サプライチェーン攻撃の基本に関するQ&A
サプライチェーン攻撃の基本的な疑問にお答えします。
- Q: サプライチェーン攻撃とは何ですか？
- A: サプライチェーン攻撃とは、ターゲットとなる組織を直接攻撃するのではなく、その組織が信頼している取引先、委託先、ソフトウェアベンダーなどを経由して侵入するサイバー攻撃のことです。IPAでは「サプライチェーンの弱点を悪用した攻撃」と呼んでいます。信頼関係や正規の配布経路を悪用するため、検知が非常に困難という特徴があります。詳しくは「定義と仕組み」をご覧ください。
- Q: サプライチェーン攻撃と標的型攻撃の違いは何ですか？
- A: 両者の主な違いは「攻撃経路」にあります。標的型攻撃（APT）はターゲット組織を直接狙うのに対し、サプライチェーン攻撃は取引先やソフトウェアを経由して間接的に侵入します。ただし、高度な攻撃者はサプライチェーン攻撃を標的型攻撃の一手段として組み込むこともあり、両者は排他的なものではありません。
- Q: なぜサプライチェーン攻撃が増えているのですか？
- A: 主な理由は3つあります。第一に、大企業のセキュリティが強化され、直接攻撃が難しくなったこと。第二に、企業間のデジタル連携が増え、攻撃対象となる「つながり」が増えたこと。第三に、1回の攻撃で多数の組織に被害を与えられる「効率の良さ」です。IPAの10大脅威では3年連続2位にランクインしており、今後も増加が予想されています。
- Q: サプライチェーン攻撃は新しい攻撃手法ですか？
- A: いいえ、概念自体は以前から存在していました。しかし、2020年のSolarWinds事件をきっかけに世界的な注目を集め、その後Kaseya事件（2021年）やトヨタ・小島プレス事件（2022年）など大規模な被害が続いたことで、近年急速に認知度が高まりました。デジタル化の進展とともに、攻撃手法も進化し続けています。
- Q: どんな企業がサプライチェーン攻撃の標的になりますか？
- A: 最終的なターゲットは大企業や政府機関であることが多いですが、攻撃の「踏み台」として中小企業も狙われます。特に、大企業と取引関係にある中小企業、多くの顧客を持つMSP（マネージドサービスプロバイダ）やソフトウェアベンダー、機密情報を扱う委託先などがリスクの高いターゲットです。業種を問わず、取引関係がある組織はすべてリスクがあると考えるべきでしょう。
- Q: サプライチェーン攻撃にはどんな種類がありますか？
- A: 大きく3つの類型があります。①ソフトウェアサプライチェーン攻撃（ソフトウェアの開発・配布プロセスを悪用）、②ビジネスサプライチェーン攻撃（取引先や委託先を経由）、③サービスサプライチェーン攻撃（MSPやクラウドサービスを悪用）です。詳しくは「攻撃タイプ別」をご覧ください。
- Q: サプライチェーン攻撃と情報漏洩の関係は？
- A: サプライチェーン攻撃は、しばしば情報漏洩につながります。攻撃者がサプライチェーン経由で組織に侵入した後、機密データを窃取するケースが多くあります。また、委託先の情報管理の不備から個人情報が漏洩するケースも、広義のサプライチェーンリスクに含まれます。
被害・影響に関するQ&A
サプライチェーン攻撃の被害や影響に関する疑問にお答えします。
- Q: サプライチェーン攻撃の被害額はどれくらいですか？
- A: 被害額は事例によって大きく異なりますが、大規模な事例では数十億円から数百億円に達することがあります。Kaseya事件では攻撃者が要求した身代金総額は7,000万ドル（約100億円）、トヨタ・小島プレス事件では1日の工場停止による損失が数十億円と推定されています。また、直接的な損害に加えて、復旧費用、調査費用、信用失墜による機会損失など間接的な被害も大きくなります。
- Q: 中小企業も狙われますか？
- A: はい、中小企業も狙われます。むしろ、セキュリティ対策が手薄な中小企業は「踏み台」として狙われやすい傾向があります。攻撃者は大企業を直接攻撃するよりも、その取引先である中小企業を攻撃して侵入経路を確保する方が容易と判断することがあります。中小企業向けの対策は「中小企業向け」をご覧ください。
- Q: サプライチェーン攻撃を受けたらどうなりますか？
- A: 攻撃の目的によって被害内容は異なりますが、主な影響として①業務の停止（ランサムウェアによるシステム暗号化など）、②機密情報の漏洩、③金銭的被害（身代金要求、不正送金など）、④信用・評判の失墜、⑤法的責任の追及、⑥取引先との関係悪化などが考えられます。トヨタ・小島プレス事件では、サプライヤーへの攻撃が大企業の生産活動を完全に停止させました。
