サプライチェーン攻撃とは？

01サプライチェーン攻撃のしくみ

サプライチェーン攻撃は、本命の会社を直接狙わず、守りの弱い取引先や委託先、使っているソフトの提供元を先に攻め、そこを足がかりに本命へ入り込む攻撃です。IPAの「情報セキュリティ10大脅威 2026」（組織向け）では、「サプライチェーンや委託先を狙った攻撃」が2位に入っています。

大きく分けて、次のような入り方があります。

• 取引先とつながっている回線やアカウントを使って入る
• 保守を任せている会社の遠隔保守用の入口から入る
• みんなが使うソフトや更新プログラムに、マルウェアを仕込む
• データを預けている委託先から、データそのものを盗む

02よくある被害の例

• 部品メーカーがランサムウェアに感染し、納入先の工場が止まる。
• システムの保守会社のアカウントを乗っ取られ、その会社が保守していた複数の顧客に入られる。
• 委託先のサーバーから、自社の顧客情報が漏れる。漏れたのは委託先でも、顧客への説明は自社がすることになる。

中小企業は「本命ではないから狙われない」とは言えません。大企業の入口として、むしろ先に狙われる立場にあります。

03防ぐには

自社が入口にならないためには、次のことをします。

• 取引先とつながる機器やVPN機器のソフトを最新にし、パスワードを強くします。
• 取引先から渡されたアカウントは、使う人を決めて二段階認証をかけます。
• 取引先から対策の状況を聞かれたら答えられるよう、やっていることを文書にしておきます。

取引先から被害を受けないためには、次のことをします。

• 委託先や保守会社に、どこまで社内に入れるかを決め、使わない入口は閉じます。
• 委託の契約に、事故のときの連絡の期限や責任の分け方を書きます。
• 取引先と自社のネットワークのつなぎ目を必要最小限にします。

04被害にあったら

取引先から「感染した」と連絡が来たら、その会社とつながっている回線やアカウントをいったん止め、自社に広がっていないかを調べます。自社が入口になったと分かったら、すぐに取引先へ知らせます。知らせるのが遅れるほど、被害も信用の傷も広がります。取引先から対策を求められたときの考え方は取引先から対策を求められたらにまとめています。