることがある。

 ここでのサプライチェーンはバリューチェーンとも表現できるだろう。APT のような高度に仕組まれた攻撃に利用されることもあるが、バラマキ型に近いランサムウェアがたまたま防御の弱いサプライヤーや取引先に着弾し、結果としてサプライチェーン全体に大きな被害を及ぼしたという場合もある。

●ソフトウェア開発ライフサイクルへの攻撃

 ソフトウェアに着目すると、サプライチェーン攻撃はさらにいくつかに細分化できる。ひとつは、ソフトウェアのアップデートやダウンロードサイトを汚染することで、マルウェアやマルウェアが混入されたアーカイブファイルなどをダウンロードさせるという攻撃だ。過去に CCleaner の配布サイトが汚染されマルウェアがばらまかれた事件が起きている。


《中尾 真二( Shinji Nakao )》

関連記事

この記事の写真

/

特集

PageTop

アクセスランキング

  1. 護衛艦いなづまの艦長、資格のない隊員を特定秘密取扱職員に指名し懲戒処分

    護衛艦いなづまの艦長、資格のない隊員を特定秘密取扱職員に指名し懲戒処分

  2. デジサートのEV証明書の記載フォーマットに誤り、再発行とサーバへの入れ替え呼びかけ

    デジサートのEV証明書の記載フォーマットに誤り、再発行とサーバへの入れ替え呼びかけ

  3. 東京電力エナジーパートナー、電力・ガス取引監視等委員会からの報告徴収に対する報告書提出

    東京電力エナジーパートナー、電力・ガス取引監視等委員会からの報告徴収に対する報告書提出

  4. ランサムウェア被害の原因はスターティア社の UTM テストアカウント削除忘れ

    ランサムウェア被害の原因はスターティア社の UTM テストアカウント削除忘れ

  5. 豊島のサーバにランサムウェア攻撃、復旧済みで業務に影響なし

    豊島のサーバにランサムウェア攻撃、復旧済みで業務に影響なし

  6. 新日本プロレスリングオフィシャルファンクラブ会員情報を保存した USB メモリ紛失

    新日本プロレスリングオフィシャルファンクラブ会員情報を保存した USB メモリ紛失

  7. AI とドローン利活用最悪事例 ~ 米保険会社 住宅空撮し保険契約 猛烈却下

    AI とドローン利活用最悪事例 ~ 米保険会社 住宅空撮し保険契約 猛烈却下

  8. テレビ宮崎グループ会社にランサムウェア攻撃、請求書発行システムを停止

    テレビ宮崎グループ会社にランサムウェア攻撃、請求書発行システムを停止

  9. ホビー・キャラクター関連商品販売 アルジャーノンプロダクトのホームページで不正アクセスが原因の表示トラブル

    ホビー・キャラクター関連商品販売 アルジャーノンプロダクトのホームページで不正アクセスが原因の表示トラブル

  10. 北 中華製AIを攻撃活用/北 DMARC不正利用/北 日本のアニメ制作関与か ほか [Scan PREMIUM Monthly Executive Summary 2024年4月度]

    北 中華製AIを攻撃活用/北 DMARC不正利用/北 日本のアニメ制作関与か ほか [Scan PREMIUM Monthly Executive Summary 2024年4月度]

ランキングをもっと見る