サプライチェーン攻撃とは？仕組みや事例、対策をわかりやすく解説

サプライチェーン攻撃の定義は、製品やサービスの供給網（サプライチェーン）を構成する、信頼関係で結ばれた組織間の繋がりを悪用する攻撃手法です。

攻撃者は、標的とする大企業よりセキュリティ対策が脆弱なことの多い取引先や子会社、利用しているソフトウェア開発元などを最初の侵入対象とします。

そこを踏み台として信頼関係を悪用し、本来の標的である企業のネットワークへ侵入するのが、サプライチェーンを狙った攻撃の典型的な流れです。

なぜ今、大企業ではなくセキュリティの手薄な関連会社が狙われるのか

近年の傾向として、多くの大企業では多層的なセキュリティ対策が施され、正面からのサイバー攻撃が困難になっています。

そこで攻撃者は、標的企業と取引のある中小企業や海外子会社、業務委託先など、比較的セキュリティ投資が不十分で防御が手薄になりがちな組織を最初の侵入口として狙います。

これらの組織は標的企業とネットワークで接続されている場合が多く、一度侵入を許すと、その信頼関係を悪用して本丸である大企業へ容易にアクセスできるため、攻撃の成功率が高まります。

サプライチェーン攻撃の手口には複数の種類が存在し、それぞれ侵入経路や攻撃手法に特徴があります。

大きく分類すると、取引先企業を経由する手口、ソフトウェアのアップデートを悪用する手口、そして利用している外部サービスを経由する手口の3つが代表的です。

これらの手口は、企業間の信頼関係や製品・サービスの正規ルートを巧みに利用するため、検知が難しいという共通点を持っています。

【手口1】取引先や子会社を経由して標的企業のネットワークへ侵入する

この手口は「ビジネスサプライチェーン攻撃」とも呼ばれ、標的企業と直接取引のある関連会社や子会社を最初の攻撃対象とします。

攻撃者はまず、セキュリティ対策が比較的脆弱な取引先のシステムに侵入し、アカウント情報などを窃取します。その後、その取引先になりすまして標的企業へウイルス付きのメールを送信したり、VPN接続などの正規ルートを使って標的のネットワークへ侵入したりします。

取引先からの通信は信頼されやすいため、警戒されずに侵入を許してしまうケースが多く見られます。

【手口2】ソフトウェアの正規アップデートを装い不正プログラムを拡散させる

ソフトウェアサプライチェーン攻撃として知られるこの手口は、多くの企業が利用するソフトウェアの開発元や、その開発に使われるライブラリを攻撃対象とします。

攻撃者は開発プロセスに侵入し、正規のソフトウェアやアップデートファイルに不正なプログラムを混入させます。利用者は正規のアップデートとして信頼してインストールするため、マルウェアが広範囲に拡散します。

JavaScriptのパッケージ管理システムであるnpmのライブラリに悪意のあるコードが仕込まれた事例もあり、ソフトウェアの信頼性を根底から揺るがすのがこの手口の特徴です。

【手口3】利用中のクラウドサービスや保守業者の管理権限を乗っ取る

この手口は、企業が利用するクラウドサービス（IaaS/PaaS/SaaS）の提供元や、システムの保守・運用を委託しているITベンダーなどを標的とします。

攻撃者は、これらのサービス提供者や保守業者が持つ広範なアクセス権限（特権ID）を乗っ取り、その権限を悪用して顧客である標的企業のシステムやデータにアクセスします。

一つのサービス提供者が侵害されると、そのサービスを利用する多数の企業が同時に被害を受ける可能性があり、影響が広範囲に及ぶ危険性があります。

国内でも、サプライチェーン攻撃による被害は年々深刻化しており、企業の事業継続を脅かす重大なインシデントが多数報告されています。

攻撃の踏み台にされた企業だけでなく、その先の標的となった大企業においても生産停止や情報漏えいといった甚大な被害が発生しています。

ここでは、注目すべき国内のサプライチェーン攻撃の事例をいくつか紹介します。

事例1：自動車部品メーカーへのランサムウェア攻撃で工場の稼働が停止

2022年、国内大手自動車メーカーの取引先である部品メーカーがランサムウェア攻撃を受け、システム障害が発生しました。

この影響で部品供給が完全に停止し、親会社である自動車メーカーは国内全14工場の稼働を停止せざるを得ない状況に追い込まれました。この事例は、一つの取引先への攻撃がサプライチェーン全体に波及し、大規模な生産活動に直接的な影響を与えることを明確に示しました。

事業継続計画において、サプライチェーン全体のセキュリティリスクを考慮する必要性を浮き彫りにした事件です。

事例2：海外子会社の脆弱性を突かれ大手電機メーカーから機密情報が流出

国内のある大手電機メーカーでは、海外子会社に設置されていたネットワーク機器の脆弱性が攻撃者に悪用されました。

攻撃者はこの子会社を踏み台として本社ネットワークに侵入し、防衛関連や社会インフラに関する機密情報、さらには取引先の重要情報などが外部に流出した可能性が指摘されました。

グローバルに展開する企業にとって、管理が手薄になりがちな海外拠点のセキュリティ対策が、組織全体の情報資産を守る上で極めて重要であることを示す事例となりました。

事例3：ソフトウェアの脆弱性により広範囲の利用企業に影響が拡大

世界中の多くのシステムで利用されているオープンソースのソフトウェアに深刻な脆弱性が発見され、この脆弱性を悪用したサイバー攻撃が多発しました。

このソフトウェアを利用していた国内企業や官公庁も例外ではなく、情報漏えいや不正アクセスなどの被害が相次ぎました。 自社で直接開発していないソフトウェアであっても、その構成要素に脆弱性が存在すれば攻撃の標的となり得ます。