- Q: 取引先が攻撃されたら自社も被害を受けますか？
- A: 取引先との接続状況やデータ共有の程度によりますが、被害を受ける可能性はあります。取引先のシステムが侵害されると、①取引先経由で自社ネットワークに侵入される、②取引先に預けていた自社データが漏洩する、③取引先を装った詐欺（BEC）の被害に遭う、④取引先のサービス停止により自社の事業に影響が出る、といったリスクがあります。
- Q: サプライチェーン攻撃で個人情報は漏洩しますか？
- A: はい、漏洩する可能性があります。サプライチェーン攻撃の結果として、顧客情報、従業員情報、取引先情報などの個人情報が漏洩するケースは多くあります。特に、業務委託先が個人情報を取り扱っている場合、委託先のセキュリティ対策不備から漏洩が発生することがあります。個人情報保護法上、委託元にも管理責任が問われる可能性があります。
- Q: 被害を受けた場合、公表する義務はありますか？
- A: 法的な公表義務は状況によって異なります。個人情報が漏洩した場合、個人情報保護法に基づき個人情報保護委員会への報告と本人への通知が必要になることがあります。また、上場企業は金融商品取引法に基づく適時開示義務がある場合があります。法的義務がなくても、顧客や取引先への影響がある場合は、信頼維持のために自主的な公表を検討すべきでしょう。
対策に関するQ&A
サプライチェーン攻撃への対策に関する疑問にお答えします。
- Q: サプライチェーン攻撃を完全に防ぐことはできますか？
- A: 残念ながら、完全に防ぐことは困難です。サプライチェーン攻撃は信頼関係や正規の経路を悪用するため、すべてを遮断することは事実上不可能です。重要なのは「完璧な防御」ではなく、「リスクを許容可能なレベルまで下げる」「侵入された場合に早期発見・迅速対応する」という現実的なアプローチです。詳しくは「対策が難しい理由」をご覧ください。
- Q: 個人でできる対策はありますか？
- A: はい、個人レベルでできる対策は多くあります。強いパスワードの使用、パスワードの使い回し禁止、多要素認証（MFA）の設定、OSやソフトウェアの更新、不審なメールを開かない、「おかしいな」と思ったら報告するなどです。一人ひとりの行動がサプライチェーン全体のセキュリティに影響します。詳しくは「予防」をご覧ください。
- Q: 取引先のセキュリティをどう確認すればよいですか？
- A: 主な方法として、①セキュリティ質問票（アンケート）の送付、②第三者認証（ISO 27001、Pマークなど）の確認、③セキュリティ監査の実施、④契約書へのセキュリティ条項の盛り込み、⑤定期的なコミュニケーションなどがあります。すべての取引先を同じレベルで確認することは困難なので、重要度やリスクに応じた優先順位付けが重要です。詳しくは「取引先管理」をご覧ください。
- Q: 中小企業でも対策できますか？
- A: はい、予算や人員が限られていても実施できる対策はあります。まずは基本的なセキュリティ対策（パスワード管理、MFA、OSの更新）を徹底し、次に重要なデータのバックアップ、従業員への教育、インシデント発生時の連絡体制の整備などを進めましょう。無料または低コストで利用できるツールやガイドラインも多く公開されています。詳しくは「中小企業向け」をご覧ください。
- Q: どこから対策を始めればよいですか？
- A: まずは自社の現状把握から始めましょう。①どのような取引先・委託先があるか、②どのようなソフトウェア・サービスを利用しているか、③どこにリスクがあるかを洗い出します。次に、リスクの高い箇所から優先的に対策を講じます。具体的な進め方は「対策チェックリスト」を参考にしてください。
- Q: 社員教育はどう進めればよいですか？
- A: 効果的な社員教育のポイントは、①定期的な実施（年1回ではなく継続的に）、②実践的な内容（机上の理論だけでなくフィッシング訓練など）、③役職別のアプローチ（経営層、情シス、一般社員で内容を変える）、④「なぜ重要か」の理解促進、⑤報告しやすい文化の醸成です。詳しくは「セキュリティ教育」をご覧ください。
- Q: インシデントが発生したらどうすればよいですか？
- A: 基本的な対応手順は、①被害範囲の特定と隔離、②経営層・関係部署への報告、③証拠保全、④復旧作業、⑤原因究明と再発防止、⑥関係者への報告・公表です。事前にインシデント対応計画を策定し、訓練しておくことが重要です。詳しくは「インシデント対応」をご覧ください。
技術に関するQ&A
技術的な疑問にお答えします。
- Q: SBOMとは何ですか？
