サプライチェーン攻撃（supply chain attack）

分類: テクノロジ系セキュリティ
出る試験: 情報セキュリティマネジメント基本情報応用情報
重要度: ★★★★☆

取引先や部品の提供元など、守りの弱いところを踏み台にして、本来のねらいへ入り込む攻撃。

もう少し詳しい説明

サプライチェーン攻撃は、ねらった組織を直接たたかず、そこへつながっている弱いところを先に破って入り込む攻撃です。

サプライチェーン（supply chain。原料の仕入れから製造、流通、販売までのつながり）という言葉が使われているとおり、つながりの中でいちばん守りの薄いところが入口になります。

なぜ成り立つのか

守りの強さは、つながっている会社どうしでそろっていません。

	守りにかけられるお金と人
大きな発注元	専任の担当者、監視の仕組み、定期の点検
小さな取引先	兼任の担当者。点検は年に一度あるかどうか

攻撃する側から見ると、同じ中身に手が届くのに、入るのが楽な道があることになります。正面の門が固ければ、裏の通用口を探す、という形です。

3つの入口

入口	どういう形か
取引先・委託先	業務でつながっている会社に入り込み、そこから本来のねらいへ進む
ソフトウェアの部品	広く使われている部品（ライブラリ（よく使う処理をまとめた、取り込んで使える部品））に細工を仕込み、取り込んだ先に広げる
保守の経路	更新プログラムの配布の仕組みを乗っ取り、正規の更新として配る

2つめと3つめが厄介なのは、受け取る側が正しい手順を踏んでいる点です。怪しい添付ファイルを開いたわけでも、偽のサイトに入力したわけでもありません。

どう備えるか

備え	中身
委託先の確認	契約のときに、守りの水準と、事故が起きたときの連絡の手順を決めておく
使っている部品の把握	何を取り込んでいるかの一覧（SBOM）を持つ
渡す範囲を絞る	取引先に渡す権限を、必要なぶんだけにする（need-to-know）
中の通信も確かめる	入られた前提で、社内の通信も確かめる（ゼロトラスト）

「取引先を信じるかどうか」の話ではありません。 信じていても、相手が破られることはあります。破られた場合に被害がどこまで及ぶかを、先に小さくしておく、という備え方になります。

試験ではこう出る

科目A（旧・午前）では、攻撃の名前と説明の組合せで出ます。「取引先や委託先を経由する」と書いてあれば、これにあたります。

科目B・午後では、事例の中で対策を選ばせる形が出ます。委託先に渡す権限の範囲、委託先の点検、部品の一覧の整備が、答えの軸になります。

直接の侵入ではないという点が要点です。自社の守りを固めただけでは防ぎきれない、というところまで押さえてください。

ミニクイズ

サプライチェーン攻撃の説明として、最も適切なものはどれか。

正解は 3番：取引先や部品の提供元など、守りの弱いところを経由して、ねらった組織に入り込む

サプライチェーン攻撃は、ねらった組織を直接たたくのではなく、そこへつながる取引先・委託先・部品の提供元を先に破り、そこから入り込みます。守りの固い大企業ではなく、つながっている中小の会社やソフトウェアの部品がねらわれます。大量の通信でサービスを止めるのはDoS攻撃、文字列を次々に試すのはブルートフォース攻撃です。なりすまして直接操作するのは不正アクセスの一種で、どれも経路が1段であり、取引のつながりをたどる点が違います。

間違えた用語の復習リストを見る →

この分野をまとめて解く → セキュリティのミニテスト（全47問）

最終更新：2026-11-09