サプライチェーン攻撃とは？仕組みと事例、企業が取るべき対策を解説
セキュリティ対策をしっかり行っている企業が、なぜ攻撃被害を受けるのか。その問いへの答えの一つが「サプライチェーン攻撃」にあります。
自社ではなく、取引先やソフトウェアベンダーを入口にして侵入するこの手口は防御が難しく、IPA（情報処理推進機構）が毎年公表する「情報セキュリティ10大脅威」では2022年以降、組織向け脅威の上位に連続してランクインしています。
本記事では、サプライチェーン攻撃の定義から種類、国内外の具体的な事例、そして企業が今すぐ実践できる対策まで、順を追って解説します。単なる概要紹介にとどまらず、実際の現場で見落とされがちな視点や、攻撃者の論理から逆算した対策の考え方についても触れていきます。
サプライチェーン攻撃とは
サプライチェーン攻撃とは、最終的に攻撃したいターゲット企業へ直接侵入するのではなく、そのターゲットが依存している取引先・委託先・ソフトウェアベンダー・サービスプロバイダーを先に侵害し、そこを踏み台として本来の標的へ侵入するサイバー攻撃の手法です。
英語では「Supply Chain Attack」または「Supply Chain Compromise」と呼ばれます。
なぜ「サプライチェーン」なのか
製造業においてサプライチェーンとは、原材料の調達から製品が消費者に届くまでの一連の流れを指します。ITセキュリティの文脈では、これがソフトウェアの開発・配布プロセスや、企業間のネットワーク接続・業務委託関係に置き換えられます。
攻撃者が狙うのは、このチェーンの中で最も「セキュリティが弱い輪」です。大企業本体は多層的な防御を持っていても、中小規模の取引先や外部ベンダーは対策が手薄なことがあります。攻撃者はそこを突破口にして、最終的に大企業のシステムへとたどり着きます。
間接攻撃ゆえの検知しにくさ
直接攻撃と比べたときのサプライチェーン攻撃の最大の特徴は、「信頼された経路から侵入する」点です。取引先や利用中のソフトウェアは通常、ファイアウォールの内側でホワイトリストに登録されていることも多く、攻撃が始まった際にそれを異常と判断しにくい状況が生まれます。
これが被害の発覚を遅らせる主因になっています。正規のアップデートプログラムやVPN接続を通じて侵入されるため、既存のセキュリティ機器が「攻撃」として認識しないまま侵害が進行するケースもあります。
サプライチェーン攻撃の目的
攻撃者の目的は大きく3つに分類できます。第一に、最終ターゲット企業が保有する機密情報・知的財産・顧客データの窃取です。第二に、ランサムウェアを展開して金銭を要求するビジネス妨害。第三に、ターゲット組織のインフラに長期間潜伏し、継続的な情報収集や破壊工作の基盤を構築するスパイ活動です。
国家支援を受けた高度な攻撃者（APT：Advanced Persistent Threat）が関与するケースでは、特にスパイ活動・妨害工作を目的とした長期潜伏型の攻撃が確認されています。
サプライチェーン攻撃の仕組み：アイランドホッピングという戦略
サプライチェーン攻撃の戦術的な背景を理解するうえで、「アイランドホッピング攻撃」という概念が参考になります。これは第二次世界大戦中の太平洋戦線で用いられた作戦名から転用された用語で、一つの島（拠点）を奪取して次の島へ進む戦略、つまり「踏み台を渡り歩いて最終目標に近づく」戦術を指します。
セキュリティの文脈では、攻撃者が直接ターゲット企業へ侵入するのではなく、関連するより脆弱な組織を次々と侵害しながら最終ターゲットに近づいていく手口がこれに当たります。サプライチェーン攻撃はこのアイランドホッピングの代表的な実現手段です。
攻撃の一般的なフロー
典型的なサプライチェーン攻撃の流れを順に示すと、次のようになります。
まず攻撃者は、最終ターゲット企業のサプライヤー・委託先・利用ソフトウェアベンダーをOSINT（公開情報調査）で把握します。次に、その中でセキュリティが手薄な組織を選定し、フィッシングや既知の脆弱性を使って初期侵入を果たします。侵入後は長期間検知されないよう低プロファイルで活動し、認証情報の収集・アクセス権限の拡大を進めます。十分な準備が整った段階で、取得した正規アクセスを使って最終ターゲットのネットワークへ横移動します。そして目的（情報窃取・ランサムウェア展開・バックドア設置など）を達成します。
検知が困難な理由は、このフローの中に「正規のアクセス・正規のソフトウェア・正規のアカウント」が随所に挟まれているためです。異常を示す明確なシグナルが少なく、検知のタイミングが遅れるほど被害が拡大します。
