自社のセキュリティは、それなりに固めてきたつもり。なのに、取引先や子会社、業務委託先、あるいは普段使っているソフトウェア経由で、するりと侵入されてしまう。そんな「自社の外側」が攻撃の入り口になる話を聞くと、うちは大丈夫だろうかと気になってしまいますよね。
ざっくり言うと、サプライチェーン攻撃は侵入の起点で大きく3つの型に分けられます。対策も、まず自社の現在地を押さえることが出発点です。そのうえで「自社の棚卸し→検知・対応→取引先の確認」という順番で進めれば、どこから手をつけるべきかが見えてきます。
自社の現在地を客観的につかみたいときは、セキュリティ評価プラットフォーム「Secure SketCH」をベースにしたユービーセキュアの「SCS評価制度 事前セキュリティアセスメント支援サービス」のように、専門家に対策状況を評価してもらう方法もあります。
そうした具体策に進む前に、まずはサプライチェーン攻撃の正体から、順に見ていきましょう。
サプライチェーン攻撃とひと言で言っても、思い浮かべる侵入経路は人によってバラバラです。ソフトウェア経由を想像する方もいれば、取引先経由を思う方もいるでしょう。まずは全体像を、次の3つの切り口でそろえておきます。
サプライチェーンとは、原材料や部品の調達から製造、流通、販売までを担う企業のつながり全体を指します。サプライチェーン攻撃は、この「つながり」を悪用するサイバー攻撃です。攻撃者は、守りの堅い本命を正面から攻めません。その周辺にいる対策の手薄な組織やソフトウェアを足がかりにして、じわじわと本命へ近づいていきます。
厄介なのは、ここからです。
最終的な標的は、普段どおりの業務のやりとりや正規のソフトウェアを通じて侵入されます。怪しいメールでもなく、不審な通信でもありません。信頼している相手やツールが、そのまま侵入路になります。だから、入られた瞬間にはなかなか気づけないのです。
こうした見えにくさもあり、サプライチェーン攻撃は決して例外的な脅威ではありません。IPAが毎年公表する「情報セキュリティ10大脅威」でも、組織向けの脅威として「サプライチェーンや委託先を狙った攻撃」が近年連続で第2位に位置づけられています。
この攻撃が他と一線を画すのは、攻撃者が「信頼関係そのもの」を逆手に取ってくる点にあります。取引先や委託先は、業務の都合上、自社のシステムやデータに一定のアクセス権を持っていることが少なくありません。そこが乗っ取られたら、どうなるでしょうか。正規の権限を持った相手の顔をして、堂々と入ってこられてしまいます。
もうひとつ、見落とされがちな構図があります。被害者が、そのまま「加害者」になってしまうことです。最初に侵入された組織は、自分が痛手を負うだけでは終わりません。つながっている取引先への攻撃の踏み台にされます。とくに、自社の対策状況が取引先の安全に直結するという感覚は、サプライチェーン攻撃を考えるうえで欠かせない視点です。
標的型攻撃やランサムウェアと混同されることもありますが、サプライチェーン攻撃は「侵入経路の取り方」が違います。標的を直接攻めるのではなく、標的につながる第三者を経由します。そこに本質があります。両者の違いを並べると、輪郭がはっきりします。
サプライチェーン攻撃と直接型の攻撃の違い
| 観点 | サプライチェーン攻撃 | 標的を直接狙う攻撃 |
|---|---|---|
| 侵入の起点 | 取引先・委託先・利用ソフトなど第三者 | 標的組織のシステムやメールを直接 |
| 気づきやすさ | 正規のやりとり・正規ソフト経由で気づきにくい | 不審な通信やメールで比較的検知しやすい |
| 被害の広がり | つながる多数の組織へ連鎖しやすい | 標的組織にとどまりやすい |
| 守るべき範囲 | 自社に加えて取引先・委託先まで | 主に自社の内部 |
つまり、自社の境界の内側だけを固めても守りきれません。ここに、この攻撃の難しさが凝縮されています。だからこそ出発点は、「どこが起点になりうるか」という視点で全体を見渡すことになります。
サプライチェーン攻撃は、ここ数年で立ち位置が変わりました。「数ある脅威のひとつ」から、「最優先で向き合うべき脅威」へ。深刻さを実感し、社内で説明するための材料として、次の2点を押さえておきましょう。
IPA（情報処理推進機構）が毎年公表している「情報セキュリティ10大脅威」をご存じでしょうか。その組織向けランキングで、「サプライチェーンや委託先を狙った攻撃」は2026年版でも2位に入りました。初めて選ばれた2019年から数えて、8年連続の選出です（※1）。もはや上位の常連と言ってよい状況です。
