サプライチェーン攻撃とは何か
サプライチェーン攻撃とは、信頼している取引先やソフトウェアを経由して組織に侵入するサイバー攻撃のことです。直接攻撃するのではなく、ターゲットが信頼している「つながり」を悪用するのが特徴で、IPAでは「サプライチェーンの弱点を悪用した攻撃」と呼んでいます。
この攻撃が注目される理由は、その深刻さにあります。IPAが毎年発表する「情報セキュリティ10大脅威」において、サプライチェーン攻撃は2023年から2025年まで3年連続で組織向け脅威の2位にランクインしています。トヨタ自動車の全工場が停止した事件や、世界で1,500社以上が被害を受けたKaseya事件など、一度発生すると甚大な被害をもたらします。
この基礎知識カテゴリでは、サプライチェーン攻撃を理解するために必要な情報を体系的にまとめています。定義と仕組み、攻撃の手口、フィッシングやランサムウェアとの関係、予防策、よくある質問、専門用語まで——このカテゴリを読み終えれば、サプライチェーン攻撃の全体像をつかむことができます。
専門知識がなくても理解できるよう、難しい用語はかみ砕いて説明していますので、セキュリティの入門としても活用してください。
サプライチェーン攻撃の定義と仕組み
サプライチェーン攻撃の本質は、「信頼関係の悪用」にあります。私たちは日常的に、取引先からのメールを開き、業務ソフトウェアをアップデートし、クラウドサービスにデータを預けています。これらはすべて「信頼」に基づいた行動です。攻撃者はこの信頼を逆手に取り、正規の経路を通じて悪意あるコードや侵入経路を紛れ込ませます。
たとえば、正規のソフトウェアアップデートに悪意あるプログラムが混入されていた場合、利用者は「公式のアップデートだから安全」と考えてインストールしてしまいます。これがサプライチェーン攻撃の恐ろしさです。ファイアウォールやウイルス対策ソフトは、正規の経路からやってくるものを基本的に信頼するため、検知が非常に難しくなります。
- サプライチェーン攻撃が成立する3つの要素
- 1. **正規の経路を使う**：公式のアップデートサーバーや取引先からの通信など、本来は信頼される経路を悪用します。 2. **信頼関係を利用する**：取引先やソフトウェアベンダーへの信頼を利用し、警戒を解かせます。 3. **検知が困難**：正規のプログラムや通信に紛れ込むため、従来のセキュリティ対策では見つけにくいのです。
サプライチェーン攻撃の定義や仕組みをより詳しく知りたい方は、「サプライチェーン攻撃の定義と仕組み」で、IPAや経済産業省の公式な定義、日常生活に例えたわかりやすい解説をご覧いただけます。
サプライチェーン攻撃の手口と侵入経路
サプライチェーン攻撃には、さまざまな手口と侵入経路があります。代表的なパターンを理解しておくことで、どこにリスクがあるのかを把握しやすくなります。
- ソフトウェアアップデートの改ざん
- 正規のソフトウェアアップデートに悪意あるコードを混入させる手口です。SolarWinds事件では、ネットワーク管理ソフトの更新プログラムが改ざんされ、世界中の政府機関や企業が被害を受けました。
- 取引先のネットワーク経由
- セキュリティが手薄な取引先を経由して、本命のターゲットに侵入する手口です。トヨタ・小島プレス事件では、部品メーカーへの侵入がトヨタ全工場の停止につながりました。
- クラウドサービス・MSP経由
- 多くの企業にサービスを提供するMSP（マネージドサービスプロバイダ）を攻撃し、その顧客企業すべてに被害を広げる手口です。Kaseya事件では、1社への攻撃が1,500社以上のランサムウェア感染につながりました。
- オープンソースへの悪意あるコード混入
- 多くのソフトウェアが利用するオープンソースのライブラリに悪意あるコードを紛れ込ませる手口です。似た名前のパッケージを作成する「タイポスクワッティング」も含まれます。
これらの手口について、攻撃の流れや検知方法まで詳しく知りたい方は、「サプライチェーン攻撃の手口と侵入経路」をご覧ください。
サプライチェーン攻撃とフィッシング・メールの関係
サプライチェーン攻撃の多くは、1通のメールから始まります。IPAの調査によると、標的型攻撃の9割以上がメールを起点としています。特に危険なのは、実在する取引先を装ったなりすましメールです。
通常のフィッシングメールであれば、「知らない送信者からのメールは開かない」という対策が有効です。しかしサプライチェーン攻撃では、実際の取引先の名前やメールアドレスに似せた偽装が行われます。さらに、攻撃者が事前に情報収集を行い、実際の取引内容や担当者名を把握しているケースもあるため、見分けることが非常に困難です。
取引先を装ったなりすましメールには、以下のような特徴があります。
- 送信者アドレスが正規のものと1文字だけ異なる
- 緊急性を煽る文面（「至急対応をお願いします」「本日中に確認が必要です」）
- 請求書や見積書を装った添付ファイル
- 偽のログインページへ誘導するリンク