サプライチェーン攻撃の種類
サプライチェーン攻撃は大きく3つに分類されます。それぞれ侵入経路と手口が異なるため、対策もあわせて理解することが重要です。
ビジネスサプライチェーン攻撃
取引先・委託先・子会社などビジネス上のパートナー企業を標的として侵入し、そこを踏み台にして最終ターゲットへ攻撃を展開する手口です。
典型的な流れは次のとおりです。まず攻撃者は大企業と取引関係にある中小企業を選定します。フィッシングメールや脆弱性の悪用によってその中小企業のシステムへ侵入した後、VPN接続や業務システムのアクセス権限を利用して大企業側のネットワークへ横移動します。
攻撃者にとって、このルートは「大企業の正規ユーザーを装える」という大きな利点があります。大企業側では取引先からの正規接続として処理されるため、異常として検知される確率が下がります。
サービスサプライチェーン攻撃
企業が利用しているクラウドサービス・SaaS・ITマネージドサービスプロバイダー（MSP）を攻撃し、そのサービスを通じて顧客企業へ被害を拡大させる手口です。
MSPは複数の顧客企業のネットワーク管理・監視・運用を一手に担うことが多いため、一度侵害されると連鎖的に多くの企業へ被害が広がるリスクがあります。後述するKaseya社への攻撃では、このMSPへの侵入を通じて最終的に1,500社以上が被害を受けたとされています。
クラウドサービスが侵害された場合、利用企業はその事実をすぐに把握できないことがあり、知らぬ間に機密情報が窃取される状況が生まれやすい点も危険です。
ソフトウェアサプライチェーン攻撃
ソフトウェアの開発・ビルド・配布プロセスに悪意あるコードを混入させ、利用者がそのソフトウェアを実行した際に感染させる手口です。
ユーザーが正規の更新プログラムをインストールするだけで感染するため、被害者側に防ぐ手段がほとんどありません。後述するSolarWinds攻撃はこの手口の典型例です。
近年はオープンソースのパッケージマネージャー（npm、PyPIなど）を悪用した攻撃も増加しており、開発者が依存ライブラリをインストールする行為自体がリスクになっています。「タイポスクワッティング」と呼ばれる、人気パッケージに似た名前の悪意あるパッケージを公開して開発者が間違えてインストールするのを待つ手法も確認されています。
サプライチェーン攻撃はなぜ増えているのか
IPA「情報セキュリティ10大脅威2024」では、サプライチェーンの弱点を悪用した攻撃が組織部門の第2位にランクインしています（出典：IPA 情報セキュリティ10大脅威2024）。この増加傾向には、構造的な背景があります。
ビジネスのデジタル化と相互依存の深化
クラウドの普及とリモートワークの定着により、企業間のシステム連携は以前より格段に密接になりました。以前なら社内ネットワーク内で完結していた業務が、外部のSaaSやAPIを通じて処理されるようになり、「信頼済み」の接続経路が増えています。攻撃者にとっては攻撃面（アタックサーフェス）の拡大を意味します。
大企業のセキュリティ強化の反作用
大企業自身のセキュリティ対策が高度化したことで、直接攻撃のコストが上がりました。相対的に、周辺の取引先を迂回路として使う間接攻撃の費用対効果が高まっています。攻撃者も「費用対効果」で行動を選択する合理的な存在です。その観点では、中小の取引先はコストが低くリターンが大きいターゲットとして映ります。
オープンソースエコシステムへの依存
現代のソフトウェア開発はオープンソースライブラリへの依存なしには成立しません。Synopsysの調査によれば、商用ソフトウェアのコードベースの96%以上にOSSが含まれており、その84%は既知の脆弱性を持つコンポーネントを利用しているという結果も報告されています（出典：Synopsys OSSRA Report 2023）。
企業が利用するコードの多くは外部から取り込んだものであり、そのすべてを自社でセキュリティ審査することは現実的ではありません。この構造的脆弱性は、ソフトウェアサプライチェーン攻撃の温床になっています。
国内外の主要なサプライチェーン攻撃事例
SolarWinds攻撃（2020年）
ネットワーク監視ソフト「Orion」の正規アップデートにバックドアが仕込まれ、そのアップデートをインストールした約18,000の組織が感染したとされる事案です。米財務省・国務省・国土安全保障省など米政府機関が被害を受け、最終的な被害の全容把握に数ヶ月を要しました。
