食品業界におけるサイバーセキュリティ：サプライチェーンを混乱させるサイバー攻撃の手口とは

この記事では、食品業界における多くのサイバー技術の脆弱性と、サイバー攻撃が食品業界における公衆衛生、食品の安全性、さらに財務の安定性をどのように危険にさらす可能性があるかについて説明します。

食品業界におけるサイバー脅威の背景

Dole社、Mondelez社、Sysco社などの企業へのサイバー攻撃が増加している中、食品サプライチェーンにおけるサイバーセキュリティが大きな懸念事項となっています。食品産業は世界で最も重要な産業のひとつであるため、そのサプライチェーンが混乱すれば、被害が拡大し、パニックに陥り、公衆の安全に懸念が生じます。このリスクは、食品製造や農業へのテクノロジー導入が進むにつれて高まる一方です。
2021年には、サイバー攻撃者が都市の上水道を汚染しようとしました。さらに、2023年のDole社へのサイバー攻撃では、北米での生産が停止し、攻撃が成功した場合の潜在的な食料不足と、食料価格高騰のリスクが浮き彫りになりました。しかし、これらは2つの例に過ぎず、これらよりもはるかに懸念されるリスクがあります。
食品会社は、サプライチェーンの各段階を管理するためにIoT技術と多様なソフトウェアを使用しているため、その関係者はかつてないほどサイバー攻撃のリスクにさらされているのです。サプライチェーンのリンクに1つでも脆弱性があれば、チェーン全体が攻撃や外部からの干渉にさらされる可能性があり、次のような事態につながります。

• 食品安全データや検査データの改ざん
• サプライチェーンへの偽造品の混入
• 生産の遅延、および財務的危機。

食品サプライチェーンの概要

食品サプライチェーンは、農場から食卓まで、あらゆる段階で固有の脆弱性に直面しています。それぞれの段階を詳しく見てみましょう。

・原材料の調達
生鮮食品の包装であっても、ほとんどすべての種類の食品は、小売店に流通する準備が整うまでに何らかの加工を経ています。最近の農場にはIoT技術、センサー、高度な灌漑システムなどが備わり、農作業や収穫のプロセスのほとんどが自動化されています。攻撃者はこのようなテクノロジーすべてにアクセスし、悪意をもって乗っ取ります。

・製造または加工
加工食品（スナック）や生鮮食品は、食品サプライチェーンのこの段階で加工されます。ほとんどの製造ユニットは、自動化された組立ラインを備えた、ハイテクを駆使したものです。この段階でサイバー攻撃や混乱が生じると、食品の完全性が損なわれ、食品の品質検査の有効性に疑義が生じ、膨大なロットの製品が消費者にとって安全でなくなる可能性があります。

・流通
この段階では、食品は倉庫に保管されるか、小売店に販売され、消費者が購入できるようになります。食品の輸送と流通もまた、冷蔵車の使用に大きく依存する、ハイテクを駆使したプロセスです。時には、食品が触れる光と湿度の量を制限できる倉庫が必要になることもあります。このような車両や倉庫の環境は通常、ハッキングされる可能性がある集中管理システムによって制御されています。ひとたび攻撃者がアクセスできてしまうと、食品を満載した倉庫やトラックを使用不能にしたり、食品を人質に取ったり、改ざんしたり、さらには偽造品を流通に紛れ込ませたりすることさえ可能になります。

・小売
この段階では、食品は最終消費者に販売されます。この段階でのデータ漏洩やハッキングは、クレジットカード情報などの顧客の支払いデータを危険にさらしてしまう可能性が高く、個人情報詐欺やその他の詐欺や攻撃のリスクにさらされます。

食品サプライチェーンを混乱させるサイバー攻撃の手口

食料不足のために食料品店の棚が空になる世界はぞっとする話ですが、食品業界に対するサイバー攻撃の脅威が高まっているため、ますますその話が現実味を帯びています。サイバー攻撃といえば、金融機関やハイテク大手を標的にしたものを思い浮かべがちですが、食品業界も格好の標的です。