とくに注目したいのは、順位そのものよりも脅威の「名前」です。以前は「サプライチェーンの弱点を悪用した攻撃」でした。それが2025年版から、「委託先」という言葉がはっきり書き加えられたのです。委託先を起点とするインシデントが相次ぎ、委託元がその対応や説明に追われています。そんな現実を、呼び名の変化がそのまま映し出しているのではないでしょうか。
では、なぜここまで深刻化したのでしょう。背景にあるのは、守るべき接点が増え続けていることです。業務委託やSaaSの利用は当たり前になり、海外拠点やM&Aで法人をまたぐつながりも増えました。その一つひとつが、攻撃者から見れば真新しい入り口になります。
同じ流れは、ソフトウェアの世界でも起きています。WebアプリケーションのリスクをまとめたOWASP Top 10の2025年版では、「ソフトウェアのサプライチェーンリスク（A03）」が新たに3位として独立しました（※2）。これまで「既知の脆弱性を持つ古い部品」を中心に語られてきたリスクが、ライブラリやビルド環境、配布の仕組みまで含む広い概念へと広がったのです。守るべき対象は、もはや自社が書いたコードの外側にまで及んでいます。そう考えておく必要があります。
この深刻さは、国の動きにも表れています。経済産業省と内閣官房国家サイバー統括室は、サプライチェーン全体のセキュリティ対策状況を可視化する「サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）」の運用開始を2026年度末頃に予定しています（運営はIPA）。取引先や委託先を含めた対策状況の把握は、いまや個社の努力目標にとどまらず、制度として求められる段階に入りつつあります。
※1 参考：IPA｜情報セキュリティ10大脅威 2026
※2 参考：OWASP｜OWASP Top 10:2025 A03 Software Supply Chain Failures
※3 参考：IPA｜サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）
サプライチェーン攻撃を漠然と怖がっているだけでは、対策にはつながりません。攻撃の起点で3つの型に分けてみると、自社のどこが狙われやすいかが具体的に浮かび上がります。このあとの事例と対策も、この3つの型に沿って読み進められるように整理しました。
正規のソフトウェアやそのアップデート、利用しているライブラリに不正なコードを仕込み、利用者へまとめて届ける手口です。攻撃者は、ソフトの開発元や配布元に忍び込み、署名付きの「正規の更新」として悪意あるプログラムを配ります。利用者は、いつものアップデートをしているつもりで感染してしまいます。これが防ぎにくい理由です。広く使われるソフトほど、たった一度の侵害で影響が一気に広がります。
MSP（マネージドサービスプロバイダ）やクラウドサービスなど、複数の顧客を抱える事業者を侵害し、そのサービス経由で顧客に被害を及ぼす手口です。運用や管理を任せている事業者は、顧客のシステムに広くアクセスできます。便利な裏返しとして、そこが乗っ取られると、つながる顧客企業へ被害が一斉に波及してしまうのです。
取引先や子会社、業務委託先といった、業務上のつながりを足がかりにする手口です。対策が手薄になりがちな関連会社や海外拠点をまず侵害し、そこで得た情報やアクセス権を使って本命へ入り込みます。すでに常套手段と言える段階に入っており、製造業をはじめ国内でも被害が目立ちます。3つの型を一覧で見比べると、狙われ方の違いがくっきりします。
サプライチェーン攻撃の3つの型と侵入経路
| 型 | 主な侵入経路 | 狙われやすい接点 |
|---|---|---|
| ソフトウェアを狙う型 | 正規ソフト・アップデート・OSSライブラリへの混入 | 開発元・配布元・依存パッケージ |
| サービスを狙う型 | MSPやクラウドなどサービス事業者の侵害 | 運用委託先・SaaS・管理ツール |
| ビジネス上のつながりを狙う型 | 取引先・子会社・委託先を踏み台にした侵入 | 関連会社・海外拠点・業務委託先 |
ただし、実際の攻撃では、広く使われる製品の脆弱性が取引先経由の被害に連鎖するように、複数の型が組み合わさることもあります。まずは自社が外部とどうつながっているかに照らして、どの型にさらされやすいかを意識しておくようにしましょう。
型がわかったら、実際にどう悪用されたのかを見ておきましょう。一気に理解が立体的になります。ここでは、公的資料が示す侵入経路と被害の広がり方に絞って、型ごとに代表的なパターンを紹介します。各事例の最後には、そこから読み取れる「塞ぐべき接点」を一行で添えました。