この攻撃でセキュリティ業界が特に衝撃を受けたのは、正規の署名付きアップデートが攻撃に使われた点です。多くのセキュリティツールは署名を信頼の根拠にしており、その前提が崩れることを広く示しました。また攻撃者は最初の侵入から実際の攻撃開始まで数ヶ月の準備期間を置いており、極めて精緻な計画のもとで実行されたことも特徴です。
Toyota関連サプライヤーへの攻撃（2022年）
2022年3月、トヨタ自動車の部品サプライヤーである小島プレス工業がサイバー攻撃を受けました。これによりトヨタは国内全14工場・28ラインの稼働を停止せざるを得なくなり、約13,000台分の生産に影響が出たとされています。
取引先1社への攻撃が完成車メーカーの全国生産停止にまで波及した事例として、サプライチェーン攻撃の「波及力」を国内外に示した出来事でした。日本の製造業が抱えるJIT（ジャスト・イン・タイム）生産方式の特性上、在庫を最小化するために取引先との密な連携が不可欠であり、その連携の深さがリスクにも転化するという構造的な問題を浮き彫りにしています。
Kaseya VSA攻撃（2021年）
ITマネージドサービスプロバイダー（MSP）向けのリモート管理ツール「Kaseya VSA」の脆弱性を突いたランサムウェア攻撃です。Kaseya社のソフトを通じて複数のMSPが侵害され、そのMSPの顧客企業へ被害が連鎖しました。最終的に1,500社以上への影響が確認されています。
この事案の特徴は、MSPというインフラ事業者を経由したことで、攻撃者が一度に多数の企業を標的にできた点にあります。スウェーデンの食料品スーパーCoopも被害を受け、レジシステムが停止した影響で複数店舗が一時休業しました。攻撃グループREvILは当初7000万ドルの身代金を要求していたと報じられています。
3CX サプライチェーン攻撃（2023年）
企業向けVoIPソフトウェア「3CX Desktop App」の正規インストーラーにマルウェアが混入した事案です。調査の結果、3CX自身も別のサプライチェーン攻撃（Trading Technologiesの金融ソフトウェアへの攻撃）による侵害を受けていたことが判明し、「サプライチェーン攻撃を準備するためにサプライチェーン攻撃を使った」多段階の連鎖が確認された事例として注目を集めました。
国内での業務委託先を起点にした情報漏洩
日本国内でも、業務委託先のシステムが侵害されたことで委託元企業の顧客情報が流出するケースが相次いでいます。委託先がランサムウェアに感染し、委託元から預かっていた顧客データが外部に流出するというパターンは、特に物流・医療・金融業界での被害報告が多くなっています。
このような事案では、委託先は「被害者」であると同時に、委託元や顧客から見れば「加害者」として扱われることもあります。情報管理責任の観点から損害賠償リスクが生じたり、取引関係の見直しを迫られたりするケースも報告されています。
サプライチェーン攻撃が被害者を加害者に変える構造
セキュリティの専門家がサプライチェーン攻撃について語るとき、しばしば強調するのが「被害者と加害者の境界の曖昧さ」です。攻撃を受けた組織が、知らぬ間に次の攻撃の踏み台になる——この連鎖構造こそが、対策を難しくしている本質的な理由の一つです。
取引先として付き合いのある中小企業が侵害され、そのメールアカウントから自社の担当者へ巧妙なフィッシングメールが送られてくる事例もあります。「知っている相手からのメール」という心理的な安心感が判断を鈍らせます。これを「ビジネスメール詐欺（BEC）」と組み合わせて使う攻撃者も存在します。
こうした構造が示すのは、セキュリティ対策をコスト視点だけで最小化しようとすることの危険性です。中小企業においても、取引先から「セキュリティ要件を満たせなければ取引を見直す」と通告されるケースが増えており、対策の不備が直接的なビジネスリスクになる状況が生まれています。
サプライチェーン攻撃への具体的な対策
自社のセキュリティ基盤を整える
まず前提として、自社のセキュリティ水準を底上げすることが必要です。パッチ管理・多要素認証（MFA）の導入・EDR（Endpoint Detection and Response）の活用は、攻撃の侵入と拡大を防ぐ基本的な柱です。
攻撃者は最も弱いリンクを狙います。自社が取引先の「弱いリンク」にならないことが、サプライチェーン全体の安全に貢献します。自社を守ることは、自社の取引先を守ることにも繋がるという認識を持つことが大切です。
具体的な対応として、OSやソフトウェアのパッチを迅速に適用する体制、端末・ネットワーク上での不審な動作をリアルタイムで検知できる仕組み、そして重要システムへのアクセスに多要素認証を必須にする設定が、優先度の高い対策として挙げられます。