それでは、サイバー攻撃が食品サプライチェーンにどのような損害を与えるのか見てみましょう。

輸送と物流の問題

物流プログラムや輸送システムが侵害されると、業務が完全に停止し、地域全体で食品棚が空となり、必要な食品や飲料の購入が制限されることになるかもしれません。様々な手法を用いるランサムウェア攻撃は、特に生鮮品や農産物の輸送中など、時間に追われている業務の場合には、企業を機能不全に陥れます。

PLCの改ざん

食品製造は、食品に添加される成分、添加物、保存料を綿密に調整する自動化技術であるプログラマブル・ロジック・コントローラ（PLC）に依存しています。ハッカーが製造施設内のこのテクノロジーにアクセスした場合、その結果は壊滅的なものになる可能性があります。PLCを悪意を持って改ざんすれば、製品に不正な成分や危険な物質が混入し、汚染が広まるかもしれません。

　　

PLCのサイバーセキュリティ究極ガイド

OT脅威の環境において、PLC（プログラマブル・ロジック・コントローラ）は、産業設備への容易なエントリーポイントを求める攻撃者にとって、新たな攻撃対象の1つとなっています。そこで、本記事ではPLCに確実に高度なサイバーセキュリティ対策を講じる方法について解説します。

サードパーティベンダーを介した攻撃

サードパーティベンダーはサプライチェーンでは安全なつながりのように見えるかもしれませんが、ハッカーのバックドアになる可能性があります。Verizon社の調査によると、サイバー攻撃の15%はサードパーティベンダーが関与しており、ある標的で侵害したアクセス権を使用して他の組織への攻撃を開始するという、憂慮すべき事態も見受けられます。1回のサイバー攻撃で得られた情報は、攻撃者にとって貴重な情報源となり、特定の脆弱性を標的にして、ピンポイントで業務を妨害できるようになります。たとえば、信頼している（しかし侵害されている）サードパーティベンダーから送られてきた文書を一度クリックするだけで、サイバー犯罪者はあなたの会社のデータやコードにアクセスできるようになります。危険にさらされるのはコードだけではありません。HACCP計画（危害分析重要管理点）などの公開された文書で、物理的なセキュリティや生産プロセスの弱点が明らかになり、攻撃者のロードマップとなる可能性もあるのです。

シャドーIT

多くの企業がシャドーITの規制に苦慮しています。シャドーITは、従業員が公式のITチャネル外で使用する、許可されていないクラウドアプリケーションや物理資産です。思慮の浅い従業員が個人のNASドライブを使用して機密データを保存している状況を考えてみてください。これは攻撃者にとって格好の標的となります。調査によると、労働者のほぼ80%がIT部門の承認を得ずにSaaSアプリケーションを使用しており、リスクをさらに高めています。このテクノロジーは、攻撃のアクセスポイントとして使用される可能性があります。

冷凍・冷蔵システムの停止

サイバー攻撃は、安全な食品温度を維持するために不可欠な冷凍・冷蔵システムを停止させる可能性があります。これは、食品の腐敗や食中毒の蔓延につながります。食肉で満たされた冷凍・冷蔵倉庫に少しでも手を加えられたり、ワインが保管されている場所の温度や湿度の設定が何者かに妨害されたりした場合、どれほどの製品が失われるかを考えてみてください。

データ窃取と恐喝

サイバー攻撃によって盗まれたデータは、DoS攻撃やDDoS攻撃、その他の形態のランサムウェアによって人質に取られることがあります。さらに、このデータは、多額の金銭を支払うように恐喝するためにも使用されることがあります。この種の攻撃によって企業が数百万ドルを失った事例や、これらの攻撃を通じて漏洩したデータがダークウェブで販売された事例はさらに多く存在します。

