サプライチェーン攻撃

委託先が攻撃されたら、自分のサービスも対象になる？

商品の配送や注文の受付、決済など、一つのサービスは複数の会社やシステムに支えられています。このつながりを「サプライチェーン」と呼びます。攻撃者が、サービスを支えるこのつながりの弱点を悪用するのがサプライチェーン攻撃です。

例えば、業務を任せた会社の端末が攻撃を受け、組織同士をつなぐ仕組みを通じて別の会社のシステムに入り込まれる場合があります。入り込まれた先で、情報を盗まれたり、サービスを止められたりすることがあります。

委託先や提供会社の名前が同じでも、すべてのサービス・利用企業・顧客が被害対象になるとは限りません。 確認するのは「どのサービスが、どの情報・システム・権限・機能を通じて関係していたか」です。

例えば、ソニー損保はPCSへ委託したロードサービス案件に影響の可能性を限定し、GMO-PGは別基盤の他サービスへの影響を否定しています。一方、Commerbleの他テナントについては、調べたログの範囲で同様の痕跡が未確認という説明です。これらは確認の範囲と確度が異なります。

サプライチェーン攻撃と、委託先の情報漏えいは同じ？

製品やサービスを支えるつながりには、外部の委託先や提供会社のほか、同じ組織の中で別の部門が担う業務も含まれます。

委託先から情報が流出したことと、委託先を経由して利用企業のシステムに侵入されたことは別です。 どのつながりが実際に悪用されたのかは、公表された侵入先や影響の範囲から確認します。

LINEヤフーでは、委託先の端末感染が侵入のきっかけになった

2023年に発生した事件について、LINEヤフーは、同社と関係会社のNAVER Cloud社が業務を委託していた企業で、従業者のパソコンがマルウェア（機器に害を与えるプログラム）に感染し、攻撃のきっかけになったと公表しました。両社は従業者のログインを確かめる仕組みを共用しており、LINEヤフーはNAVER Cloud社のシステムから旧LINE社の社内システムへの接続を許可していました。

同社によると、10月9日に第三者がNAVER Cloud社のシステムを介してLINEヤフーのシステムに入り込みました。同社は、ユーザーや取引先、従業者などの情報が漏えいしたと発表しています。確認されたアクセスと詳しい影響の範囲は、LINEヤフーの被害事例で確認できます。

一つの委託先から、複数企業へ影響するのはなぜ？

保険会社や店舗が、受付・注文管理などの機能を外部へ委託すると、利用者が直接契約していない会社でも情報を扱うことがあります。PCSのロードサービスやGALLERY・2のEC基盤は、その関係を確認できる例です。

一つのサービスを複数企業が利用している場合でも、企業ごとの情報や権限の分け方、攻撃された機能、確認されたアクセスの範囲によって影響は変わります。実際にどの構成だったかは、各事件の公式発表で確認します。

同じ会社の別サービスも対象になる？

共通しているものが会社名だけなのか、システム基盤なのか、認証や管理権限なのかを分けます。同じ提供会社であることだけでは、データベースやアカウントも共通だとは分かりません。

GMO-PGは、対象をライフカード向けの個別機能としたうえで、他顧客向け機能や決済代行などとは基盤が異なると説明しています。別サービスへの影響が限定されたと読む根拠は、公表された機能と基盤の違いです。

利用者は何を確認する？

1. 自分が利用した店舗・保険会社などの公式発表を確認します。委託先の名前を知らなくても、購入・予約・受付などの利用を通じて接点がある場合があります。
2. 対象サービスと委託された業務を確認します。同じ会社の別サービスを利用しただけで対象と決めません。
3. 公表された対象期間・利用条件と、手元の利用履歴や通知を照合します。
4. 対象情報と確認状態を読みます。参照された可能性、外部流出の確認、不正利用の確認は別です。
5. 個別通知や続報の状況を、利用先の最新の公式案内で確認します。通知がないことだけで対象外とは判断できません。

個別の対応や最新の案内は、出典欄の公式発表・公式サイトで確認してください。