防ぎきれないサードパーティリスクにインシデント後の追跡機能で対応

自組織だけではコントロールしにくいサードパーティリスク関連のインシデントが発生しています。代表的な事例を踏まえて、組織内でできることを考えるのが大切です。

医療サプライチェーン：Craneware社の侵害

医療向けソフトウェアベンダーであるCraneware社が侵害を受け、従業員データおよび一部の顧客・パートナーデータが流出した。公式の発表によれば「流出したデータの大部分が非機密・公開情報だった」としており、同社の既存顧客が2,000以上の医療機関と約10,000のクリニックという規模であることを考慮すれば、医療業界への影響は小さくないだろう。

国家IDシステム：ベルギーeIDの侵害

ベルギーの国家IDシステムを支えるソフトウェア（提携先のConnective社のブラウザ拡張機能）に存在した深刻な脆弱性が発見された。世界最大級のセキュリティカンファレンス「DEF CON」では本件について、トークンの再利用・IDカード情報窃取・銀行・行政アカウント窃取・DLL悪用によるリモートコード実行などが可能だったと指摘されている。

重要なのは被害拡大防止策としての仕組みの構築

上記2例の通り、サードパーティのセキュリティ状況はコントロールしにくく、自組織の防御態勢の精度とは別軸で考慮しなければなりません。特に、提携先からのリモートアクセスを許可している環境では、サードパーティリスクは他人事ではありません。

外部事業者によるアクセスを伴う環境では、発生後に何が起きたかを追跡できる状態も重要です。ログ追跡・セッション録画・監査対応などを構築し、アクセスや作業の証跡を残せる仕組みを整えておきましょう。

高度化するIT環境と、見落とされる設定・運用リスク

インシデントの原因は攻撃者だけではなく、自組織のセキュリティ体制にも存在します。8月は自組織のセキュリティ運用体制を振り返る事例が散見されました。

公共サービスプラットフォーム：バチカン公式アプリの情報漏えい

バチカン公認アプリ「Click to Pray（運営元：教皇世界祈祷ネットワーク）」にて、約70万人分の氏名・メールアドレス・電話番号などが不正アクセス可能な状態になっていた。研究から「多数の機密情報がフィッシングやアカウント乗っ取り、個人情報詐取に悪用される可能性」が指摘されている。

Anthropic：Claudeモデルによる実組織への侵害

生成AI開発企業「Anthropic」において、サイバー能力評価のために強い権限を与えられたAIエージェントが、実環境へ影響を及ぼした。パスワード悪用・公開エンドポイントへのアクセス・SQLインジェクション・悪意あるPyPIパッケージのアップロードなどの意図しない作用があったという。

Meta：Muse Spark 1.1の設定ミスによるリスク

Metaによると、AIモデル「Muse Spark 1.1」が設定ミスにより、評価対象のAIが想定外のシステムにアクセスできる状態になっていた。AIテスト環境の脆弱性と、自律的な目標追従型モデルのリスクが顕在化している。

事前に設定状況や運用体制の把握が大切

上記3つの事例では、高度なIT・AI技術そのものだけでなく、それを取り巻く設定や運用環境の不備がインシデントを招く要因となっていました。高度なセキュリティ技術があっても、それを扱う環境設定や運用設計のミスによって、その前提が崩れてしまいます。

同様のインシデントを未然に防ぐには、各クラウドシステムやサーバにおける設定ミスや脆弱性、ひいてはセキュリティ体制自体を、客観的かつ専門的な視野から調査・評価することが重要です。

発生し続けるOT環境を狙ったサイバー攻撃

断続的に発生しているOT環境を狙ったサイバー攻撃について、8月には水道インフラを狙った攻撃が発生しました。

水道事業：ミネソタ州OTシステムの障害

ミネソタ州の30以上の水道事業者がサイバー攻撃の標的となり、井戸・水塔・浄水施設の自動制御が妨害された。一部の手動運転切り替えなど対応に追われたが、水質への影響はなかった。米政府関係者などからイランとの関連を指摘する見方も報じられているが、攻撃主体の詳細な特定には至っていない。

高まるOTセキュリティの必要性

上記のようなインフラ関連システムへの攻撃は国内外で後を絶ちません。OT環境ではサイバー攻撃がそのまま設備停止・業務停止・機会損失につながるため、IT環境だけでなくOT環境も含めてセキュリティを考える必要があります。インフラ業界や製造業のIT担当者は、OT部門との連携を密にし、OTセキュリティ体制を構築することが重要です。

まとめ

今回の事例を通じて明らかになったのは、組織内での「設定ミス」を契機としたセキュリティリスクの存在です。各企業のIT担当者はインシデントを攻撃者起因であると限定せず、組織内でのセキュリティ運用・管理体制も重大なリスク要因であることを再度自覚しましょう。日系企業でもクラウド利用・デジタルID・AI導入などが加速する中、単一の設定ミスが業務停止、財務損失、信用失墜につながる可能性があります。特にレガシー環境や複数ベンダーが混在する領域では気を付ける必要があるため、盤石なセキュリティ体制を構築するように動いていきましょう。

IIJでは今回紹介したセキュリティ事例に関するサービス・ソリューションを、国内外問わず幅広く展開しています。サービスに関する問い合わせフォームのほか、無料でダウンロードできる資料なども多数ご用意していますので、ご興味ある場合はぜひ専用フォームにアクセスください。

サービスの詳細やお見積りなど担当者よりご返事します

フォームでのお問い合わせ

1

ご相談やご質問をお知らせください

2

担当者よりメールまたはお電話でご連絡いたします

今すぐ相談する ホワイトペーパー無料ダウンロードはこちら