【OMS/WMS主要企業に聞く サイバー攻撃対策】「サプライチェーン攻撃」への備え 求められる脆弱性の対策

今年10月、ランサムウェア感染にシステム障害の影響を受けたアスクルは、システムの切り離しとネットワーク遮断を行い、ECサービスの受注停止を余儀なくされた。アスクルの被害を踏まえ、OMS・WMSを提供する国内の主要3社に、サイバー攻撃に合わないための原因や対策を聞いたところ、「情報が集まる物流領域のサプライチェーン攻撃に備える必要がある」との指摘が聞かれた。物流全体におけるシステムのアップデートや投資、教育などが不十分である企業が目立ち、脆弱性を突かれない対策の必要性を説いている。

WMSが狙われる理由について、ロジレス（本社東京都）の吉崎剛史執行役員は、「OMSやWMSが止まると日々の商品の出荷も止まる。金銭的ダメージが大きいために狙われやすいのでは」と話す。

コマースロボティクス（本社東京都）の中嶋直人執行役員は、「物流業はサプライチェーンで多様な3PLや外部倉庫、ベンダー、サブシステムが関与するため、弱いところが一つでもあると全体を巻き込む『サプライチェーン攻撃』になりやすい可能性がある」とみている。

また、匿名を希望した同業他社の役員は、物流のサプライチェーンについて「攻撃側にとっては、身代金の支払いなど圧力をかけやすい魅力的な標的である可能性がある」とコメントしている。

このほか、サイバー攻撃の現状について、「フィッシングの巧妙化」「24時間365日運用によるシステムのダウンタイムの取りにくさ」「セールの繁忙時期などの攻撃タイミングが読みやすい」などの特徴が挙がった。

脆弱性への対応と教育

攻撃に合わないための対策について聞くと、セキュリティー対策、既存システムの適宜アップデート、従業員の教育─に大別された。

ロジレスの吉崎氏は（1）入り口の防御としてパスキーと二要素認証（2）EDRとWAFの全導入（3）権限は最小限に共有IDは廃止することを要点に挙げた上で、「改ざんできないバックアップと、別拠点にもコピーして復旧練習の定期的な実施も必要だ」と指摘した。

今後の対策について、コマースロボティクスの中嶋氏など2社は（1）レガシーシステムなどのアップデート（2）古いOSの継続利用による技術的脆弱性への対策（3）人員の入れ替えなどによるITセキュリティー教育の定期的な実施─を挙げた。

物流業界は年々デジタル化が進みつつあるものの、人的な脆弱性や業界の薄利多売の構造が横たわる。アスクルのように、ランサムウェアによる直接攻撃よりも、各社に届く「メールの巧妙さ」にいっそうの注意が必要になるという。コマースロボティクスの中嶋氏はメールなどからのファイルを開いて感染することが増えていることを認識した上で、「従業員への教育が必要不可欠」と指摘した。