フィッシング詐欺の手口と組み合わされることで、サプライチェーン攻撃はより巧妙になっています。メールを起点とした攻撃への対策を詳しく知りたい方は、「サプライチェーン攻撃とフィッシング」をご覧ください。
サプライチェーン攻撃とランサムウェアの関係
サプライチェーン攻撃とランサムウェアが組み合わさると、被害は爆発的に拡大します。2021年のKaseya事件では、MSP向けのリモート管理ソフトを悪用した攻撃により、わずか数時間で世界中の1,500社以上がランサムウェアに感染しました。攻撃者が要求した身代金の総額は7,000万ドル（約100億円）に達しています。
サプライチェーン経由でランサムウェアが広がる理由は明確です。攻撃者にとって、1社を攻撃するよりも、多くの企業にサービスを提供するMSPやソフトウェアベンダーを攻撃する方が「効率が良い」のです。1回の侵入で数百〜数千社に被害を与えられるため、身代金の回収確率も高まります。
国内でも、サプライチェーン経由のランサムウェア被害は増加しています。
| 事例 | 発生年 | 侵入経路 | 被害の概要 |
|---|---|---|---|
| トヨタ・小島プレス | 2022年 | サプライヤーのVPN | トヨタ全14工場が1日停止 |
| 大阪急性期・総合医療センター | 2022年 | 委託先のVPN | 電子カルテ停止、診療制限 |
| 名古屋港 | 2023年 | VPN機器の脆弱性 | コンテナターミナル約3日停止 |
ランサムウェア対策としてのバックアップの重要性や、感染時の復旧手順については、「サプライチェーン攻撃×ランサムウェア」で詳しく解説しています。
サプライチェーン攻撃を予防する基本
サプライチェーン攻撃は、組織的な対策だけでなく一人ひとりの行動でリスクを減らすことができます。「自分には関係ない」と思わず、まずは個人でできる予防策から始めましょう。
- 強いパスワードを使う
- 12文字以上で、大文字・小文字・数字・記号を組み合わせましょう。パスワードの使い回しは厳禁です。覚えきれない場合は、パスワードマネージャーの活用を検討してください。
- 多要素認証（MFA）を設定する
- パスワードだけでなく、スマートフォンの認証アプリやSMS認証を組み合わせることで、不正ログインのリスクを大幅に減らせます。業務メールやクラウドサービスには必ず設定しましょう。
- OSとソフトウェアを最新に保つ
- アップデートには、セキュリティの脆弱性を修正するものが含まれています。自動更新を有効にして、常に最新の状態を維持することが重要です。
- 不審なメールや添付ファイルに注意する
- 取引先を装ったメールでも、違和感があれば開かずに確認しましょう。添付ファイルを開く前に、電話など別の手段で送信者に確認する習慣をつけることが大切です。
組織的な対策の前に、まず個人ができることから始めることが、サプライチェーン全体のセキュリティ向上につながります。予防策の詳細は、「サプライチェーン攻撃の予防」をご覧ください。
サプライチェーン攻撃対策が難しい理由
サプライチェーン攻撃への対策が難しいと感じる方は多いでしょう。実際、この攻撃には構造的な課題があり、「完璧に防ぐことは不可能」というのが専門家の共通認識です。
- 信頼関係を悪用するため検知が困難
- 正規のソフトウェアや取引先からの通信を経由するため、従来のセキュリティ対策では見分けがつきません。SolarWinds事件では、発見までに数ヶ月を要しました。
- 自社だけでは守れない構造
- 自社のセキュリティをいくら強化しても、取引先が侵害されれば被害を受ける可能性があります。サプライチェーンの中で最もセキュリティが弱い箇所が狙われます。
- Tier2・Tier3以降が見えない
- 直接の取引先（Tier1）は把握できても、その先の取引先（Tier2、Tier3）までは可視化が困難です。トヨタ・小島プレス事件では、小島プレスの関連会社のリモート接続が侵入経路でした。
しかし、「難しいから諦める」のではなく、「完璧は無理だが、リスクを下げることはできる」という現実的なアプローチが重要です。対策の難しさと現実的にできることについては、「サプライチェーン攻撃対策が難しい理由」で詳しく解説しています。
サプライチェーン攻撃Q&A
サプライチェーン攻撃について調べていると、さまざまな疑問が浮かんでくるでしょう。よくある質問をいくつかご紹介します。
- Q: サプライチェーン攻撃は大企業だけが狙われるのですか？
- A: いいえ、中小企業も狙われます。むしろ、セキュリティ対策が手薄な中小企業が「踏み台」として利用され、そこから大企業への侵入経路として悪用されるケースが増えています。
- Q: ウイルス対策ソフトを入れていれば安全ですか？
- A: 残念ながら、サプライチェーン攻撃は正規のソフトウェアや通信経路を悪用するため、従来のウイルス対策ソフトだけでは検知が困難です。多層的な防御が必要です。
- Q: 個人でも被害を受ける可能性はありますか？
