共に、中国政府のためのスパイ活動に従事していたという見方がされている訳である。以上の2017年から続く一連のサイバー・インシデントは、サイバーセキュリティ業界にとって、サプライチェーン攻撃に対するウェイクアップ・コール(目を覚まさせるもの)となったようだ。サプライチェーン攻撃とは、ソフトウェアサプライチェーン攻撃を包含するより広い概念であるが、そこにはハードウェアに対してスパイ行為に使えるような仕掛けを組み込むことが含まれている。Meyers)副社長は、オンライン配信動画の中で、2017年の変化への驚きを語っている。vector)」と見られており、多くの人々に心の中で、ハードウェアや集積回路などの問題であると受け止められていたという。ここでいう媒介要素とはマルウェアを媒介する要素、つまり攻撃経路のことである。グレイ・アナリティックス社は、同社ウェブサイト上で、サプライチェーン・サイバーセキュリティはここ数年で、商業や民間組織の重大なセキュリティ問題へと進化したとしている。2017年以前には、数十年にわたって、そのような懸念は「国防総省の問題」に過ぎなかったとしている。バリウムのケースなどにも見られるように、サプライチェーン攻撃は相変わらず国家に対する国家による攻撃の側面が強い。それによってサイバー攻撃に曝された民間企業への被害もまた懸念されているのである。それは政府機関を襲う2017年から2019年に掛けて、ウクライナを混乱に陥れるために使用されたり、個人を対象としたスパイ活動に使用されたりしてきたと見られるソフトウェアサプライチェーン攻撃であるが、2020年にはそのやり方に大きな変化が見られる。前編の冒頭で紹介した米官公庁に対するサンバーストによる大規模な攻撃に見られるように、政府機関そのものに対する直接的で大規模な攻撃が始まっているのである。この傾向は、米国に対するもののみに止まらない。同年、複数のモンゴル政府機関に対しても、ソフトウェアサプライチェーン攻撃を使用した活動が確認されている。このときモンゴル政府を狙った脅威アクターの正体に関しては現時点(2021年1月)でははっきりしていない。Mouse)やTA428といった複数の脅威アクターが候補として挙げられている。して時系列で追っていくと、ソフトウェアサプライチェーン攻撃の対象には傾向があるように見えてくる。2017~2019年に起こったいくつかの事件は何れも実行者としてロシアと中国が疑われている訳であるが、この時期に、ロシアは他国の混乱を目指して、中国は誰か個人(もしくはグループ)の情報窃取を目指して活動していたように見える。2020年になって、やはりこれら両国政府を背景とするものと疑われる複数の脅威アクターによって、ソフトウェアサプライチェーン攻撃を使用した政府機関への大規模で直接的な侵入が図られているのである。ここで一般的に、脅威アクターが何者であるかの特定は難しいということは、あらためて思い出しておく必要がある。疑われる全てのインシデントにおいて、ロシアや中国が攻撃者であると断定的に議論をするのは危険である。現状の分析を単純に読み取るのであれば、中国とロシアの両政府が2020年になって、時を同じくしてソフトウェアサプライチェーン攻撃を国家機関に対して本格的に使用し始めているように見える。両国が2017~2019年という同じ時期にその手法を別々に試し有効性に自信を深め、同じ2020年になって、いよいよ国家機関に対するスパイ行為にその手法を使用し始めているように見えるのである。これらの攻撃の実行者が何者であろうと、何者かが本格的な攻撃に乗り出していることに変わりはない。ソフトウェアサプライチェーン攻撃という特殊な経路から侵入するマルウェアに対応する必要に迫られているのは、米国やモンゴルだけではないだろう。ここで、その対応のために必要なのは、政府機関のセキュリティの向上だけではない。各国政府は、ソフトウェア業界全体のセキュリティ向上という課題をも突き付けられている。security)が導入され始めている。官民挙げてのセキュリティの向上が、国家機密の保護という観点から求められている。2019年2月26日。