サイバーセキュリティを揺るがした「Supernova（スーパーノバ）」というサイバー攻撃とは？

Supernova（スーパーノバスーパーノバ）をご存じでしょうか？2020年にSolarWinds社がハッカーによる、全く新しいサイバー攻撃に合ったのです。サイバーセキュリティを揺るがしたこの手法とは、どのようなものなのでしょうか？解説いたします。

「Supernova（スーパーノバ）」にSolarWinds社がサイバー攻撃される

Supernova（スーパーノバ）とはいったい何なのでしょうか？天文学ではSupernova（超新星）は、新星よりも大規模な激変星、星の超強力な爆発を意味します。その爆発発生の正確な予測は不可能であり、発見されるまでに爆発へのプロセスが進行していることがほとんどです。アナリストが最近のアメリカのソフトウェア会社SolarWinds社へのサイバー攻撃にこの名前を選んだのも不思議ではありません。

SolarWinds社は、企業がネットワークやシステム、情報技術インフラを管理するためのソフトウェアを開発していて、顧客にはFortune誌が発表する『フォーチュン500』に名を連ねる大企業や米国政府機関が含まれています。そして、33,000人のユーザーを抱える同社の強力なプラットフォームは、ITスタック全体を1か所で簡単に監視・分析・管理できるように設計されています。

2020年12月、Microsoftの調査により、SolarWinds社でサプライチェーン攻撃が試みられた証拠が見つかりました。

サイバーセキュリティを揺るがした「Supernova」というサイバー攻撃とは？

『Supernova』と名付けられたこの新種の攻撃では、ソフトウェアのソースコードにごくわずかな変更を加えることでマルウェアがひっそりと組み込まれ、痕跡を最小限に抑えながら、認証をバイパスしてAPIコマンドを実行できるようにすることで、悪意のあるハッカーによるリモートアクセスを可能にしました。

つまり、Supernovaを使用すると、ハッカーは、特権の高いユーザーやアカウントを含め、組織の既存のユーザーやアカウントになりすまして、民間企業や米国政府の中枢部門に対してスパイ活動をすることができるのです。

天文学的な超新星と同様に、この攻撃までの準備・プロセス進行は長期間にわたって行われていました。

多くのソフトウェアプロバイダーと同様に、SolarWinds社は、バグを修正したり、新しい機能を追加したりするために、システムに定期的な更新を送信しています。2020年2月にはマルウェアがソフトウェアの公式な更新プログラムに組み込まれ、18,000のSolarWinds社の顧客へ送信されました。

ハッカー側の高度なトラッキングとカモフラージュ技術によってSolarWinds社の開発者にも検出されなかったコードは、ハッカーがSolarWinds社の顧客のITシステムへさらに多くのマルウェアをインストールするための裏口を作ってしまいました。

この攻撃により、アメリカの国防総省の一部、国土安全保障省および財務省、マイクロソフト、シスコ、インテル、デロイトなどの民間企業、およびカリフォルニア州立大学や州立病院、ケント州立大学などの、少なくとも250の民間および公的組織が標的にされて侵害されたと考えられています。

専門家によると、SolarWinds社への攻撃は、高度な技術をもったグループ、おそらくは国家のハッカーによるものとみられています。専門家らはまた、そのような攻撃から身を守る組織のカギは「意識」であるとも言っています。

まとめ

サイバー攻撃から身を守るための組織のカギは「意識」であると、CYBERGYMでは何年にもわたって議論し、皆さまへも伝え続けてきました。CYBERGYMでは、各国のCYBERGYMトレーニングアリーナで使用される攻撃シナリオの学習・演習へ反映させるため、SolarWinds社とその顧客を襲ったマルウェアの調査と分析をすでに行っています。

皆さまが自分事としてこのような攻撃への備えを行うフェーズに入っていきたのです。あなたの会社も対策を考えなければならないのではないでしょうか。

弊社CYBERGYM（サイバージムジャパン）は、急速にサイバー環境の拡大が進む昨今において、サイバーセキュリティを前提としたリスクマネジメントの重要性の高まりを受け、設立されました。サイバーセキュリティ業界で最先端の技術とノウハウを有するイスラエルのCYBERGYM社と提携し、日本及びアジアで、各種サイバーセキュリティトレーニングを弊社専用アリーナでご提供しています。対応チームの構築や強化、組織内レッドチーム養成、脆弱性診断等のサイバーセキュリティトータルソリューションを展開しています。

あなたの会社にもサイバー攻撃がくる時代になってきました。もはやサイバーセキュリティ対策は経営課題そのものです。その時、経営者はどうするべきなのでしょうか？「あなたが経営者に知らせておくべきサイバーセキュリティとは？」というダウンロード資料は、企業における最低限のサイバーセキュリティの備えや考え方をわかりやすくまとめています。

また「CYBERGYM　サイバーセキュリティトレーニング　総合ガイドブック」は、サイバー攻撃に対する具体的かつ実践的なトレーニング内容や価格がご覧いただける資料になっています。サイバーセキュリティに対する具体的な解決策を探している方は、ぜひ、当サイトより資料をダウンロードください。