サプライチェーン攻撃とは？手口と対策をわかりやすく解説

サプライチェーン攻撃は、狙った組織を直接は攻めない攻撃です。取引先や委託先、使っているソフトウェアなど、つながりの中の弱いところを足がかりにします。正規のソフトウェアや更新にマルウェアが混ぜられる手口もあります。自分の組織だけでなく、取引先やソフトウェアも含めて対策を考えることが大切です。

サプライチェーンとは

IPA（情報処理推進機構）によると、サプライチェーンは、商品の企画から開発、調達、製造、物流、販売までの一連の流れのことです。その流れに関わる組織や外部のサービスも含めてそう呼んでいます。

ソフトウェアを作るときに使う部品（ライブラリ）、道具、開発者などのつながりもあります。IPAは、これを「ソフトウェアサプライチェーン」と呼んでいます。

IPAの「情報セキュリティ10大脅威 2026」（組織向け）では、「サプライチェーンや委託先を狙った攻撃」が2位です。

IPAによると、攻撃者は、守りの固い組織を直接は攻撃しないことがあります。かわりに、その組織とつながりのある取引先や委託先、ソフトウェアなどの弱いところを狙います。

そして、その弱いところを経由して、間接的に、段階を踏んで狙った組織を攻撃します。そのため、自分の組織の対策がしっかりしていても、攻撃を受けるおそれがあります。

手口の1つは、関連会社や業務の委託先を攻撃し、そこが預かっている狙った組織の秘密の情報を盗むものです。

攻撃の足がかりにされた組織は、取引先に損害を与えることになり、取引の停止や損害賠償を求められることもあるとされています。

米国CISAは、ソフトウェアのサプライチェーン攻撃を次のように説明しています。攻撃者がソフトウェアの開発元のネットワークに入り込み、利用者に届く前のソフトウェアに不正なコードを仕込むものです。

CISAは、よくある手口として3つを挙げています。1つめは、正規の更新の配布を乗っ取ってマルウェアを混ぜる手口です。2つめは、コード署名（作った人と中身が本物だと示す仕組み）を悪用する手口です。3つめは、オープンソースの部品に不正なコードを入れる手口です。

IPAも、多くの組織が使うソフトウェアにマルウェアを仕込み、インストールや更新のときに感染させる手口を挙げています。ダウンロードのリンクを書き換えて、偽のソフトウェアを配る手口もあります。

正規の更新や部品を通じて入り込むため、そのソフトウェアを使うすべての利用者に影響が広がるおそれがあります。

IPAは、取引先や委託先も含めたセキュリティ対策が必要だとしています。信頼できる委託先や取引先を選ぶこと、契約で情報セキュリティの責任の範囲をはっきりさせることを挙げています。

委託先の対策の状況を定期的に確かめられる契約にすることも大切だとされています。納品されたものに含まれるソフトウェアを把握することも挙げられています。その管理には、SBOM（ソフトウェアの部品の一覧表）の導入の検討が勧められています。

CISAは、ソフトウェアを買う組織に向けて、使っているソフトウェアの一覧を持つことを勧めています。開発元が修正版を出しているかを調べておくことも挙げています。脆弱性が公表されたときの自分たちの対応も、決めて記録しておくよう勧めています。

CISAは、攻撃を受けたあとに被害を抑えるのは難しいため、攻撃の前から備えておくことが大切だとしています。IPAは、経済産業省や国家サイバー統括室などが公開している資料の活用も勧めています。

このサイトの記事は、米国CISAのKEV（実際に悪用が確認された脆弱性の一覧）に載った脆弱性を解説しています。

サプライチェーンへの備えの第一歩は、自分の組織で使っているソフトウェアや機器を把握することです。一覧があれば、記事の製品の名前とくらべて、関係があるかをすぐに確かめられます。

使っている製品や、委託先が使っている製品の記事を見つけたら、記事の公式情報で修正版を確かめ、早めに更新しましょう。