サプライチェーン攻撃とは

2 分で読む

サプライチェーン攻撃（supply chain attack）は、取引先や委託先が被害に遭った話と一緒によく出てくる語です。

ひとことで言えば「守りの固い正面を避け、つながっている弱いところから入る」攻撃です。自社が狙われていなくても、入口として使われることがあります。

固い正面ではなく、つながった弱いところから

米国の NIST（国立標準技術研究所）の用語集によれば、サプライチェーン攻撃は、標的とする組織が製品やサービスを受け取るつながりにある弱点を、攻撃者が突く出来事です。

IPA は、商品の企画から販売までの一連のプロセスに関わる組織や外部サービスをサプライチェーンと呼び、ソフトウェアの開発に関わるライブラリや道具などのつながりをソフトウェアサプライチェーンと呼んで、どちらのつながりを悪用した攻撃にも対策が要るとしています。

中小企業は足掛かりにも、入られる側にもなる

IPA は、攻撃の足掛かりにされた組織は取引先に損害を与えることになり、取引停止や損害賠償を求められることもあると書いています。

中小企業が、取引先を経由して入られる側になることもあります。IPA の 2024 年度の実態調査では、2023 年度に不正アクセスを受けた中小企業 419 件のうち 19.8%（83 件）が、取引先やグループ会社などを経由した侵入でした。

取引先から対策を求められる側として

令和 8 年（2026 年）3 月に公表された「サプライチェーン強化に向けたセキュリティ対策評価制度」の構築方針は、委託する側からは委託先の対策が見えにくいこと、委託される側はさまざまな委託元から別々の要求を受け、特に中小企業で過度な負担になっていることを課題に挙げています。

• 委託先がランサムウェアの被害に遭う形は ランサムウェアとは に、中小企業の被害と守り方は 中小企業はなぜランサムウェア被害の 6 割か にあります
• クラウドのサービスとの間で、どこまでを誰が守るかは 責任共有モデルとは にあります
• IPA の 10 大脅威での順位は 公的機関は AI のリスクをどこに置いたか にあります

ここから先は調査の詳細です（約 1 分）。上のカードだけで決められます。調べた 1 件ずつの記録は IT連携マップ に、出典 URL と調査日つきで公開しています。