この記事でわかること
- サプライチェーン攻撃の定義：サプライチェーンを悪用したサイバー攻撃手法のこと。近年は攻撃手法が多様化・高度化し、被害件数も増えている。
- 攻撃による企業への影響：物理的な業務への被害を受けるだけでなく、被害者でありながら加害者にもなり得るため、最終的に企業の社会的な信用にも影響が出る恐れがある。
- 対策方法：自社のみならず取引先の取組状況も確認・評価するなど、サプライチェーン全体を踏まえた対策の実施が重要。
これからのセキュリティ強化に役立つ資料を公開中
急速に進むDXや生成AIの登場によって複雑化する企業のIT環境を踏まえ、本資料では、ゼロトラストの基本概念や生成AI利用時のリスク管理など、現代の企業に求められるセキュリティ対策のポイントを解説しています。
サプライチェーン攻撃とは、取引先や委託先といったサプライチェーン上の企業を経由し、セキュリティの弱点を突いて標的企業へ不正侵入するサイバー攻撃の手法です。
攻撃を受けた際に、初動対応や対策を十分に行えないと被害が連鎖的に拡大し、情報漏えいや事業停止、企業の信用低下といった深刻なダメージにつながりかねません。
本記事では、サプライチェーン攻撃の目的や代表的な攻撃手法を整理したうえで、実際の被害事例と企業が取るべき具体的な対策についてわかりやすく解説します。
サプライチェーン攻撃とは？
サプライチェーン攻撃とは、攻撃者が取引先や委託先といったサプライチェーンに関係する企業を経由して、標的となる企業に侵入・攻撃するサイバー攻撃の手法です。
前提としてサプライチェーンとは、製品やサービスが提供されるまでの一連の流れを指します。
原材料や部品の調達から、製造、在庫管理、物流、販売に至るまで、製品やサービスの提供には複数の企業が関与しています。
近年では、業務効率化を目的として、関連企業同士がIT基盤やクラウドサービスを通じて連携しています。
サプライチェーン攻撃は、こうした企業間の連携を狙って行われる攻撃です。
サプライチェーン攻撃の標的と流れ
サプライチェーン攻撃の最終的な標的は、大企業であることが一般的です。
大企業が狙われる理由は、攻撃が成功した場合の社会的影響や被害規模が大きくなりやすいためです。
しかし、大企業はセキュリティ対策が強固で、容易に攻撃できるわけではありません。
そこで、攻撃者が目をつけるのが、サプライチェーン上に位置する関連企業です。
サプライチェーン上の関連企業の多くは中小企業です。中小企業は大企業と比べて、十分な予算や人材を確保しにくく、セキュリティ対策が手薄になりやすい傾向にあります。
サプライチェーン攻撃は、こうした企業を狙ってネットワークに侵入し、連携システムを通じて大企業への攻撃を試みます。
サプライチェーン攻撃の基本的な流れは次のとおりです。
- 標的企業のサプライチェーン上から、セキュリティ対策が比較的弱い企業を特定する
- 取引先や委託先のシステムやアカウントに侵入し、踏み台として悪用する
- ネットワーク接続や業務システムの連携を通じて、標的企業へ不正侵入する
このように、サプライチェーン攻撃は企業間の信頼関係や業務連携を悪用する点が特徴です。
そのため、従来の境界防御型セキュリティだけでは防ぎにくい攻撃として警戒されています。
サプライチェーン攻撃の目的
サプライチェーン攻撃の主な目的を、下の表にまとめました。
| 目的 | 詳細 |
|---|---|
| 機密情報の窃取 | 個人情報、認証情報、顧客データ、設計情報などの価値の高い情報を不正に取得する |
| 企業の信用やブランドの低下 | 取得した情報を外部に流出させ、企業の信用失墜やブランド価値の低下を招く |
| 業務妨害 | システム障害やマルウェア感染を引き起こし、業務の継続を困難にする |
| 身代金の要求 | ランサムウェアなどを用いてデータを暗号化し、復旧と引き換えに金銭を要求する |
特に近年では、ランサムウェアを組み合わせて、窃取した機密情報を人質に身代金を要求する手口も見られます。
ランサムウェアの仕組みや具体的な攻撃手法については、以下の記事で詳しく解説していますので、あわせてご覧ください。
サプライチェーン攻撃が増加する背景
サプライチェーン攻撃は、企業にとって無視できない脅威となっています。
IPA（情報処理推進機構）が公表する「情報セキュリティ10大脅威[組織編]」では、サプライチェーンの弱点を悪用した攻撃が2019年に初めて第4位に選ばれました。