- A: SBOM（Software Bill of Materials：ソフトウェア部品表）とは、ソフトウェアに含まれるすべてのコンポーネントや依存関係を一覧化したものです。食品の原材料表示のソフトウェア版と考えるとわかりやすいでしょう。SBOMを管理することで、使用しているソフトウェアにどのようなコンポーネントが含まれているかを把握でき、脆弱性が発見された際に自社への影響を素早く確認できます。詳しくは「SBOM」をご覧ください。
- Q: ゼロトラストはサプライチェーン攻撃に有効ですか？
- A: はい、ゼロトラストの考え方はサプライチェーン攻撃対策にも有効です。ゼロトラストとは「信頼しない、常に検証する」というセキュリティモデルで、社内ネットワークでも無条件に信頼せず、すべてのアクセスを検証します。取引先からの通信であっても検証を行うことで、侵害された取引先経由の攻撃を検知できる可能性が高まります。詳しくは「ゼロトラスト」をご覧ください。
- Q: EDRとは何ですか？
- A: EDR（Endpoint Detection and Response）とは、PCやサーバーなどの端末（エンドポイント）での不審な挙動を検知し、対応するためのセキュリティツールです。従来のアンチウイルスがパターンマッチングで既知のマルウェアを検知するのに対し、EDRは振る舞いベースで未知の脅威も検知できます。サプライチェーン攻撃のように正規ソフトウェアを悪用する攻撃の検知にも有効です。
- Q: オープンソースソフトウェア（OSS）は危険ですか？
- A: OSSそのものが危険というわけではありません。多くのOSSは世界中の開発者によってレビューされており、商用ソフトウェアと同等以上の品質を持つものも多くあります。ただし、OSSの利用には適切な管理が必要です。どのOSSを使用しているかを把握し（SBOM）、脆弱性情報をウォッチし、更新を適切に行うことが重要です。詳しくは「OSS管理」をご覧ください。
- Q: CI/CDパイプラインのセキュリティとは？
- A: CI/CD（継続的インテグレーション/継続的デリバリー）パイプラインは、ソフトウェアの開発・ビルド・デプロイを自動化する仕組みです。このパイプラインが攻撃されると、正規のソースコードから悪意あるバイナリが生成される可能性があります。パイプラインへのアクセス制御、ログ監視、ビルド成果物の整合性検証などが重要な対策となります。詳しくは「CI/CDセキュリティ」をご覧ください。
- Q: クラウドサービスのセキュリティはどう確認しますか？
- A: クラウドサービスのセキュリティ確認方法として、①第三者認証（ISO 27001、SOC 2など）の取得状況、②サービス提供者のセキュリティホワイトペーパーの確認、③契約条項（SLA、データ取り扱い）の確認、④責任共有モデルの理解などがあります。また、自社側の設定ミスによるリスク（クラウド設定不備）にも注意が必要です。
法的・経営に関するQ&A
法務・経営視点での疑問にお答えします。
- Q: サプライチェーン攻撃の被害に遭ったら法的責任は？
- A: 法的責任は状況によって異なります。主な観点として、①個人情報保護法（個人情報が漏洩した場合）、②取引先との契約上の責任（守秘義務違反など）、③株主への責任（経営判断としてのセキュリティ投資）、④従業員への責任（個人情報の安全管理）などがあります。「攻撃の被害者だから責任がない」とは限らず、適切な対策を講じていなかった場合は責任を問われる可能性があります。法的な判断は弁護士にご相談ください。
- Q: 経営者として何をすべきですか？
- A: 経営者の役割として、①サプライチェーンリスクを経営課題として認識する、②セキュリティ対策への投資を判断する、③取引先管理の方針を示す、④インシデント発生時の意思決定体制を整備する、⑤BCPにサプライチェーンリスクを組み込む、⑥定期的な報告を受けて状況を把握するなどがあります。詳しくは「経営者向け」をご覧ください。
- Q: サイバー保険で補償されますか？
- A: 多くのサイバー保険はサプライチェーン攻撃による被害を補償対象としていますが、補償範囲や条件は保険商品によって異なります。一般的に、①調査・復旧費用、②事業中断による損失、③第三者への損害賠償、④広報・危機対応費用などが補償対象となります。ただし、身代金の支払い自体を補償するかは保険会社によって異なり、最近は除外される傾向もあります。加入前に補償内容を詳細に確認してください。
- Q: 取引先にセキュリティ対策を求めることはできますか？