ソフトウェアの構成要素を管理する「SBOM」の重要性が再認識されるきっかけとなりました。

サプライチェーン攻撃から自社と取引先を守るためには、自社のセキュリティ強化はもちろん、サプライチェーン全体で連携して対策レベルを引き上げることが不可欠です。

個々の企業の努力だけでは防御しきれないため、組織の壁を越えた包括的なセキュリティアプローチが求められます。

【自社の対策】セキュリティの穴をなくすための基本的な防御策

まず、自社の防御体制を固めることが全ての基本です。

OSやソフトウェアを常に最新の状態に保ち、既知の脆弱性を解消します。また、ID・パスワードの使い回しをやめ、多要素認証（MFA）を導入して不正アクセスを困難にします。

エンドポイント（PCやサーバー）には、不審な挙動を検知して対応するEDR（Endpoint Detection and Response）を導入し、侵入された後の被害拡大を防ぐ体制を構築することが重要です。 定期的な従業員教育や標的型攻撃メール訓練も欠かせません。

【取引先との対策】サプライチェーン全体でセキュリティ水準を高める連携策

自社の対策に加え、取引先や業務委託先にも一定のセキュリティ水準を求める取り組みが必要です。

具体的には、取引開始時や契約更新時にセキュリティ対策状況をチェックリストで確認したり、委託先管理規定にセキュリティ要件を明記したりします。

また、ソフトウェア開発においては、そのソフトウェアを構成するコンポーネントを一覧化したSBOM（Software Bill of Materials）の提出を求め、脆弱性の管理を徹底します。これにより、サプライチェーン全体のセキュリティレベルを底上げします。

【新しい考え方】「何も信頼しない」を前提とするゼロトラストの導入

従来の「境界型防御」モデルでは、社内ネットワークは安全であると見なされていました。

しかし、サプライチェーン攻撃では正規の経路で侵入されるため、このモデルは通用しません。

そこで、「何も信頼しない」を前提とする「ゼロトラスト」というセキュリティモデルの導入が有効です。ゼロトラストでは、社内外を問わず全てのアクセスを疑い、毎回厳格な認証と認可を行います。

これにより、万が一ネットワーク内に侵入されても、攻撃者がシステム内を自由に移動して被害を拡大させることを防ぎます。

あわせて読みたい：ゼロトラストとは？初心者にもわかりやすく解説｜今すぐ見直すべきセキュリティの新常識

サプライチェーン攻撃の侵入経路として特に多く悪用されるのが、ビジネスメールです。

取引先になりすました標的型攻撃メールは巧妙化しており、従来のセキュリティ対策だけでは見抜くことが困難になっています。

そのため、メール経由の脅威に対しては、より専門的で多層的な対策を講じることが不可欠です。

巧妙化する標的型攻撃メールを見抜くための多層防御ソリューションの重要性

巧妙化するメール攻撃への対策として、特におすすめしたいのが「Active! zone SS」です。このソリューションは、受信したメールに対して「サニタイズ（無害化）」、添付ファイルの「マクロ除去」、「画像化」といった多層的な防御をリアルタイムで実行します。

送信ドメイン認証の検証結果を分かりやすく画面上に表示する機能も備えており、取引先になりすました悪意あるメールの判別を強力に支援します。

既存のメール環境を大きく変えることなく、クラウド型で手軽に導入できる点も大きなと特長です。取引先を踏み台にするサプライチェーン攻撃の入り口を塞ぐために、実効性の高い具体的な解決策となります。

サプライチェーン攻撃の被害に遭うと、どのような経営リスクがありますか？

生産・供給網の停止による事業中断リスク、機密情報や個人情報の漏えいに伴う損害賠償リスク、そして顧客や社会からの信用失墜リスクが挙げられます。

特に、自社が攻撃の踏み台にされた場合、取引先への加害者となり、契約打ち切りや賠償責任を問われるなど、事業の根幹を揺るがす深刻な被害に発展する可能性があります。

中小企業や個人事業主でもサプライチェーン攻撃の対策は必要ですか？

はい、必須です。中小企業は大企業に比べてセキュリティ対策が手薄であると見なされ、サプライチェーン攻撃の最初の侵入口として狙われる傾向が強いです。

自社が踏み台にされることで取引先に甚大な被害を与え、事業継続が困難になるリスクがあるため、企業規模に関わらず対策は不可欠な経営課題です。

委託先のセキュリティ状況はどのように確認すればよいですか？

委託先に対し、セキュリティ対策に関する質問票（チェックシート）への回答を求めるのが一般的です。

独立行政法人情報処理推進機構（IPA）が公開している「情報セキュリティ対策チェックリスト」などを活用すると良いでしょう。

また、契約にセキュリティ要件を盛り込んだり、第三者機関によるセキュリティ診断レポートの提出を求めたりすることも有効な手段です。

サプライチェーン攻撃は、自社だけでなく取引先や顧客をも巻き込む、現代のビジネス環境において避けては通れない重大な脅威です。企業間の信頼関係を巧みに悪用するこの攻撃は、自社単独の対策だけでは完全に防ぎきることができません。

まずは自社の防御を固め、その上でサプライチェーン全体でのセキュリティ向上を図る連携が求められます。特に侵入経路として悪用されやすいメールへの対策なら、Active! zone SSの導入を検討してください。ゼロトラストの考え方を基盤に、巧妙ななりすましメールを遮断する具体的な仕組みを整えることが、事業継続を実現するためのカギとなります。

Active! zone SSについてはこちら 資料請求はこちら お問い合わせはこちら