その後も順位を上げ、2023年から2025年まで第2位となっています。
この背景には、IT環境の変化や企業ごとのセキュリティ格差の広がりなどの実情があります。
詳細を見ていきましょう。
社外ネットワークの利用拡大やエンドポイントの増加
サプライチェーン攻撃が増加する背景のひとつに、近年の企業を取り巻くIT環境が変化したことが挙げられます。
クラウドサービスの活用や業務委託、ハイブリッドワークの導入に伴い、社外ネットワークの利用が拡大し、スマートフォンやタブレットなどネットワークに接続するIT機器（エンドポイント）も普及しました。
これにより、自社内だけでなく、サプライチェーン上の委託先やクラウドサービス事業者との接続点が増えています。
その結果、攻撃者にとって侵入の入り口となり得るポイントが、サプライチェーン全体に広がっているのです。
■関連記事
エンドポイントとは？ネットワーク・セキュリティの基本をわかりやすく解説
企業のセキュリティ対策格差の広がり
企業ごとのセキュリティ対策の水準に差があることや、攻撃者にとって効率的な攻撃手法であることも、サプライチェーン攻撃が増加する背景のひとつです。
個人情報や機密情報を扱う中核企業（大企業）では、継続的な投資により高度なセキュリティ対策が講じられており、外部からの侵入は容易ではありません。
一方で、対策が不十分な企業への侵入が成功すれば、比較的少ない労力で重要な情報やシステムへアクセスできる可能性が高まります。
サプライチェーンを経由した侵入は発見されにくく、被害の発覚までに時間がかかる点も特徴です。発覚が遅れるほど、攻撃者にとって有利な状況が続くことになります。
こうした背景から、攻撃者はあえて防御の薄い関連会社や取引先を「踏み台」として利用し、最終的な標的企業へアクセスする手法（サプライチェーン攻撃）へとシフトしています。
サプライチェーン攻撃の影響
サプライチェーン攻撃は、企業の収益やブランド価値、さらには取引先との信頼関係にも深刻な影響を与えかねません。
ここでは、サプライチェーン攻撃がもたらす主な影響について解説します。
被害者でありながら加害者にもなり得る
サプライチェーン攻撃の大きな影響は、自社が被害者であるだけでなく、加害者にもなり得る点です。
自社が攻撃の踏み台とされることで、取引先にまでマルウェアを拡散させ、最悪の場合には相手企業を事業停止に追い込んでしまうリスクがあります。
つまり、自社が直接的な標的ではなかったとしても、サプライチェーン攻撃の侵入口となってしまえば、取引先に被害を及ぼし、結果として社会的責任を問われる事態に発展しかねません。
物理的な業務への影響が大きい
サプライチェーン攻撃の被害は、単なる機密情報の漏えいにとどまりません。
製造業であれば生産ラインの停止、物流業であれば配送の遅延や停止など、サプライチェーン全体の物理的な業務が停滞するリスクがあります。
一社のシステム障害が、原材料の供給停止や製品出荷の遅延、販売機会の損失へと連鎖し、サプライチェーン全体に影響が波及します。
その結果、複数企業にまたがる事業継続上の重大な問題に発展することも想定されます。
信頼失墜によるビジネスへの影響
サプライチェーン攻撃による信頼失墜は、社会的なイメージの低下だけでは済みません。
自社が侵入口となって取引先に被害を与えた場合、取引停止や契約解除といった措置が取られる恐れがある点に注意が必要です。
さらに、損害賠償請求や再発防止策の強化要求など、事業継続に直結する経済的・契約上の影響を受ける事態へと発展する可能性もあります。
サプライチェーン攻撃の手法
サプライチェーン攻撃の手法は多岐にわたりますが、大きく以下の3つに分類できます。
グループサプライチェーン攻撃
グループサプライチェーン攻撃（ビジネスサプライチェーン攻撃）とは、グループ企業や取引先、関連会社などを経由して、最終的な標的企業に侵入する手法です。
この手法には、取引先や関連会社の経営者・幹部などになりすます手口も含まれます。
例えば、実在の経営者名や過去のやり取りを参考に作成した、悪意あるメールを送り、認証情報の入力や不正な操作に誘導するといった方法です。
近年では、生成AIを活用して自然で違和感のない文章を作成したり、送信相手に応じて内容を最適化したりするなど、AIを用いた巧妙ななりすまし攻撃も確認されています。
ソフトウェアサプライチェーン攻撃
