相次ぐサイバー攻撃、森永製菓やブリヂストンが被害に
2022/03/31   情報セキュリティ

はじめに

大手菓子メーカーの森永製菓は1社内の複数のサーバーに第三者による不正アクセスがあり、一部の社内システムに障害が発生したと発表しました。これにより一部商品の製造を停止しました。また大手タイヤメーカー、ブリヂストンのアメリカのグループ会社やトヨタ自動車もサイバー攻撃を受けていたことががわかっています。今回は相次いで発生しているサイバー攻撃について掘り下げていきます。

事件の概要

報道によると、今月13日の夜、森永製菓が管理するサーバに障害が起き、その後の調査で外部からの不正アクセスがあったことが確認されたと言います。この影響で、複数のシステムがダウンし、一部商品の製造を停止するなどの障害が出たということです。またアメリカにあるブリヂストンのグループ会社「ブリヂストン アメリカス」でも先月27日、社内のシステムに不正なアクセスが確認されています。同社は被害を食い止めるために他のシステムをネットワークから遮断し、この影響で複数の工場が稼働を停止しました。同時期にはトヨタ自動車でも主要な取引先がサイバー攻撃を受けたことで、部品の調達に支障が出るおそれがあるため、全工場の停止に踏み切っており、多くの工作機械メーカーや自動車部品メーカーなどが標的となっています。

製造業を中心にサイバー攻撃がもたらす潜在的リスクが拡大傾向

製造業において、保守部品管理や工場全体のパフォーマンス管理等を制御・運用するため「OT（Operational Technology）」システムが使用されています。これらは元々は、基本的にインターネットや社内LANから切り離され、独自のプロトコルのみを使用する前提で設計されたものでした。しかし、効率性と顧客の利便性の向上を図るべく、近年、このOTシステムがクラウドに接続されるようになりました。ところが、元々、インターネットに接続させる前提で設計されたものでないため、セキュリティを最優先に作られていない点がネックとなっています。
また、OTシステムの特徴として、システム停止＝工場稼働停止の可能性があることを理由に、

・システム稼働中の脆弱性スキャン
・定期的なパッチ適用
・OSの更新

といった、一般的なITシステムで行われるセキュリティ対策が行いにくい状況にある点もセキュリティを弱める原因となっています。

高度な技術と精度に基づく製造が肝となる製造業において、製造工程のわずかなズレは、致命的な欠陥、ひいては大規模リコールに繋がりかねません。
また、製造の自動化が進むほど、工場は絶え間ない稼働が求められる傾向にありますが、サイバー攻撃によりOTシステムに障害が生じた場合、工場の稼働が停止する可能性が高まります。その場合、例えば、自動車工場においては、1時間の稼働停止により約１億５０００万円もの損害に繋がるという試算もあると言われています。

巧妙化するサイバー攻撃

サイバー攻撃とは、サーバー、パソコン、スマホなどの情報端末に対して、ネットワークを通じて破壊活動やデータの窃取、改ざんなどを行う行為のことを指します。一言にサイバー攻撃といっても対象や目的は様々であり、昨今ではその手段も多様化・巧妙化しています。中でも今回被害を受けた森永製菓やブリヂストン アメリカス、トヨタ自動車は、攻撃に使われたのは「ランサムウェア」と呼ばれる身代金要求型の悪質なプログラムの疑いがあるとして調査を進めています。ランサムウェアは攻撃によってファイルやデータなどを暗号化し、利用不可能な状態にした上で、元に戻すことと引き換えに金銭を要求する不正プログラムです。また暗号化するだけでなく、データを窃取した上で企業等に対し「金銭を支払わない場合には当該データを公開する」などと二重恐喝（ダブルエクストーション）する手口も確認されています。暗号化されたファイルを元に戻すのは非常に困難であり、金銭を支払ったとしても元に戻るとは限りません。そのため多要素認証によるログインやウイルス対策ソフトの利用など適切なセキュリティ対策を行い、相次ぐサイバー攻撃に備えることが何よりも重要と言えます。万が一ランサムウェアに感染した場合、ランサムウェアの駆除を行なったとしても暗号化の復旧は困難なため、日頃からデータのバックアップ体制をとっておくことが大切です。

コメント

先月下旬より国内企業に対する不正アクセスや不審者による攻撃などのサイバー攻撃が直近の3カ月平均に比べて約25倍にまで増加しており、経済産業省や金融庁などは注意を呼び掛けています。サイバー攻撃を受けると身代金による金銭被害や、システムがダウンし業務が停止する被害はもちろんのこと、顧客情報などの機密データが漏洩し、社会的信用の失墜の恐れもあります。また特に製造業は企業同士のつながりが多く、中小企業を発端として攻撃が広がっていくケースも見受けられています。大手企業は多くの費用をかけてセキュリティ対策を行なっていますが、中小企業では対策の重要性を理解しているものの、コストなどの問題で万全とは言えない体制の企業も多いようです。サイバー攻撃は日々悪質になっており、様々な手段・経路で被害を受ける恐れがあります。身近にあるリスクであることを理解し、各社が適切なセキュリティー対策を施すことが重要と言えます。
また、法務の立場からは、サイバー攻撃によるリスク評価を適切に行ったうえで、契約時の取引先へのセキュリティ対策の義務付けや自社がサイバー攻撃を受けたときの免責条項の挿入などを、慎重に検討した方がよいでしょう。