自動車業界とサプライチェーンが標的に。サイバー攻撃の事例をご紹介

自動車業界とその広範囲にわたるサプライチェーンは、高度化するサイバー攻撃の新たな標的となっています。この記事では、そのような攻撃の具体例を通じて、企業が直面しているリスクの実態について解説します。自動車業界がどのように対策を講じているのか、今後どのような取り組みが求められるのかを探っていきます。

サイバー攻撃とは、コンピュータシステム、ネットワーク、またはデータに対して意図的に実行される悪意ある行為です。これには、データの盗難や破壊、システムの不正操作などが含まれます。自動車業界では、車載通信システム、自動運転技術、生産管理システムなど、多岐にわたるデジタル技術が導入されているため、サイバー攻撃のリスクは日々高まっています。

サプライチェーン攻撃とは、企業が外部のサプライヤーやパートナー企業との連携を通じて、間接的にサイバー攻撃の標的となることを指します。攻撃者は、セキュリティが弱い供給業者を突破口として利用し、ターゲットとする企業のネットワークに侵入します。自動車業界では、部品供給から販売に至るまでの広範なサプライチェーンが存在し、攻撃者にとって多くの侵入経路が存在するため、特に注意が必要です。

自動車産業では、車両のデジタル化が進むことにより、車載システムへのサイバー攻撃のリスクが高まっています。また、自動運転車の普及により、安全性への影響も懸念されています。さらに、サプライチェーンを通じた攻撃が生産停止や大規模な損害を引き起こす可能性もあり、総合的なセキュリティ対策が求められます。

ここでは、自動車関連の企業で実際に発生したサイバー攻撃の事例をいくつかご紹介します。

発表日付	企業名	概要
2022年3月	株式会社デンソー (独グループ会社) ※同社公式HP引用	同社の独グループ会社が不正アクセス(ランサムウェア攻撃)を受けた。この攻撃に関与しているとされるサイバー犯罪グループ「Pandora」がダークウェブ上に公開した犯行声明によると、設計図や発注書の画像など15万7,000件以上のファイル（1.4TB相当）が盗難されたとされている。この攻撃による生産や受注システムなどに対しての影響は無いとしている。
2023年9月	マツダ株式会社 ※同社公式HP引用	同社は、自社サーバーが外部からの不正アクセスを受け、個人情報の一部が流出した可能性があることを発表した。流出した可能性がある個人情報として、同社社員やパートナー会社、取引先などのアカウント情報で、氏名や連絡先など104,732件が含まれるとのこと。この不正アクセスはアプリケーションサーバーの脆弱性が原因と判明。同社はサーバーをシャットダウンし、セキュリティ専門家による調査を実施。警察と個人情報保護委員会への報告とともに、セキュリティ体制の強化と監視体制の厳格化を進めている。
2023年2月	小島プレス工業株式会社 ※同社公式HP引用	子会社が使用していたリモート接続機器の脆弱性を突かれたことで発生。攻撃者はこの脆弱性を利用して子会社のネットワークに侵入し、その後本社ネットワークへアクセス。攻撃はランサムウェアによるもので、一部のサーバとパソコン端末のデータが暗号化されたが、具体的な身代金額の要求はなかったとのこと。この一件によりトヨタ自動車の国内全14工場が停止した。
2024年2月	トヨタモビリティサービス株式会社 ※同社公式HP引用	同社は社用車専用クラウドサービス「Booking Car」のユーザー情報に関して、約25,000名のメールアドレスおよびお客様識別番号が漏洩した可能性があることを発表した。この問題は、システム開発に使用された古いアクセスキーを介して不正アクセスが行われたことにより発生したとされ、同社は対応として、アクセスキーの変更と不正アクセスのモニタリングを実施し、現在は二次被害は確認されていないと報告している。
2024年2月	株式会社Philo カーシェアサービス「RIDENOW」 ※同社公式HP引用	同社はカーシェアサービス「RIDENOW」運用中、システムへの不正アクセスにより約1700名のお客様情報が削除され、漏洩した可能性があることを明らかにした。漏洩可能性のある情報には、運転免許証や車両画像などが含まれるが、クレジットカード情報は保持していないため影響はないとしています。不正アクセスの原因は、過去に発行されたアクセスキーの不適切な処理とのこと。

日本自動車工業会（JAMA）と日本自動車部品工業会（JAPIA）が共同で策定した自動車産業サイバーセキュリティガイドラインは、自動車産業におけるサイバーセキュリティリスクへの対応を目的としています。これは、サプライチェーンを含めた業界全体でのサイバーセキュリティ対策のレベルアップを促進することを意図しています。

ガイドラインには、企業が実施すべきセキュリティ対策のフレームワークや自己評価基準が明示されており、これにより業界全体でセキュリティの向上が図られることが期待されています。初版は2020年3月に発行され、その後の改訂版では更なるレベルアップ項目が追加されています。

参照：一般社団法人 日本自動車工業会

アクトが提供するEDR+SOCサービス「セキュリモ」は、サイバー攻撃に対してAIでリアルタイム検知し、攻撃内容の可視化と分析内容を報告するPCやサーバーのセキュリティサービスです。弊社SOCチームが、グローバルトップクラスの検知率・防御力を持ったEDR（SentinelOne）のおまかせ運用を実現します。

アクトはSentinelOneとMSSP契約を持つ正式パートナーかつ、国内唯一のIRパートナーであり、 平常時からインシデント対応までお客さま負担をかけることなく、最高レベルのサイバーセキュリティをご提供します。

また、IT導入補助金対象サービスの『データお守り隊』もご提供しております。
EDR＋SOC＋簡易サイバー保険をお手頃価格でパッケージしたサービスです。補助金を申請することで低コストで高度なサイバーセキュリティ対策を実現できます。
ご興味がございましたら下記よりご確認ください。

アクトでは日頃のIR・SOC業務で多くの知見を持つ当社サイバーセキュリティ事業部のスペシャリストが、企業さまのセキュリティに関する不安を解消するため、全力でサポートさせていただいております。