取引先のセキュリティリスクを評価・管理する
取引先・委託先のセキュリティ状況を自社のリスク管理の範囲に含めることが不可欠です。契約締結前にセキュリティチェックシートの提出を求め、重要な委託先については定期的な監査や第三者評価の実施を検討しましょう。
IPAが公開している「サイバーセキュリティ経営ガイドライン Ver3.0」では、サプライチェーン管理が経営者の重要な責務として明記されており、取引先のセキュリティ要求事項を契約に盛り込むことが推奨されています（出典：経済産業省・IPA サイバーセキュリティ経営ガイドライン Ver3.0）。
現実的な課題として、中小企業に対して過剰なセキュリティ要件を課すと、取引先が応じられずサプライチェーン全体が機能しなくなるリスクもあります。要件の優先度を整理し、「最低限守るべき基準」を明確化したうえで段階的な改善を求めるアプローチが実効性を持ちます。
ゼロトラストの考え方を取り入れる
「社内ネットワークに接続していれば安全」という前提を捨て、すべての通信・アクセスを継続的に検証するゼロトラストアーキテクチャへの移行が、サプライチェーン攻撃への有効な対処策として注目されています。
特に重要なのは、取引先やMSPへのアクセス権限を「必要最小限」に絞ることです。仮にそれらが侵害されたとしても、攻撃者が移動できる範囲（ラテラルムーブメントの余地）を制限できます。
ゼロトラストの実装は一度に全体を変えることよりも、最重要資産へのアクセス管理から始めて段階的に適用範囲を広げていく方が現実的です。IDaaS（Identity as a Service）の活用や、ネットワークをマイクロセグメンテーションで細分化することが、その具体的な手段となります。
ソフトウェアサプライチェーンのリスクを管理する（SBOM）
使用しているOSSライブラリや外部コンポーネントを可視化するために、SBOM（Software Bill of Materials：ソフトウェア部品表）の整備が有効です。SBOMは、ソフトウェアを構成するコンポーネントの一覧を記したもので、脆弱性が発見された際にどの製品・システムに影響があるかを素早く特定するために活用されます。
米国では大統領令（EO 14028）によって連邦政府向けソフトウェアへのSBOM提供が義務化されており、日本でも経済産業省が活用に向けた手引きを公表しています（出典：経済産業省 ソフトウェア管理に向けたSBOM（Software Bill of Materials）の導入に関する手引）。
SBOMの整備にあたっては、SyftやGrypeなどのオープンソースツールを活用した自動生成が実用的です。ただし、SBOMを作るだけでは意味がなく、脆弱性情報と照合して定期的に更新する運用体制とセットで考える必要があります。
インシデント対応計画にサプライチェーンシナリオを組み込む
事前の準備として、「取引先が侵害された場合」「自社のソフトウェアが踏み台にされた場合」といったシナリオを含めたインシデント対応計画（IRP）を策定しておくことが重要です。
攻撃を受けてから体制を整えようとしても、混乱の中では適切な意思決定が難しくなります。連絡先の整備・権限の明確化・証跡保全の手順など、日常から準備しておくことで初動対応のスピードが大きく変わります。
特にサプライチェーン攻撃のシナリオでは、「誰が、どの情報を持っているか」の確認に時間がかかることが多いです。取引先との情報共有範囲・責任分界点をあらかじめ文書化しておくことが、インシデント後の対応速度に直結します。
従業員教育とフィッシング対策の徹底
サプライチェーン攻撃の多くは、取引先を装ったフィッシングメールやなりすましを入口として使います。定期的なセキュリティ教育と標的型メール訓練を実施し、「この送信者だから安全」という思い込みを排除することが重要です。
訓練の設計において効果的なのは、「知っている相手からのメール」「緊急性を煽る内容」「添付ファイルやリンクのクリックを促す」という3つの要素を組み合わせたシナリオです。実際の攻撃に近い状況を体験することで、「不審なメールを見分ける」ではなく「判断が難しいメールを確認するプロセス」を習慣化させることが本来の目的です。
PSIRTの設置とフレームワークの活用
製品・サービスを外部に提供している企業においては、PSIRT（Product Security Incident Response Team）の設置も検討に値します。PSIRTは自社製品の脆弱性を管理し、外部からの脆弱性報告を受け付け、修正・開示プロセスを統括する組織です。特にソフトウェアを開発・販売している企業では、自社製品が攻撃者に悪用されてユーザー企業へ被害が拡大するリスクがあるため、PSIRTを通じた脆弱性管理体制の整備が重要になります。