IT監視・管理ソフトの開発元が侵害され、配布されるアップデートに不正なプログラム（バックドア）が紛れ込んだケースです。利用者は、署名付きの正規の更新として受け取り、何の疑いもなく適用しました。その結果、世界中の多数の組織が同時に影響を受けます。政府機関や大企業も巻き込まれ、被害の裾野は大きく広がりました（※1）。塞ぐべき接点は、利用しているソフトの配布・更新の経路そのものです。
リモートでITを管理するサービスが悪用され、そのサービスを使う多数の企業へランサムウェアが一斉に広がったケースです。管理事業者は顧客のシステムに広くアクセスできます。だからこそ、ひとつの侵害が雪だるま式にふくらみました（※2）。運用を外部に任せているときほど、この経路は死角になりがちです。塞ぐべき接点は、運用委託先や管理ツールのアクセス権限の扱いです。
企業間でファイルをやりとりするソフトの脆弱性が悪用され、それを使っていた世界中の企業から、機密データや個人情報が抜き取られたケースです。攻撃者は盗んだデータの公開をちらつかせ、金銭を要求しました。給与計算の代行や公共サービスまで、業種をまたいで被害が及んでいます（※3）。塞ぐべき接点は、外部とのデータ受け渡しに使うソフトの脆弱性管理です。
国内製造業のケースです。ある部品メーカーがランサムウェア被害でシステムを止められた結果、取引先である完成品メーカーの国内工場が、軒並み稼働を止めました。直接狙われていなくても、つながりの一点が止まるだけで、自社の操業まで巻き添えになります。それを突きつけた事例です。ランサムウェアの被害報告は引き続き高水準で、警察庁の資料でも令和7年は226件と高止まりが続いています（※4）。塞ぐべき接点は、事業継続に直結する取引先・子会社の対策状況です。
※1 参考：CISA｜Advanced Persistent Threat Compromise of Government Agencies, Critical Infrastructure, and Private Sector Organizations（AA20-352A）
※2 参考：CISA｜Kaseya Ransomware Attack: Guidance for Affected MSPs and their Customers
※3 参考：CISA｜#StopRansomware: CL0P Ransomware Gang Exploits CVE-2023-34362 MOVEit Vulnerability（AA23-158A）
※4 参考：警察庁｜令和7年におけるサイバー空間をめぐる脅威の情勢等について
事例を並べると、ある共通点が見えてきます。攻撃者はサプライチェーンの全体像を入念に調べ、弱い一点だけを正確に突いてきます。では、こちらは何から手をつければよいのでしょうか。技術が先か、ガバナンスが先かと迷いがちですが、おすすめの順番ははっきりしています。
「自社の棚卸し→検知・対応→取引先の確認→ソフトの管理」です。
守る対象が見えていなければ、優先順位はつけられません。最初にやるべきは、自社のIT資産と、外部とつながっている接点の棚卸しです。社外に公開しているサーバやVPN機器、外部に開いたポート、契約しているクラウドサービス。これらを一覧にして、「どこが攻撃者から見える状態か」を把握します。攻撃対象になりうる領域（アタックサーフェス）を可視化すること。すべては、ここから始まります。
とくにVPN機器や公開サーバといった外部公開資産は、更新や設定の漏れがそのまま侵入口になりやすい部分です。棚卸しから抜け落ちた「管理されていない資産」ほど狙われやすいと考え、洗い出しの精度を上げておきましょう。
サプライチェーン攻撃は、正規ルートを装って入ってきます。入口で完全に止めきるのは、正直なところ現実的ではありません。そこで発想を切り替えます。「入られても、早く気づいて被害を抑える」という構えです。端末やサーバの不審な挙動を検知するEDR、その運用を専門家に任せるMDR、既知のパターンに頼らず怪しい動きを見つけるふるまい検知が、その中心になります。万一感染しても、該当端末を素早く切り離せれば、被害は局所で食い止められます。あわせて押さえたいのが、検知の仕組みだけで終わらせないことです。気づいたあとに「誰が・何を・どの順で動くか」を決めた対応手順まで用意しておくと、初動が早まります。ツールと運用体制はセットで整えるのが重要です。
