サプライチェーン攻撃の手口：侵害されたDevOpsツールはどのように悪用されるのか

デジタルサプライチェーンへの攻撃は、今日における主要なサイバー脅威の一つであり、その攻撃件数は2021年だけで3倍に増加したと見られています。昨年発生した大規模なデータ侵害のいくつかは、デジタルサプライチェーンを標的としたものでした。

ここでは、デジタルサプライチェーンにおいて最も見過ごされがちな脅威の一つである、侵害されたDevOpsツールを通じてSalesforceプラットフォームを悪用するサプライチェーン攻撃の手口に焦点を当てます。数千もの組織の顧客関係管理インフラの重要な一部であるSalesforce Cloudは、機密データへのアクセスを狙う攻撃者にとって魅力的な標的の一つです。

開発者は数多くのツールを自由に利用できますが、特に有名なベンダーや公式ストアから提供されているツールであれば、その安全性を盲目的に信頼してしまう傾向があります。しかし、悪名高いSolarWindsハッキングが示すように、有名なベンダーであっても侵害され、攻撃を可能にするために悪用される可能性があります。

侵害されたDevOpsツールは、開発者が携わるあらゆるITエコシステム（Salesforceプラットフォームなど）への攻撃を容易にするために悪用される可能性があります。

この短い動画をご覧いただき、DevOpsツールとSalesforceプラットフォームを介したサプライチェーン攻撃の実態をご確認ください。

このような攻撃は、攻撃者が管理不十分なソースコードリポジトリを嗅ぎ回ることから始まる場合があります。セキュリティ対策が施されていない公開ソースコードをスキャンすることで、ユーザーの認証情報やAPIトークンが明らかになる可能性があり、これらは、例えば、ソフトウェアリポジトリやマーケットプレイスを通じてアプリケーションを提供しているソフトウェア開発会社が使用するCI/CDツールへのアクセス権を取得するために悪用される恐れがあります。

ここから、悪意のある攻撃者は、CI/CDツールによって構築されたソフトウェアがマーケットプレイスに公開される前に、その中にマルウェアを密かに仕込むことができます。こうして、そのソフトウェアをダウンロードしたユーザーは、悪意ある仕掛けが隠された改ざんされたバージョンを入手することになります。

この隠されたペイロードは、攻撃者のWebサーバーから追加のマルウェアをダウンロードし、ユーザーのエンドポイントマシンだけでなく、それらが接続されているオンプレミスまたはクラウドベースのシステムも侵害することを可能にします。これには、サードパーティ製アプリケーションのインストールや接続を許可するSalesforceプラットフォームも含まれます。
これにより、攻撃者はSalesforceのすべての接続と機能を利用できるようになります。例えば、コンテンツ共有機能を利用して、従業員、パートナー、顧客を含むユーザーに対して、特別に作成されたマルウェアやフィッシングリンクを配布することが可能です。

こうして攻撃者は、あらゆる悪意のある活動を実行できるようになります。最も一般的な結果の一つは、コマンド＆コントロール（C&C）バックドアの確立であり、これにより攻撃者は継続的に横方向の移動を行い、重要なデータの窃取を開始できるようになります。