プレイヤー別で考える半導体産業のサイバー脅威と防御戦略（後編）

1. はじめに――事例から攻撃シナリオを読み解く

前編では、半導体サプライチェーンを構成するファブレス、ファウンドリー、製造装置メーカー、部素材メーカーという4つのプレイヤーに焦点を当て、それぞれが直面する脅威像を整理しました。そこで明らかになったのは、攻撃者の動機や標的資産、被害の現れ方はプレイヤーごとに異なるものの、半導体関連企業が直面する直接的影響は大きく「機密情報・知的資産の窃取」と「生産・出荷・保守を含む事業体制の一時停止・混乱」の2つに集約されるという点でした。

後編では、近年観測された半導体産業を標的とする攻撃キャンペーンの事例を概観したうえで、それらから合理的に想定される初期侵入から目的遂行までの攻撃シナリオを、前編で整理した2つのリスク、すなわち①情報窃取に至るシナリオと②操業停止に至るシナリオに分けて整理します。さらに、それぞれに対する防御策の方向性を提示することで、国内半導体業界への示唆を導出します。

なお、本稿における攻撃手法の分析において、インサイダーや産業スパイを通じた標的組織の関係者に対するヒューミント（HUMINT）は対象外としています。

2. 近年確認された半導体産業を狙う一連のサイバー攻撃の事例

2-1. 国家支援型アクターによる半導体産業へのスパイ活動

2023年10月、東アジアの半導体産業を標的とする国家支援型サイバースパイ活動に関する分析レポートが公表されています。この活動では、半導体大手企業を装った文書ファイルをおとりにして不正なプログラムを送り込み、電子署名された正規プログラムに不正なDLLファイルを読み込ませる手法（DLLサイドローディング）によって、攻撃ツールを実行していました（図表1）。電子署名が付された正規プログラムであっても、その仕組みを悪用される可能性があり、署名の有無だけでは安全性を判断できないことを示す事例です。

加えて、文書暗号化ソフトウェアのWebサーバーが侵害され、追加のマルウェアを配布するために悪用されていました。信頼されている正規ソフトウェアに関係するサーバーであっても、攻撃に悪用される可能性があることを示しています。本活動は、複数のセキュリティベンダーが過去に報告した国家支援型アクターのTTP（戦術・技術・手順）と重複が見られる点も特徴です。

図表1：国家支援型アクターによる東アジア半導体産業へのスパイ活動

2-2. 半導体産業エコシステムを狙うスピアフィッシングキャンペーン

2025年7月には、複数の国家支援型アクターが半導体産業を集中的に攻撃したことについても報告されています。注目すべきは、攻撃対象が半導体メーカーそのものにとどまらず、半導体業界を専門とする金融アナリストにまで拡大していた点です。

代表的な手口は以下の3つに整理できます（図表2）。

求職者を装ったスピアフィッシング：侵害された大学のメールアドレスから人事担当者宛に履歴書を装った添付ファイルを送付し、著名なペネトレーションツールや独自開発のマルウェアを配信
投資調査協業を装ったフィッシング：投資アナリストに協業を持ちかけ、独自開発のマルウェアを配信。価値の高い標的には、侵入後の段階で正規のリモート管理ツールを導入し長期潜伏。
多要素認証（MFA）を狙った認証情報の窃取：偽のログイン画面を介して利用者と正規サービスの通信に割り込み、パスワードだけでなく、多要素認証に用いられる情報も窃取（AiTM攻撃）

これら一連の活動は、半導体サプライチェーンに対するインテリジェンス収集の対象が、「設計・製造」にとどまらず、「金融・投資」や「人材」などの周辺領域にまで拡大していることを示しています。また、上記で挙げられたAiTM攻撃については、MFAを導入したとしても、その方式によってはフィッシング攻撃の影響を受ける可能性があることに留意する必要があります。

他方で、本キャンペーンで使用された独自開発マルウェアについては、短期間で複数回改変されていることも確認されています。その背景として、LLM（大規模言語モデル）を活用した開発・改良の効率化が進んでいる可能性が指摘されています。攻撃者によるAI悪用の進展は、攻撃の高度化・迅速化を促し、防御側にとって脅威の把握や対策の実装をより困難にする可能性があることから、今後の動向を注視する必要があります。

図表2：半導体産業エコシステムを狙うスピアフィッシングキャンペーン

2-3. ランサムウェアによる半導体企業への攻撃

先述の攻撃事例に加えて、半導体企業に対するランサムウェアおよび恐喝の事例も報告されています（図表3）。世界的な大手半導体企業に対しては、テラバイト級のデータ窃取と二重恐喝が複数確認されており、なかにはコード署名証明書が漏えいし、その後マルウェアの署名に悪用された事例もあります。