サイバー攻撃が食品物流におよぼす影響

・操業停止
ランサムウェア攻撃は、企業を運用環境のシステムから締め出し、重要なデータへのアクセスを不可能にします。このような攻撃や類似の攻撃により、操業が部分的または完全に停止してしまい、損失や供給不足につながる可能性があります。たとえば、Dole社はサイバー攻撃により、北米にある多くの乳製品加工工場を閉鎖せざるを得なくなりました。

・財務的影響
企業が身代金を支払わなかったとしても、操業停止、システムの保護、損なわれた評判の回復により、依然として損失を被る可能性があります。

・風評被害
データ漏洩やサイバー攻撃は、企業の評判や消費者の信頼を損ないます。情報漏洩のニュースは瞬く間に広がり、利害関係者の間で多くのパニックを引き起こします。そして、多くの人が自分の情報はそのブランドでどれだけ安全なのかと疑問に思うようになり、他の企業に乗り換えることを選択するようになります。

食品会社に損害を与えた主なサイバー攻撃

・JBS社へのランサムウェア攻撃
食肉加工大手のJBS社は、2021年6月にランサムウェアの攻撃を受けました。専門家によると、この攻撃はJBSのサイバーセキュリティ対策の不備が原因で発生し、従業員が業務用のログイン認証情報を別のサイトの認証情報として使用したことが原因でした。同社はその後、サイバーセキュリティ対策を改善し、適切なセキュリティプロトコルについて従業員をより正しく教育するための措置を講じました。この攻撃により、JBSは1,100万ドルを支払うことになりましたが、これはランサムウェアによる支払いとしては過去最高額のものです。この攻撃により、JBS社は米国内の複数の工場を閉鎖せざるを得なくなり、食品価格の上昇により深刻なパニックを引き起こしたと報告されています。

・Schreiber Foods社
クリームチーズで有名なウィスコンシン州の大手乳製品メーカー、Schreiber Foods社は、2021年10月にサイバー攻撃の被害に遭いました。この攻撃は同社の工場と配送センターに深刻な影響をおよぼし、数日間にわたって、乳製品加工を一時的に停止せざるを得なくなりました。攻撃者は250万ドルの身代金を要求し、同時にこの攻撃は、パン作りが盛んに行われるホリデーシーズン中にクリームチーズ不足を引き起こしました。

食品サプライチェーンでサイバーセキュリティを確保する方法

かつてないほど多くのテクノロジーが食品サプライチェーンのほぼすべての段階で使用されるようになり、結果的に、サイバー犯罪者に広大な攻撃対象領域を提供することになっています。自社のサイバーセキュリティに時間とリソースを投資することこそが、攻撃者がシステムへのアクセスを防ぐ唯一の方法です。

・システムのギャップの特定
システムとOT（運用制御技術）が確実に保護できているかを確認するために、サイバーセキュリティの状態を定期的に評価します。適切な診断テストや評価を実施しなければ、企業はシステムに存在する（サイバー犯罪者が悪用できる）多くの脆弱性に気づかないままになりがちです。

・サイバーセキュリティを意識する文化の醸成
サイバーセキュリティを強く意識する文化を醸成することも同様に重要と言えます。これは、現場の従業員から経営幹部まで、すべての従業員に対して堅牢なセキュリティ対策の重要性について教育することを意味しています。定期的なトレーニングセッションを通じて、従業員は不審なアクティビティを特定し、強力な認証プロトコルを理解し、データを安全に取り扱うための知識を身につけることになります。

・強固なセキュリティシステムへの投資
食品サプライチェーンを効果的に保護するには、OTゼロトラスト・セキュリティ・モデルに基づく包括的なアプローチを採用することをお奨めします。その背後にある原則は、「常に疑い、常に検証する」であり、絶対を信用せず、資産の完全性および振る舞いの継続的な検証を重視しています。この戦略は、運用制御技術（OT）環境特有の課題と脆弱性に対処するために特別に設計されています。たとえば、TXOne Networksは、高度なセキュリティ対策を統合することで、食品業界の関係者のリスク軽減、継続する稼働環境の確保、増大するサイバー攻撃の脅威からの公衆衛生の保護と安全性の確保を支援しています。具体的なユースケースの例をいくつか見てみましょう。

