サプライチェーン攻撃とは

サプライチェーン攻撃とは、企業間のビジネス上のつながり（サプライチェーン）を悪用したサイバー攻撃のことです。攻撃者は、本来の標的である大企業を直接狙うのではなく、セキュリティ対策が比較的手薄な取引先や委託先、あるいは共通して使われているソフトウェアなどを侵入の入口（踏み台）として利用します。

IPA（情報処理推進機構）が毎年公表する「情報セキュリティ10大脅威」では、サプライチェーン攻撃が組織向けの脅威として上位にランクインし続けています。「自組織の対策だけでは防ぐことが難しく、関係する組織も含めたセキュリティ対策が必要な脅威」として位置づけられている点が、この攻撃の大きな特徴です。

サプライチェーン攻撃の主な手口

サプライチェーン攻撃には、いくつかのパターンがあります。

取引先や委託先のシステムに侵入し、そこを経由して標的企業へ攻撃する
標的企業が利用しているソフトウェアやサービスに不正なプログラムを仕込む
公開されているソフトウェア（OSS）のコードに悪意あるコードを混入させる

IPAは、こうした攻撃への備えとして、自社だけでなく取引先・委託先を含めたセキュリティ管理や、利用しているソフトウェアの脆弱性対策の重要性を指摘しています。とくに中小企業は、大企業を狙うための「踏み台」として狙われやすい点に注意が必要です。

サイバー保険との関係

サプライチェーン攻撃は、自社が直接の標的でなくても被害者にも加害者にもなり得る点が厄介です。取引先経由で自社が被害を受けることもあれば、自社が踏み台にされて取引先に損害を与えてしまうこともあります。日本損害保険協会によれば、サイバー保険はサイバー事故による事故対応費用や損害賠償費用などを補償します。

自社のセキュリティを強化しても、取引先やソフトウェアを経由した攻撃を完全に防ぐことは困難です。そのため、平常時の予防策とあわせて、万が一被害が発生した場合に備える保険を検討する企業が増えています。

参考文献

IPA（情報処理推進機構） - 情報セキュリティ10大脅威 2025 - サプライチェーン攻撃を含む最新の脅威動向の解説
IPA（情報処理推進機構） - 脆弱性対策情報 - ソフトウェアの脆弱性対策に関する公式情報
日本損害保険協会 - サイバー保険 - サイバー保険の補償内容の解説