1. 2023年、何が起きたのか——1つのゼロデイの連鎖
2023年5月末、ある1つの製品の脆弱性が、世界のサプライチェーンを揺るがしました。企業間で機密ファイルをやり取りするためのマネージドファイル転送（MFT）製品「MOVEit Transfer」に、未知の脆弱性（ゼロデイ）が存在し、それがランサムウェアグループCl0p（クロップ）によって悪用されたのです。
この脆弱性は後に CVE-2023-34362 として公表されたSQLインジェクションの欠陥で、認証を経ずにMOVEit Transferのデータベースからファイルを窃取できるものでした。米国CISA（サイバーセキュリティ・インフラセキュリティ庁）の情報などによれば、この一連の攻撃で影響を受けた組織は世界で8,000を超え、米国だけで3,000以上にのぼるとされ、そこから流出した個人データは最終的に数千万人分規模に達したと報告されています。
重要なのは、被害を受けた組織の多くが「自分たちはMOVEitを導入していない」と考えていた企業だったという点です。給与計算、年金、保険、公共サービスなどを担う事業者がMOVEitを使ってデータをやり取りしており、その先にいる委託元企業や、さらにその顧客・従業員まで芋づる式に巻き込まれたのです。
この記事の立ち位置
本記事は、公表されている脆弱性情報・当局発表をもとに、この事件を防御側の教訓として整理するものです。攻撃の再現手順や悪用コードは扱いません。特定の被害企業を糾弾する意図もなく、公知の事実に基づいて構造的なリスクを解説します。
2. ファイル転送製品はなぜ狙われるのか
MOVEit Transferのようなマネージドファイル転送（MFT）製品は、企業間・部門間で大容量かつ機密性の高いファイルを安全にやり取りするための仕組みです。給与データ、顧客名簿、医療情報、金融取引データなど、まさに攻撃者が欲しがる情報が集まる場所です。
この種の製品が格好の標的になる理由は、次のような構造にあります。
- 機密データが集中する「ハブ」である：組織のあちこちに散らばる機密ファイルが、転送のために一箇所に集約される。1点を破れば大量のデータに到達できる。
- インターネットに面している：外部とやり取りする性質上、Webアプリケーションとしてインターネットに公開されていることが多く、攻撃者が直接到達できる。
- 多くの組織が同じ製品を使う：1つの製品にゼロデイが見つかれば、それを使う全組織が同時に標的になる。攻撃者にとっては「1つの鍵で多数の扉が開く」状態。
- 境界に置かれ、監視が手薄になりがち：データを「通すだけ」の中継装置とみなされ、内部システムほど手厚く監視されないことがある。
「境界に置いた便利な箱」が最大の弱点になる
ファイル転送製品に限らず、VPN機器・ロードバランサー・メールゲートウェイなど、インターネットとの境界に置かれる製品は、攻撃者にとって最初の侵入口として繰り返し狙われています。「重要な業務データを扱うのに、内部システムほど監視されていない」という盲点が、こうした製品を危険にします。境界に置く製品ほど、パッチ適用の速さと監視の密度が問われます。
3. Cl0pの手口——「暗号化しない」データ窃取型恐喝
この事件を主導したCl0pは、従来の「ファイルを暗号化して身代金を要求する」典型的なランサムウェアとは異なる戦術で知られています。MOVEitの事件で彼らが行ったのは、ファイルを暗号化せず、盗み出したデータを人質に取る「データ窃取型の恐喝」でした。
ゼロデイの「作り置き」と一斉展開
Cl0pは以前から、ファイル転送製品のゼロデイ脆弱性を狙う攻撃を繰り返してきました。彼らは脆弱性を発見しても即座には使わず、多数の標的に同時展開できるよう準備を整えたうえで、短期間に一斉に悪用する手法を取ったとされています。これにより、パッチが公開される前に大量の組織からデータを窃取できました。
暗号化しないことの「合理性」
なぜ暗号化しないのか。データ窃取型には攻撃者にとっての合理性があります。
- 復旧されても無意味にならない：暗号化型はバックアップから復旧されると身代金を取り損ねる。窃取型は「公開する」という脅しなので、バックアップの有無に関係なく圧力をかけられる。
- 発覚が遅れる：ファイルが暗号化されれば即座に異常に気づくが、静かにコピーして持ち出すだけなら、被害に長く気づかれない。
- 業務は止まらないが、信頼は失われる：被害組織は業務を継続できてしまう一方、顧客・従業員の個人情報が公開される脅威にさらされ、レピュテーションと法的責任の問題を抱える。
Cl0pは窃取したデータの一部をリークサイトに公開し、被害組織名を並べて交渉を迫る「二重恐喝」の手法を用いました。データを暗号化しないからといって、被害が軽いわけではまったくないのです。
ランサムウェア対策＝暗号化対策、ではない
「バックアップさえあればランサムウェアは怖くない」という考えは、データ窃取型の前では通用しません。暗号化への備え（復旧力）と、窃取・漏洩への備え（データ保護・アクセス制御）は別の対策です。近年の攻撃グループの多くが窃取型・二重恐喝へ移行しており、「盗ませない」「盗まれても中身を使わせない（暗号化・最小権限）」という観点が不可欠になっています。
自社のサプライチェーンに潜むリスクを把握できていますか？
UPAS ZTAは社内外の資産と通信を可視化し、外部委託先・連携システムからの侵入経路を管理します。「どこと、何が繋がっているか」を起点にサプライチェーンリスクの低減を支援します。
4. なぜ数千万人に波及したのか——第四者リスクの現実