加えて、金銭目的のランサムウェア攻撃に見せかけ、実際には機密情報や知的財産の窃取を狙う国家支援型アクターの存在も指摘されています。このため、復旧用バックアップなどのランサムウェア対策だけでなく、攻撃に先立って行われる情報窃取も想定する必要があります。被害の表面だけで攻撃目的を判断せず、侵入経路や攻撃者の行動を詳しく分析することが重要です。

図表3：ランサムウェアによる半導体企業への攻撃

3. 想定される攻撃シナリオ

これらの事例から導出される攻撃シナリオは、攻撃者がもたらす最終的な影響に応じて、前編で整理した2つのリスクに対応する形で整理できます。

3-1. シナリオ①：情報窃取に至る攻撃シナリオ

まずは情報窃取に至る攻撃シナリオが想定されます（図表4）。これに対する主な対策は図表5のとおりです。

図表4：情報窃取に至る攻撃シナリオ（攻撃プロセス）

図表5：情報窃取に至る攻撃シナリオ（主な対策）

なお、国家支援型アクターが、知的財産窃取という戦略目的を金銭目的の犯罪に偽装するため、ランサムウェアを意図的に展開するケースも観測されています。表面的にはシナリオ②（操業停止）に見えるものの、本質的には情報窃取が主目的であり、攻撃者の真の意図を見極めるうえで注意が必要です。

3-2. シナリオ②：操業停止に至る攻撃シナリオ

次に考えられる攻撃シナリオは操業停止をもたらすものです（図表6）。こうした攻撃への主な対策は図表7のとおりです。

図表6：操業停止に至る攻撃シナリオ（攻撃プロセス）

図表7：操業停止に至る攻撃シナリオ（主な対策）

4. 国内半導体業界への示唆

本稿の事例分析と攻撃シナリオの整理から、国内半導体関連企業に対して以下の示唆が導かれます。

第1に、自社が直面する主要シナリオを特定することが出発点となります。前編で整理したとおり、ファブレスはシナリオ①の比重が高く、ファウンドリーや製造装置メーカーは①②双方への備えが求められ、部素材メーカーは事業ポートフォリオによって直面するリスクが大きく異なります。「自社にとって最悪の事態は何か」を経営層が明確に定義することが、防御投資の優先順位付けの前提となります。

第2に、攻撃者は正規ツール・正規サービス・正規署名済みバイナリを巧妙に悪用しているという事実を認識すべきです。例えば、既知の不審なIPアドレスやファイルのハッシュ値に基づく一般的な対策だけでは、正規ツールなどを悪用する攻撃を十分に検知できません。そのため、振る舞いベースの検知や正規通信に紛れ込むC2（Command and Control）を見抜けるネットワークの可視化などが不可欠です。

第3に、LLMを利用した攻撃の高速化・多言語化への備えが必要です。攻撃者がマルウェアを短期間で開発・改変できるようになりつつある現在、日本語フィッシングメールの品質も急速に向上しています。従業員教育に依存した防御から脱却し、フィッシング耐性があるMFAなどの技術的対策を徹底することが求められます。

第4に、攻撃者の真の意図を見極める脅威インテリジェンスの活用が重要です。ランサムウェア攻撃の背後に国家支援型アクターが存在し、情報窃取が主目的であるケースも報告されています。表面的な被害形態だけで対応方針を決めるのではなく、攻撃者の動機・TTPに踏み込んだ分析を踏まえてインシデント対応・公表方針を設計することが望まれます。

第5に、半導体産業全体の防御は単独企業の取り組みでは完結しません。サプライチェーン経由の侵害が繰り返し観測されている以上、取引先や保守ベンダーなどを含めたサプライチェーン全体のセキュリティガバナンスが不可欠です。業界横断・官民連携の取り組みを日本として加速させる必要があります。

最後に、半導体は単なる民生技術ではなく国家戦略資産であるという認識を、サイバーセキュリティ戦略にも反映させることが求められます。前編で述べた「守るべきものは情報資産だけでなく量産能力、供給継続能力、顧客との信頼関係、国家戦略上の優位性」という視点は、後編で示した2つの攻撃シナリオの双方において当てはまります。日本企業には、自社の業態に応じて重心を置くべき対策を見極めつつ、情報窃取対策と操業停止対策を分断せず、統合的なサイバー防御戦略として設計・実装していくことが強く求められます。