- A: はい、取引先にセキュリティ対策を求めることは可能であり、推奨されています。方法として、①契約書にセキュリティ条項を盛り込む、②セキュリティ質問票への回答を求める、③第三者認証の取得を要求する、④監査権を契約に含めるなどがあります。ただし、中小企業の取引先には過度な負担にならないよう配慮が必要です。また、「要求するだけ」ではなく、ガイドラインの提供や教育支援など、取引先を支援する姿勢も重要です。
- Q: サプライチェーン攻撃に関する法規制はありますか？
- A: 日本では、サプライチェーン攻撃そのものを直接規制する法律は現時点ではありませんが、関連する法規制として、①個人情報保護法（委託先の監督義務）、②サイバーセキュリティ基本法、③各業界の規制（金融、医療、重要インフラなど）があります。また、経済産業省の「サイバーセキュリティ経営ガイドライン」でサプライチェーン対策が求められています。今後、法規制が強化される可能性もあります。
よくある誤解
サプライチェーン攻撃について、誤解されがちなポイントを整理します。
- 誤解1：「大企業だけが狙われる」
- 事実：中小企業も攻撃の「踏み台」として狙われます。むしろ、セキュリティ対策が手薄な中小企業こそ攻撃者にとって侵入しやすいターゲットです。トヨタ・小島プレス事件では、サプライヤーへの攻撃が大企業の全工場停止につながりました。サプライチェーンに属する組織は、規模に関係なくリスクがあります。
- 誤解2：「ウイルス対策ソフトがあれば安全」
- 事実：サプライチェーン攻撃は正規のソフトウェアや通信経路を悪用するため、従来のウイルス対策ソフトだけでは検知が困難です。パターンマッチングでは、正規のデジタル署名が付いた悪意あるアップデートを見分けることができません。振る舞い検知（EDR）や多層防御が必要です。
- 誤解3：「取引先のセキュリティは自社に関係ない」
- 事実：取引先のセキュリティ不備は、直接自社のリスクにつながります。取引先経由で侵入される、取引先に預けたデータが漏洩する、取引先を装った詐欺に遭うなど、取引先のセキュリティは自社の問題でもあります。サプライチェーン全体でのセキュリティ確保が求められます。
- 誤解4：「クラウドを使っていれば安全」
- 事実：クラウドサービス自体のセキュリティは高度に管理されていることが多いですが、それだけで安全とは言えません。①自社側の設定ミス（クラウド設定不備）、②クラウドサービス事業者への攻撃、③APIキーの漏洩など、クラウド環境特有のリスクもあります。責任共有モデルを理解し、自社の責任範囲を適切に管理することが重要です。
- 誤解5：「一度対策すれば終わり」
- 事実：サイバーセキュリティは「終わりのない取り組み」です。攻撃手法は日々進化し、新たな脆弱性が発見され、取引関係も変化します。定期的なリスク評価、対策の見直し、継続的な教育・訓練が必要です。一度対策して終わりではなく、PDCAサイクルを回し続けることが重要です。
まとめ
サプライチェーン攻撃に関するQ&Aを通じて、多くの疑問にお答えしました。ここで重要なポイントを振り返りましょう。
- サプライチェーン攻撃は信頼関係を悪用する攻撃であり、完全な防御は困難です
- 大企業だけでなく中小企業もリスクがあり、「踏み台」として狙われることがあります
- 個人でできる対策から始め、組織的な対策へと広げていくことが重要です
- 取引先のセキュリティは自社のリスクに直結するため、サプライチェーン全体での対策が必要です
- 技術的な対策（SBOM、ゼロトラスト、EDRなど）と人的対策（教育・訓練）の両輪で取り組みましょう
- 法的責任や経営課題としての認識も重要であり、経営層の関与が不可欠です
さらに詳しく知りたい方は、以下のページをご覧ください。
- 基礎から学ぶ：「サプライチェーン攻撃の基礎知識」
- 用語を調べる：「サプライチェーン攻撃の用語集」
- 事例を知る：「サプライチェーン攻撃の事例」
- 総合ガイド：「サプライチェーン攻撃とは」
サプライチェーン攻撃 完全ガイド ナビゲーション
総合ガイド
目的別に探す
役職・立場別に探す
業種別に探す
攻撃タイプ別に探す
人気のページ
重要なお知らせ
- 本記事は一般的な情報提供を目的としており、個別の状況に対する助言ではありません。
- 実際にサイバー攻撃の被害に遭われた場合は、警察（#9110）やIPA（03-5978-7509）などの公的機関にご相談ください。
- 法的な対応が必要な場合は、弁護士などの専門家にご相談ください。
- 記載内容は作成時点の情報であり、攻撃手法は日々進化している可能性があります。
更新履歴
- 初稿公開