この事件が象徴的なのは、被害の「広がり方」です。MOVEitを直接使っていたのは一部の事業者でしたが、被害はその何段も先まで連鎖しました。ここに現代のサプライチェーンリスクの本質があります。
「第三者」の先にある「第四者」
典型的な連鎖はこうです。ある大企業（発注元）が、給与計算や年金管理を専門の事業者（＝第三者／委託先）に委託していた。その事業者が、データ処理にMOVEitを使っていた。MOVEitが破られた結果、その事業者を経由して、委託元である大企業の従業員・顧客のデータまで流出した——。
ここで委託元から見ると、直接契約している委託先（第三者）のさらに先にある製品ベンダーやその脆弱性は「第四者（フォースパーティ）」にあたります。多くの組織は、直接の取引先までは把握していても、その取引先が何の製品・サービスに依存しているかまでは見えていません。この「見えない依存関係」が、被害を数千万人規模に広げました。
| 階層 | 立場 | 把握できているか |
|---|---|---|
| 自社（第一者） | データの持ち主 | 把握している |
| 委託先（第三者） | データ処理を委託した事業者 | 契約先として把握していることが多い |
| 委託先が使う製品・再委託先（第四者） | MOVEit等のツール／再委託先 | ほとんど把握できていない |
共通製品への集中がもたらす「システミックリスク」
もう1つの要因は、多くの組織が同じ製品に依存していたことです。特定の製品が業界標準として広く普及すると、その1つの脆弱性が業界全体・社会全体に同時に波及する「システミックリスク（系全体のリスク）」を生みます。利便性ゆえの集中が、単一障害点を作り出したのです。
5. 企業が取るべき対策——「使っていないつもり」を疑う
MOVEit事件の教訓は、「有名製品の脆弱性が公表されたら急いでパッチを当てる」だけにとどまりません。自社が直接見ていない依存関係まで含めてリスクを管理するという、一段深い備えが求められます。
① 自社の外部接続資産を棚卸しする
まず「インターネットに面している自社の資産」をすべて把握します。ファイル転送製品・VPN・公開サーバーなど、境界に置かれた製品こそ優先的に。攻撃対象領域（アタックサーフェス）の可視化は、すべての出発点です。「導入した覚えのない部門サーバー」が残っていないかも含めて洗い出します。
② 委託先・サプライヤーのセキュリティを評価する
契約している委託先が、どのようなセキュリティ体制で、どんな製品・再委託先に依存しているかを確認します。委託契約にセキュリティ要件・インシデント通知義務・監査権を盛り込み、重要な委託先には定期的な評価（サードパーティリスク管理／TPRM）を行います。「あなたは何に依存していますか」と問うことが、第四者リスクを見えるようにする第一歩です。
③ 脆弱性対応（パッチ）の速さを高める
境界製品のゼロデイは、公表から悪用までの時間が極めて短いのが常です。CISAの「悪用が確認された脆弱性（KEV）」カタログなどを参照し、境界製品のCritical脆弱性は最優先・短時間で適用する体制を整えます。適用できない場合の緩和策（該当機能の一時停止・アクセス制限）も事前に決めておきます。
④ 「盗まれる前提」の設計にする
侵入を100%防ぐことはできません。窃取型の攻撃に備え、データの最小化・暗号化・アクセスの最小権限化を進めます。転送・保管するデータを必要最小限にし、保管データは暗号化し、アクセスできる人・システムを絞る。これにより、万一侵入されても持ち出せる範囲・使える範囲を限定できます。
⑤ 検知と対応を用意する
静かにデータを持ち出す窃取型は、通信の異常検知が鍵になります。境界製品からの不審なアウトバウンド通信・大量のデータ転送を検知できるよう監視し、インシデント時の通知・報告フロー（顧客・委託元・当局）を事前に定めておきます。
サプライチェーン全体のセキュリティ、どこから手をつけますか？
Net Peaceは、外部接続資産の可視化・委託先を含むアクセス管理・SCS評価制度への対応準備まで、サプライチェーンセキュリティを一貫して支援します。まずは現状把握のご相談から。
6. Net Peaceによるサプライチェーンリスク低減
Net Peaceは、MOVEit事件が示した「見えない依存関係」と「境界の弱点」に対して、可視化と認証・アクセス管理の両面から対策を提供します。
UPAS ZTA——外部接続と資産の可視化
UPAS ZTAは、社内ネットワーク上の資産と、外部との通信をエージェントレスで可視化します。インターネットに面した資産・外部委託先からの接続・想定外の通信を把握し、「どこと、何が繋がっているか」を起点にサプライチェーンの侵入経路を管理します。認証済みデバイスのみに通信を限定することで、境界を破られた後の横展開も抑止します。
Keyper——委託先・外部ユーザーを含むID統制
サプライチェーン攻撃の多くは、委託先や外部ユーザーのアカウントを起点にします。KeyperはFIDO2/パスキーによるフィッシング耐性認証で、社員だけでなく取引先・協力会社を含むIDとアクセスを統制し、認証情報の窃取を起点とした侵入を防ぎます。
SCS評価制度への対応準備
経済産業省・IPAが推進するSCS評価制度（サプライチェーン・セキュリティ評価制度）は、まさにサプライチェーン全体のセキュリティ水準を可視化・向上させる枠組みです。Net Peaceは、ID・アクセス管理・資産可視化の側面から、SCS評価制度への対応準備を支援します。取引先を含めたセキュリティの底上げこそ、MOVEit型の連鎖被害を防ぐ本質的な備えです。