ソフトウェアサプライチェーン攻撃とは、ソフトウェアの開発・配布・更新の過程で不正なコードを混入させる攻撃手法です。
正規のソフトウェアやそのアップデートを通じてマルウェアが配布されるため、検知が難しいという特徴があります。
近年では、生成AIの活用により攻撃手法が高度化しています。
例えば、生成AIを用いて脆弱なコードを調査したり、悪意あるコードを自動生成したりすることが可能です。
これにより、容易かつ低コストで攻撃を実行できる環境が整いつつあると言えるでしょう。
サービスサプライチェーン攻撃
サービスサプライチェーン攻撃とは、クラウドサービスや業務委託先などの外部サービスを経由して行われる攻撃です。
SaaS（Software as a Service）や、顧客のシステムを保守・運用する事業者であるMSP（Managed Service Provider：マネージド・サービス・プロバイダ）などが侵害された場合、そのサービスを利用する複数の企業・顧客に被害が一斉に拡大する可能性があります。
自社システムではなく外部サービスが侵入口となるため、利用企業側では状況を直接把握・制御しにくい点が特徴です。
そのため、サービス選定時のセキュリティ評価や、利用範囲・アクセス権限の適切な管理が重要になります。
サプライチェーン攻撃の被害事例
サプライチェーン攻撃の被害事例として、委託先の従業員による情報漏えいが原因で、委託元企業の信用が損なわれたり、事業が一時的に停止に追い込まれたりするケースが発生しています。
ここでは、実際の被害事例を3つ紹介します。
業務委託先への攻撃による顧客情報漏えい
2024年、印刷業務などを担うA社（業務委託先）がランサムウェア攻撃を受け、同社を利用していた複数の自治体で個人情報が漏えいしました。
これにより、最大で数十万件規模の個人情報（氏名、住所、生年月日、納税関連情報など）が外部に流出した可能性があると公表されています。
この事例は、最終的な被害者は委託元の自治体ですが、攻撃の起点は業務委託先のA社となった点が特徴的です。
実際に被害を受けた自治体は、対象者への謝罪や個別通知、問い合わせ窓口の設置、再発防止策の検討など、事後処理に追われました。
可逆圧縮ツールへの悪意あるコードの挿入
2024年、広く利用されているオープンソースの可逆圧縮ツールAに、悪意あるコードが意図的に混入していたことが判明しました。
このコードは、特定の条件下で外部からの不正操作を可能にするもので、複数のLinux系システムに影響を及ぼすとされています。
問題になったのは、正規の開発・配布プロセスを通じて悪意あるコードが組み込まれていた点です。
利用者側が通常のアップデートを適用しただけで、意図せず脆弱な状態に陥る危険性がありました。
取引先の不正アクセス被害による生産ラインの停止
取引先企業が不正アクセス被害を受けたことを起点に、A社の生産ラインが停止した事例もあります。
2022年にA社の取引先のシステムがランサムウェアに感染し、一部のデータが暗号化されました。
その影響がA社に関連する部品供給や生産管理システムに波及。結果として、複数の工場が一時的に稼働停止に追い込まれ、復旧までに1日を要しました。
停止期間は1日でしたが、1万件超の生産に影響が出たと報じられており、サプライチェーンの停止が事業全体に与える影響の大きさが伺えます。
サプライチェーン攻撃を防ぐための対策
近年は各企業でDXやクラウドサービスの活用が進み、インターネットを介したビジネス環境が広く普及しています。
このような環境下でサプライチェーン攻撃から自社を守るには、セキュリティ対策の守備範囲を「サプライチェーン全体」に広げることが重要です。
ここでは、企業が取り組むべき主な対策について解説します。
現状把握・リスク低減に向けた対策
サプライチェーン攻撃への対策は、自社の現状を正しく把握・評価することから始まります。
まずは、自社が保有する情報資産やセキュリティ対策の状況を整理し、どこにリスクが潜んでいるのかを明確にしましょう。
具体的には、パソコンやサーバーをはじめ、IoT機器を含めた情報資産の保有状況を確認します。
そのうえで、セキュリティポリシーやインシデント発生時の対応手順が適切かどうかを見直し、必要に応じて策定・更新します。
また、VPN装置やゲートウェイなど、インターネットとの接続を制御する機器は攻撃に悪用されやすいため、セキュリティパッチや最新ファームウェアを迅速に適用することが重要です。