- A: はい、あります。個人が利用するソフトウェアやクラウドサービスがサプライチェーン攻撃を受けた場合、個人情報の漏洩やアカウントの乗っ取りにつながる可能性があります。
- Q: どこから対策を始めればよいですか？
- A: まずは基本的なセキュリティ対策（強いパスワード、MFA、OSの更新）から始め、組織であれば取引先のセキュリティ確認や、インシデント対応計画の整備へと進めていくことをお勧めします。
より詳しいQ&Aは、「サプライチェーン攻撃Q&A」をご覧ください。基本的な疑問から技術的な質問、よくある誤解まで幅広く回答しています。
サプライチェーン攻撃の用語集
サプライチェーン攻撃を学ぶ中で、聞き慣れない専門用語に戸惑うことがあるかもしれません。押さえておくべき主要な用語をご紹介します。
- SBOM（Software Bill of Materials：ソフトウェア部品表）
- ソフトウェアに含まれるすべてのコンポーネントや依存関係を一覧化したものです。脆弱性管理やライセンス管理に活用されます。
- ゼロトラスト（Zero Trust）
- 「信頼しない、常に検証する」というセキュリティの考え方です。社内ネットワークであっても無条件に信頼せず、すべてのアクセスを検証します。
- EDR（Endpoint Detection and Response）
- PCやサーバーなどの端末（エンドポイント）での不審な挙動を検知し、対応するためのセキュリティツールです。
- TPRM（Third Party Risk Management：第三者リスク管理）
- 取引先や委託先など、組織外の第三者に関連するリスクを特定・評価・管理するプロセスです。
- MFA（Multi-Factor Authentication：多要素認証）
- パスワードに加えて、スマートフォンや生体認証など複数の要素で本人確認を行う認証方式です。
- APT（Advanced Persistent Threat：高度で持続的な脅威）
- 特定の組織を狙い、長期間にわたって執拗に攻撃を続ける高度なサイバー攻撃のことです。
- BEC（Business Email Compromise：ビジネスメール詐欺）
- 取引先や経営者になりすまして送金や情報提供を求める詐欺の手口です。
これらの用語の詳しい解説や、その他の関連用語については、「サプライチェーン攻撃の用語集」をご覧ください。ブックマークしておくと便利です。
基礎知識を学んだ次のステップ
サプライチェーン攻撃の基礎知識を理解したら、次はあなたの役割や立場に合わせて、より深い知識を身につけましょう。
| あなたの立場 | おすすめのカテゴリ | 学べる内容 |
|---|---|---|
| 経営者・役員 | 経営者向け | 経営リスク、ガバナンス、投資判断 |
| 情報システム担当 | 対策・自社向け | 多層防御、脆弱性管理、インシデント対応 |
| 調達・購買担当 | 取引先管理 | 取引先評価、契約条項、セキュリティ質問票 |
| 中小企業の担当者 | 中小企業向け | 低コスト対策、優先順位、大企業の要求への対応 |
| 開発者・技術者 | 技術者向け | SBOM、CI/CD、OSS管理、脅威モデリング |
また、実際にどのような被害が発生しているのかを知りたい方は、「事例・動向カテゴリ」で国内外の具体的な事例を学ぶことができます。
まとめ
サプライチェーン攻撃の基礎知識について、ここまでの内容を振り返りましょう。
- サプライチェーン攻撃とは、信頼している取引先やソフトウェアを経由して侵入するサイバー攻撃であり、IPAの10大脅威で3年連続2位にランクインしている重大な脅威です
- 攻撃が成功する理由は、正規の経路と信頼関係を悪用するため、従来のセキュリティ対策では検知が困難なことにあります
- 侵入経路は、ソフトウェアアップデートの改ざん、取引先ネットワーク経由、クラウドサービス経由など多岐にわたります
- フィッシングやランサムウェアと組み合わさることで、被害はより深刻になります
- 個人でできる予防策（パスワード管理、MFA、アップデート）から始めることが、サプライチェーン全体のセキュリティ向上につながります
- 完璧な防御は難しいですが、リスクを軽減するための現実的なアプローチは存在します
サプライチェーン攻撃についてさらに詳しく知りたい方は、「サプライチェーン攻撃とは｜総合ガイド」もあわせてご覧ください。
サプライチェーン攻撃 完全ガイド ナビゲーション
総合ガイド
目的別に探す
役職・立場別に探す
業種別に探す
攻撃タイプ別に探す
人気のページ
重要なお知らせ
- 本記事は一般的な情報提供を目的としており、個別の状況に対する助言ではありません。
- 実際にサイバー攻撃の被害に遭われた場合は、警察（#9110）やIPA（03-5978-7509）などの公的機関にご相談ください。
- 法的な対応が必要な場合は、弁護士などの専門家にご相談ください。
- 記載内容は作成時点の情報であり、攻撃手法は日々進化している可能性があります。
更新履歴
- 初稿公開