セキュリティ対策全体の指針としては、NIST CSF（Cybersecurity Framework）やNIST SP800シリーズが国際的に広く参照されています。日本語訳と解説も公開されており、自社のセキュリティ体制を体系的に整理する際の基準として活用できます。
また、IPAでは「ITサプライチェーンの業務委託におけるセキュリティ対策」として、委託者・受託者それぞれに求められる対策の観点を整理した資料を公開しています（出典：IPA ITサプライチェーンの業務委託におけるセキュリティ対策）。委託側・受託側の双方にとって実践的な参考資料となっています。
サプライチェーン全体でのセキュリティ情報共有
サプライチェーン攻撃への対応において見落とされがちな観点の一つが、「情報共有」の重要性です。自社が攻撃を検知したとき、その情報を速やかに取引先と共有することで、連鎖的な被害を防げる場合があります。
日本では、業界ごとにISAC（Information Sharing and Analysis Center）と呼ばれる情報共有組織が設立されており、金融・医療・自動車・航空など各分野のサプライチェーンに関わる企業が加盟することで、脅威情報を相互に共有する仕組みが整備されています。自社が属する業界のISACへの参加を検討することも、サプライチェーン全体の防御水準向上に有効な手段です。
中小企業こそ意識すべき理由
「うちは規模が小さいから攻撃者に狙われない」という認識は、サプライチェーン攻撃においては通用しません。むしろ中小企業は、大企業への侵入経路として積極的に狙われやすい立場にあります。
IPA「中小企業の情報セキュリティ対策ガイドライン」でも指摘されているとおり、大企業との取引関係を持つ中小企業は、攻撃者にとっての「抜け穴」になりやすい存在です。専任のセキュリティ担当者がいない、古いOSやソフトウェアを使い続けているといった状況は、攻撃者の目線では「コストをかけずに侵入できる入口」として映ります。
被害企業の立場から見ても深刻です。小規模な組織はインシデント発生後の事業継続能力が低く、ランサムウェアで暗号化された場合の復旧に要する費用・期間が事業存続に直接影響することがあります。IPAの調査では、サイバー攻撃による事業停止が中小企業の廃業につながったケースも報告されています。
大企業ほどの多層防御を用意することは難しくても、「狙われにくい環境を作ること」と「被害の影響を最小化すること」の二点に集中することは、どの規模の企業でも実現可能です。端末のセキュリティパッチ適用・MFAの導入・定期バックアップというシンプルな三点から始めるだけでも、攻撃者にとっての難易度は大きく上がります。
取引先の大企業からセキュリティ要件の提示・確認を求められたとき、それに対応できる体制を整えておくことは、取引継続の条件を満たすだけでなく、自社の事業リスクそのものを下げることに繋がります。
まとめ
サプライチェーン攻撃は、「信頼された関係性を悪用する」という本質的な難しさを持っています。自社だけを守れば良い時代は終わり、取引先・委託先・利用するソフトウェア全体を視野に入れたセキュリティ管理が求められています。
本記事の要点を整理します。
サプライチェーン攻撃は取引先・ソフトウェア・サービスを踏み台として最終ターゲットへ侵入する手口で、正規の経路を使うため検知が難しい点が特徴です。ビジネス・サービス・ソフトウェアという3種の攻撃類型を理解したうえで、ゼロトラストの考え方に基づく最小権限管理、取引先のセキュリティ評価、SBOMによるソフトウェア可視化、そしてインシデント対応計画の整備が主な対策として挙げられます。
SolarWindsやToyota関連サプライヤーの事例が示したように、チェーンの一点が破れるだけで被害は連鎖します。逆に言えば、チェーンのどこかの輪を強化することが全体の安全水準向上につながります。自社がその「弱い輪」にならないよう、できることから着実に取り組むことが、今まさに求められています。
サプライチェーン攻撃への対策は、自社単独での取り組みに限界があります。どこから着手すべきか分からない、取引先への要求基準をどう設ければよいか分からないという場合は、セキュリティの専門知識を持つパートナーへの相談を検討してください。自社のリスク状況を整理し、優先度をつけたロードマップを作ることが、現実的かつ効果的な第一歩になります。