さらに、多要素認証の導入や不要なアカウントの削除など、本人認証の強化も有効な対策となります。
VPN機器を狙った攻撃への対策として、VPNに代わる安全なアクセス制御手法「ZTNA」が注目されています。ZTNAの仕組みやVPNとの違いについて詳しくはこちらをご覧ください。
従業員への運用ルールの周知・セキュリティ教育
サプライチェーン攻撃に限らず、セキュリティインシデントの多くは人の判断ミスや不注意によって発生します。
そのため、従業員に対して運用ルールを周知するとともに、継続的にセキュリティ教育を行うことが重要です。
具体的には、以下のような基本ルールを組織内で徹底すると良いでしょう。
- メールの添付ファイルを不用意に開かない
- 不審なURLを安易にクリックしない
- 異常や問題が発生した場合は、速やかに上長や担当部署へ連絡・相談する
また、必要に応じて運用ルールやセキュリティ教育の内容を、関連企業に共有することも方法のひとつです。
製品活用によるセキュリティインシデントの早期検知・対処
サプライチェーン攻撃の被害を最小限に抑えるには、セキュリティインシデントを早期に検知し、迅速に対処する体制が重要です。
体制構築の一環として、セキュリティ対策製品を活用すると良いでしょう。
代表的なものとして、ウイルス対策ソフトやEPP（Endpoint Protection Platform）、EDR（Endpoint Detection and Response）があります。
EPPはマルウェアの侵入防止を目的とした基本対策として有効であり、EDRはエンドポイントの動作やログを監視し、侵入後の不審な挙動を検知し、被害拡大を防ぐ役割を担います。
■関連記事
EPPとは？EDRとの違いや機能、製品の選び方を解説
EDRとは？EPPとの違いやセキュリティ機能・仕組みを紹介
チェックリストを用いた関係企業の取組状況の確認
サプライチェーン攻撃への対策では、自社のみならず、関係企業のセキュリティ対策状況を確認・評価することが重要です。評価手法としては、第三者機関による監査の活用や、各機関が発表しているフレームワークを参照する方法が有効です。
例えば、IPA（情報処理推進機構）の中核人材育成プログラムの関係者が公表している「実務者のためのサプライチェーンセキュリティ手引書_ver1.0」では、表5-1において「サプライチェーンセキュリティに関連するガイドライン、およびフレームワーク」が整理されています。
関係企業に対するチェックリストの例は以下のとおりです。
- ネットワーク接続点の安全確認
・IPS（Intrusion Prevention System：不正侵入防御システム）などで不正通信を検知・遮断できる仕組みがあるか
・未承認の接続ポイントはないか
・ネットワーク出口の機器に未対策の脆弱性が残っていないか
・リモート接続、VPN接続、クラウド接続における出口対策に問題はないか - 認証強度の確認
・認証強度は問題ないか
・多要素認証は十分であるか - サプライチェーンの業務が停止した場合の対応確認
・代替手段は確保されているか
さらに、2026年1月現在、経済産業省と内閣官房国家サイバー統括室（NCO）は、企業のセキュリティ対策状況を可視化し、サプライチェーン全体のセキュリティ水準を向上させる仕組みとして、「サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）」の構築を進めています。
2026年中の制度開始を目的としているため、今後の動向が注目されます。
参考：経済産業省｜「サプライチェーン強化に向けたセキュリティ対策評価制度に関する制度構築方針（案）」（SCS評価制度の構築方針（案））を公表しました
侵入を前提としたセキュリティ体制・仕組みの構築
サプライチェーン攻撃では、企業間の信頼関係が悪用されるため、侵入を完全に防ぐことは困難です。
そのため、「侵入されることを前提」としたセキュリティ体制・仕組みの構築が欠かせません。
具体的には、侵入後の不審な挙動を検知する仕組みの導入や、ネットワークやアクセス権限を細かく分離して被害の拡大を防ぐ対策が挙げられます。
また、ログの継続的な監視やインシデント対応訓練を実施することで、万が一の際にも迅速な対応が可能となります。
ゼロトラストの考え方を踏まえた対策
ゼロトラストとは、「何も信頼しない」ことを前提として、すべてのアクセスを検証するセキュリティの考え方です。
