事例・2020年
SolarWinds Orion のサプライチェーン侵害
SolarWinds Orion のサプライチェーン侵害（英語名 SolarWinds Orion supply chain compromise）は、IT 管理ソフトウェアとその利用組織 (政府機関、重要インフラ、民間企業)で起きた事例です。侵入口、決定的な失敗、被害の順に、公表資料の記載だけで図にしました。
- 供給網
- 認証
- 検知
要点
- 侵入口 Orion のソフトウェアのビルドシステムが侵害され、2020年3月から6月に出た正規の更新に悪意あるコードが入った
- 決定的な失敗 ビルドの過程で混入したコードを検出できず、署名された正規の更新として顧客に配られた。
- 被害 CISA は少なくとも2020年3月から侵害が始まっていたとした。
攻撃の道筋
入口から、決定的な失敗を経て、被害に至るまで。図の番号は下の説明と対応します。図の文言は事例の記録からの引用です。
- 1侵入口ビルドシステム
Orion のソフトウェアのビルドシステムが侵害され、2020年3月から6月に出た正規の更新に悪意あるコードが入った。
- 2決定的な失敗署名された正規の更新
ビルドの過程で混入したコードを検出できず、署名された正規の更新として顧客に配られた。
- 3決定的な失敗SAML の署名証明書
侵入後は SAML の署名証明書を奪われ、正規に見えるトークンを偽造された。
- 4被害顧客
SolarWinds は混入した版を導入した可能性のある顧客を1万8,000未満と開示した。
- 1侵入口ビルドシステム
Orion のソフトウェアのビルドシステムが侵害され、2020年3月から6月に出た正規の更新に悪意あるコードが入った。
- 2決定的な失敗署名された正規の更新
ビルドの過程で混入したコードを検出できず、署名された正規の更新として顧客に配られた。
- 3決定的な失敗SAML の署名証明書
侵入後は SAML の署名証明書を奪われ、正規に見えるトークンを偽造された。
- 4被害顧客
SolarWinds は混入した版を導入した可能性のある顧客を1万8,000未満と開示した。
被害
CISA は少なくとも2020年3月から侵害が始まっていたとした。SolarWinds は混入した版を導入した可能性のある顧客を1万8,000未満と開示した。米政府は世界の1万6,000を超えるコンピューターシステムを偵察または妨害できる状態になったと述べた
決定的な失敗
- 1ビルドの過程で混入したコードを検出できず、署名された正規の更新として顧客に配られた。
- 2侵入後は SAML の署名証明書を奪われ、正規に見えるトークンを偽造された。
経過
2020年12月13日から123日間の記録。軸は日数の平方根で縮めています。
- 2020.12.130日目
CISA が緊急指令 ED 21-01 を出し、該当版の Orion を直ちにネットワークから切り離すよう連邦機関に命じた。同日 SolarWinds は約3万3,000の Orion 保守契約顧客に通知した
- 2020.12.141日目
SolarWinds が米証券取引委員会に 8-K を提出し、ビルドシステムの侵害による混入と顧客数を開示した
- 2020.12.174日目
CISA が注意喚起 AA20-352A を出した
- 2021.04.15123日目
米政府がロシア対外情報庁 (SVR) を実行者として正式に名指しした
防げた手立て
番号は攻撃の道筋の図と対応します。
-
ビルド環境の分離と完全性の検証
効く場所 1 -
署名鍵と SAML 署名証明書の保護
効く場所 3 -
更新後の不審な外部通信の監視
効く場所 4 -
特権 ID の監視
効く場所 3
関係するページ
手口、グループ、事例のつながりは、収録データの記録だけから引いています。
関係する手口
関係するグループ
出典
- SolarWinds Form 8-K (December 14, 2020) SolarWinds (SEC 提出書類)・2020-12-14
- ED 21-01 Mitigate SolarWinds Orion Code Compromise CISA・2020-12-13
- AA20-352A Advanced Persistent Threat Compromise of Government Agencies, Critical Infrastructure, and Private Sector Organizations CISA・2020-12-17
- FACT SHEET Imposing Costs for Harmful Foreign Activities by the Russian Government The White House・2021-04-15
最終確認日 （2026年10月24日）
監修 平原尚樹（株式会社BlueAI 代表取締役CEO、ソフトウェアエンジニア、Google Cloud Architect）