サプライチェーンのセキュリティを維持するため、TXOne NetworksはPortable Inspectorを提供しています。これは、インストールが不要で、持ち込み/持ち出しデバイスのスキャンを行い、マルウェアが含まれていないことを確認するデバイスです。この検査は、サプライチェーンに悪意のある要素が侵入するのを防ぐためには極めて重要です。

TXOne NetworksのCPS保護プラットフォームは、産業用プロトコル、ネットワークの挙動、資産の特性を活用して、ミッションクリティカルなサイバーフィジカルシステム（CPS）を保護します。このプラットフォームは、資産の特定と分類、ネットワーク構造の可視化、およびリスクに対処するための脅威インテリジェンスの管理に役立ちます。たとえば、食品飲料業界では、このテクノロジーにより、脅威をリアルタイムで検知して対応することで、自動化された瓶詰めラインの安全な稼働環境を確保できます。「資産ライフサイクル」全体を通じて、新しい資産にマルウェアがないことを確認し、設定を強化して、保護のためにネットワークをセグメント化し、コンプライアンス継続のために定期的なスキャンと更新を実行します。

TXOne Networksの侵入防御システム（IPS）は、サイバー脅威を効果的に防御します。当社のEdgeIPS製品は、「セグメンテーション」と「仮想パッチ」を用いて、包括的なネットワーク防御を実現します。ネットワークをより小さく分離されたセグメントに分割することで、食品飲料会社は潜在的な侵害や攻撃者のラテラルムーブメントを防ぐことができます。たとえば、このテクノロジーを使用して冷凍・冷蔵システムをセグメント化できます。これにより、マルウェアの拡散を防止し、サイバー攻撃を受けても製品が汚染されずに安全な状態を維持できるようになります。仮想パッチは、既知のエクスプロイトからシステムを保護することで、脆弱なシステムを即座に保護し、生産性を維持するために継続的な稼働を確保します。

・法執行機関およびサイバーセキュリティ専門家との連携
不幸にもサイバー攻撃や悪意をもった侵入が発生した場合は、迅速な行動をとることが不可欠です。その場合、地元の法執行機関（警察当局）に直ちに連絡してください。法執行機関には、犯罪を捜査し、攻撃者の責任を追及するための専門知識とリソースがあります。また、関連するサイバーセキュリティの専門家との連携も重要です。

・サイバーセキュリティ機関との連携によるリスクの最小化
TXOneなどのサイバーセキュリティ機関と連携することで、企業への大規模な攻撃を防止し、サイバー攻撃に対する継続的なサポートと保護が受けられます。

まとめ

食品サプライチェーンに先進技術が導入されたことは正しい方向への一歩ですが、その一方で、企業はサイバー攻撃に対してこれまで以上に脆弱な状態にあります。食品サプライチェーンのあらゆるレベルの企業が、サイバー攻撃に対して安全な状態を維持するために、サイバーセキュリティ対策と定期的なインフラ更新に投資することが強く求められています。同様に、防御やサイバーセキュリティ対策に役立つ知識やリソースを備えた政府およびサイバーセキュリティ企業とより緊密に連携することも重要です。
TXOneのICS環境向けに最適化されたソリューションは、食品サプライチェーンをサイバー脅威から守ります。食品工場の稼働環境がセキュアで、妨害されることがないよう支援させて頂きます。

食品業界のサイバーセキュリティ課題は常に変化しています。TXOneはお客様のサイバーセキュリティに関する課題について最適なOTセキュリティソリューションが提供できるよう、いつでもお手伝いさせていただきます。お問い合わせ内容を確認後、担当者より迅速にご連絡致しますので、お気軽にお問合わせください。