サプライチェーン攻撃では、信頼された取引先や内部ユーザーが侵入口となる可能性があるため、ゼロトラストの考え方が有効です。
具体的な対策としては、ユーザーや端末の状態を常に確認したうえでアクセスを許可する仕組みや、ユーザーごとに最小限の権限のみを付与するアクセス制御が挙げられます。
これにより、万が一侵入が発生した場合にも、被害拡大の抑制につながります。
ゼロトラストについては、以下の記事で解説しています。ぜひあわせてご覧ください。
対策にはTD SYNNEXのセキュリティソリューションも有効
TD SYNNEXでは、エンドポイントセキュリティ分野で実績のある「Symantec」や「Carbon Black」などのソリューションを取り扱っており、企業のセキュリティ課題や運用環境に応じた導入・活用を支援しています。
Symantecの「Symantec Global Intelligence Network（GIN）」は、マルウェア対策や不正アクセス防止など、侵入を防ぐための包括的なエンドポイント保護が強みのソリューションです。
サプライチェーン攻撃の入り口となる端末のリスク低減が期待できます。
また、Carbon Blackは、侵入後の不審な挙動を可視化・検知するEDRソリューションとして知られています。
万が一侵入が発生した場合でも、端末上の挙動を継続的に監視し、被害の拡大を防ぐための迅速な対応を可能にします。
Symantec Endpoint Security | TD SYNNEX株式会社
Carbon Black エンドポイントセキュリティ 製品のご紹介 | TD SYNNEX株式会社
侵入を前提に備えるサプライチェーンセキュリティ
サプライチェーン攻撃では、「侵入を完全に防ぐ」のではなく、「侵入されることを前提とした体制・仕組みの整備」や「ゼロトラストの考え方」を踏まえた対策が重要です。こちらの資料では、企業が取り組むべき実践的なセキュリティ対策をまとめておりますので、ぜひお役立てください。
セキュリティインシデント発生時の適切な対処と回復
セキュリティインシデントの発生後には、次のような行動や対策が必要です。
発見・報告
インシデント対応で最も重要なのは、不正アクセスやマルウェア感染などの異常を早期に検知・認識することです。
その理由は、発見が遅れるほど被害が拡大する恐れがあるためです。
また、異常を発見した場合は、速やかに組織内で情報を伝達し、関係部署と共有しましょう。
初動対応
インシデントを発見・報告した後は、感染端末や不正アクセスが疑われるアカウントをネットワークから切り離し、影響範囲を限定します。
この段階では、原因が完全に特定できていなくても「止めることを優先」することが重要です。
調査
初動対応と並行して、インシデントの原因や侵入経路、被害範囲を調査します。
ログの確認や端末の挙動分析を実施し、どのシステムやデータが影響を受けたのか、被害がどこまで及んでいるのかを把握しましょう。
通知・報告・公表
調査の結果、個人情報や機密情報の漏えいが確認または疑われる場合、関係各所への通知・報告が必要です。
個人情報が漏えいした場合は、個人情報保護委員会への報告が義務づけられている点にも留意しましょう。
抑制措置と段階的な復旧
調査結果に基づいて、必要な措置を取り、被害の拡大を防止します。
安全が確保でき次第、停止したネットワークやサービスを段階的に復旧させます。
事後対応
根本的な原因を突き止め、抜本的な再発防止策を講じます。
関係各所へのフォローを実施し、調査報告書をまとめ、必要に応じて情報を開示します。
セキュリティインシデント発生に備えて、セキュリティインシデントを認知した際の対処手順を確認し、対外応答や社内連絡体制を準備しておきます。
また、データ消失に備え、データのバックアップ手順と復旧手順を明確にしておきましょう。
いざ問題が起きた際に、適切な対処と回復ができるよう、事前に備えることが重要です。
まとめ
サプライチェーン攻撃は、自社のセキュリティ対策が十分であっても、サプライチェーン上の弱点から被害が出る危険性があります。
近年の手口の高度化やAIの悪用などにより、その脅威は一層深刻化していると言えるでしょう。
サプライチェーン攻撃への備えは、一度の対策で完結するものではありません。
見直しと改善を続け、サプライチェーン全体のセキュリティを高めるという意識を持つことが重要です。
