サプライチェーン攻撃とは【図解でわかりやすく】

最終更新日：2026年7月16日

30秒でわかる結論

サプライチェーン攻撃は守りの固い標的を直接狙わず、取引先・委託先やソフトウェアの供給網という「弱い輪」を経由して侵入する攻撃。試験では「①取引先経由（委託先に侵入→信頼関係を踏み台に本命へ）」「②ソフトウェア供給網経由（正規の更新プログラムにマルウェアを混入）」「③対策は委託先のセキュリティ管理状況の確認・契約でのセキュリティ要件明記」が頻出です。

守りの固い標的を直接狙わず、取引先やソフトウェアの供給網など「弱い輪」を経由して侵入する攻撃。

城の正面が固いなら、攻め手はどうするか——出入りの商人に化けて、裏口から入ります。

図解

解説

サプライチェーン攻撃は、セキュリティ対策が強固な標的企業を直接攻撃せず、その企業とつながりのある「守りの弱い部分」を経由して侵入する攻撃です。

手口は大きく2系統あります。1つは取引先・委託先経由：対策の緩い中小の取引先にまず侵入し、業務上の信頼関係（メールのやり取りやシステム接続）を踏み台にして本命の大企業へ入り込む方法。もう1つはソフトウェア供給網経由：多くの企業が使う正規ソフトウェアの更新プログラムにマルウェアを混入させ、正規の配布ルートに乗せて一斉に感染させる方法です。

この攻撃が突きつける教訓は「自社の城壁だけ高くしても守れない」こと。鎖の強さは最も弱い輪で決まります。だから対策は自社の外へ広がります——委託先のセキュリティ管理状況の確認、契約でのセキュリティ要件の明記、定期的な点検といった「委託先管理」が、情報セキュリティマネジメントの重要テーマになっています。

試験では、手口の2系統と、委託先管理の必要性を問う形で出題されます。IPAの「情報セキュリティ10大脅威」でも組織向けの上位常連です。

具体例

①委託先経由の実例：A社の業務委託先である中小IT企業がフィッシングで侵害→A社とのVPN接続を利用してA社の顧客DBに不正アクセス。②ソフトウェア供給網の実例（SolarWinds型）：企業が広く使う管理ソフトの正規アップデートにマルウェアを混入→世界数千社が同時感染。③委託先管理の対策：契約書にセキュリティ要件を明記・定期的な監査・ISMS認証取得を選定条件に。

間違えやすい類似用語

サプライチェーン攻撃 vs 標的型攻撃（APT）：どちらも特定組織を狙う攻撃だが、サプライチェーン攻撃は「弱い輪（取引先・ソフトウェア）を経由して間接的に侵入」する点が特徴。APTは直接・間接を問わず特定組織への持続的攻撃の総称であり、サプライチェーン攻撃はAPTの手法の一つ。
サプライチェーン攻撃 vs BEC（ビジネスメール詐欺）：BECは取引先になりすましてメール詐欺で送金させる。サプライチェーン攻撃は取引先を実際に侵害してその信頼関係を踏み台にする。前者はなりすまし、後者は実際の乗っ取り。