サプライチェーン攻撃とは？仕組みと対策を解説

「サプライチェーン攻撃って、何を狙う攻撃?」
「自社はしっかり守っているのに、なぜ被害に?」
「OSSを使うのは危ないってこと?」

自社の戸締まりは完璧。それでも被害に遭う。この一見おかしな状況を生むのが、この攻撃です。狙いは、あなたの会社ではなく、その周りにあります。

サプライチェーン攻撃とは、本命より守りの弱い取引先や部品を経由して、間接的に侵入する攻撃です。直接ではなく「回り道」で本命に近づくのが特徴です。

この記事では、なぜ自社を固めても防げないのかを押さえ、代表的な侵入経路の型を確認し、委託先管理やSBOMといった対策を優先順位で整理します。最後に試験での問われ方まで示します。基本情報のセキュリティ対策に効きます。

1 1. サプライチェーン攻撃とは何か
2 2. なぜ自社を固めても防げないのか
3 3. 代表的な侵入経路の型
4 4. 守りの優先順位
5 5. 試験での問われ方
- 5.1 次のステップ

1. サプライチェーン攻撃とは何か

サプライチェーンとは、製品やサービスを届けるまでに関わる、部品・委託先・取引先などのつながり全体です。サプライチェーン攻撃は、このつながりの中でいちばん守りの弱い所を狙い、本命の標的に近づく攻撃です。本命の企業が堅く守っていても、取引先や使っている部品に弱点があれば、そこを足がかりにされます。

たとえるなら、食品の産地表示です。1つの料理には、いくつもの産地の材料が使われています。どこかの産地でトラブルが起きたとき、産地表示があれば「自分の料理に影響するか」をすぐ追えます。ソフトも同じで、多くの部品を寄せ集めて作るからこそ、どこから来た部品かを把握できているかが、守りの分かれ目になります。

あなたの会社がしっかり戸締まりをしていても、合鍵を預けた相手の管理が甘ければ、そこから入られます。直接ではなく回り道で侵入するため、自社の対策だけでは完結しません。ここがこの攻撃の難しさで、試験でも「攻撃の対象は直接の標的だけではない」「なぜ防ぎにくいのか」が問われます。

2. なぜ自社を固めても防げないのか

防ぎにくさの核心は、「信頼されている経路」を悪用する点にあります。正規の更新、契約している委託先、定番の部品。あなたが日ごろ疑わないものほど、攻撃者にとっては都合のよい入口になります。

現代のソフトは、多くの部品やOSS（無償で公開・再利用できるソフト）を組み合わせて作られます。便利な一方で、自分が直接書いていないコードにも責任範囲が広がります。もう一つの厄介さは、被害が広がりやすいことです。多くの利用者が同じ更新や同じ部品を使うため、一つの仕込みが一気に大勢へ届きます。一対一ではなく一対多で被害が出る——ここにこの攻撃の怖さがあります。送り込まれる不正なコードの種類はマルウェアとはと合わせて読むと、何が仕込まれるのかまで具体的にイメージできます。

誤解しやすいのが「OSSは危険」という受け取り方です。OSSそのものが危険なのではありません。多くの人に使われ点検されている強みもあります。大切なのは、何を、どのバージョンで使っているかを把握しておくことです。把握できていれば、弱点が見つかったときに素早く動けます。

3. 代表的な侵入経路の型

個別の社名ではなく、よくある「型」で押さえると応用が利きます。代表的な3つを対応表で並べます。

型	起こり方
更新汚染型	正規の更新配信に不正コードを混ぜ、多数の利用者へ一斉に広げる
委託先踏み台型	守りの弱い委託先を乗っ取り、本命の社内ネットワークへ侵入する
OSS混入型	広く使われる部品に弱点や不正を仕込み、取り込んだソフト全体に影響を及ぼす

どの型にも共通するのは、信頼された経路を悪用する点です。とくに巧妙なのが更新汚染型で、利用者は「正規の更新だから安全」と考えて取り込みます。その信頼を逆手に取るため、防ぎにくくなります。あなたが「これは安全なはず」と思い込んでいるところほど、狙われやすい。だから、更新元が本物かを確かめる一手間が効いてきます。不正な通信を入口で止める仕組みはファイアウォールとIDS/IPSとはで押さえられます。

4. 守りの優先順位

自社だけで完結しない攻撃なので、視点を外へ広げるのがコツです。押さえておきたい対策を挙げます。

委託先・取引先の管理：相手のセキュリティ水準を確認し、契約や点検でルールを共有する
SBOMの活用：ソフトに含まれる部品の一覧（部品表）を管理し、弱点発見時に素早く対応する
ゼロトラスト的な発想：「内側だから安全」と決めつけず、通信や利用者をその都度確認する
更新元の確認：更新プログラムが正規のものか、署名などで確かめる

SBOM（Software Bill of Materials）は、料理の原材料表そのものです。何が入っているか分かっていれば、ある部品に問題が見つかったとき「自社のどこに影響するか」をすぐ調べられます。逆に原材料表がなければ、問題の部品が自社製品に入っているかどうかさえ分からず、対応が後手に回ります。あなたがまず取り組むなら、「何を使っているかを把握する」ことが出発点です。こうした対策は組織のルールや体制づくりと一体で、全体の枠組みは情報セキュリティマネジメントとはで押さえられます。

4つの対策は、「外を見る」対策と「入口を確かめる」対策に分けられます。委託先管理とゼロトラストは、つながりの相手まで視野を広げる守り。SBOMと更新元の確認は、取り込むものが安全かを入口で確かめる守り。あなたが優先順位に迷ったら、まず「自社が何を、どこから取り込んでいるか」を把握するSBOMから着手すると、後の対策が組み立てやすくなります。

対策の芯は、自社の守りに加えて、つながりの相手と部品まで視野に入れることです。回り道の侵入は、自社の壁だけを高くしても防げません。委託先の水準を確認し、取り込む部品と更新元を把握する。この「外への視野」を持つことが、あなたのいちばんの備えになります。

5. 試験での問われ方

基本情報のセキュリティでは、サプライチェーン攻撃は近年問われやすい新しめのテーマです。あなたが押さえる骨格を、最後にまとめます。

骨格は3つ。①本命でなく弱い取引先・部品・更新を経由する回り道の侵入、②正規の更新や定番の部品など疑われにくい経路を突く、③対策は委託先管理・SBOM・更新元の確認。試験では「この攻撃の特徴はどれか」「有効な対策はどれか」という切り口で問われます。「回り道の侵入」と「信頼の悪用」という2つの発想を押さえれば、応用問題にも落ち着いて向き合えます。あなたがつまずくとしたら、対策を自社内だけで完結させてしまう一問です。

次のステップ

サプライチェーン攻撃が試験全体でどこで問われるかを俯瞰したいなら、基本情報技術者試験の試験範囲と勉強法ガイドでセキュリティ領域の位置づけを押さえると、学習が進めやすくなります。

理解を得点に変えるなら、基本情報技術者情報セキュリティの問題集で、攻撃と対策を問う設問を解いて、仕上げましょう。