自社をどれだけ固めても、つながる相手が穴になれば台無しです。とはいえ、相手の対策状況は外からは見えにくいものです。だから、確認を「気合い」ではなく「仕組み」に変えていきます。進め方は、次の2つです。
基本は、口約束にしないことです。求めるセキュリティ対策の内容を、契約のなかで明確にしておきます。そのうえで、対策状況の報告を定期的に受け取る運用にすれば、相手任せにせず状況を追い続けられます。新しい取引先を選ぶ段階から、リスクの観点で候補を見極めておくことも効いてきます。ただし、すべての取引先を同じ深さで確認するのは現実的ではありません。自社の重要なデータやシステムに深く関わる相手から優先的に確認していくと、限られた手間を効かせられます。
取引先ごとに独自のチェックシートを送り合っていませんか。この運用は、双方にとって負担がかさみます。そんな非効率を解消する動きとして、経済産業省と内閣官房国家サイバー統括室（NCO）が「サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）」の整備を進めています。企業の対策状況を共通の基準で★の段階として見える化する仕組みで、2026年度末頃の制度開始（★3・★4の申請受付開始）が目指されています。今後は、発注側が取引条件として特定の段階を求める場面も出てくるでしょう。
自社が評価を取得する側として準備するなら、まずは現在地の把握からが近道です。Secure SketCHをベースにしたユービーセキュアの事前アセスメント支援を使えば、公開済みのチェックリストに沿って専門家が対策状況を評価し、セキュリティレベルを偏差値の形で見える化できます。現状把握から優先順位づけまでを一度に整理したいときの選択肢になります。
自社は「ソフトを使う側」であると同時に、製品やサービスを提供する側でもあります。どちらの立場でも効いてくるのが、ソフトウェアの構成管理です。利用しているOSSやライブラリに既知の脆弱性が残っていないか、依存している部品の中身を把握できているかを確認します。製品に含まれる部品を一覧化するSBOM（ソフトウェア部品表）の整備と、継続的な脆弱性管理が、この型への地道な、けれど確実な備えになります。SBOMは、作ること自体が目的ではありません。新たな脆弱性が公表されたときに「自社のどの製品・システムが影響を受けるか」を素早く突き止め、対処に動くために活きてきます。
※参考：経済産業省・内閣官房国家サイバー統括室｜サプライチェーン強化に向けたセキュリティ対策評価制度に関する制度構築方針
個別の打ち手がそろったら、次は「何を拠り所に進めるか」です。対策の網羅性を担保し、社内説明の根拠にもなる公的なガイドライン・フレームワークを、サプライチェーンの観点から整理しておきましょう。
経済産業省とIPAが策定したこのガイドラインは、経営者向けに「認識すべき3原則」と「重要10項目」を示しています。そのなかで、自社だけでなく国内外の拠点やビジネスパートナー、委託先まで含めたサプライチェーン全体への目配りが必要だと、はっきり書かれています（※1）。対策が不十分な関連企業を経由して自社が攻撃され、結果として他社への二次被害を招きます。そんな「加害者」になりうる視点も、ここに含まれます。経営層への説明材料としても、使いやすい指針です。
NIST（米国国立標準技術研究所）が公開するサイバーセキュリティフレームワークは、2024年の改訂で2.0になりました。大きな変更は、「ガバナンス（Govern）」が新たな柱として加わったことです（※2）。組織としてリスク管理を統括する役割が、これまで以上に強調されています。あわせて、サプライチェーン全体のリスク管理（SCRM）の位置づけも明確になりました。委託先を含むつながり全体を継続的に管理する、という発想を裏づけてくれます。あわせて2.0では、対象が重要インフラに限らず、あらゆる規模・業種の組織へと広げられました。自社の対策を「識別・防御・検知・対応・復旧」と「統治」の観点で体系立てて点検する物差しとして、中小企業でも使いやすくなっています。
NISTが定めるSP800-171は、保護すべき重要情報の管理を目的に、アクセス制御や構成管理、認証、監視などの要件をまとめたものです。前述のSCS評価制度も、こうした国際的なフレームワークや国内のガイドラインを参照しながら設計が進んでいます。つまり、これらに沿ってリスク評価や対策を積み上げてきた組織は、制度開始に向けてある程度の助走を終えている、とも言えるのです。制度の対象企業や開始時期、★1〜★5の段階ごとの違いは、SCS評価制度とは？対象企業・開始時期・★1〜★5の違いまるわかりガイドで詳しく整理しています。
※1 参考：経済産業省・IPA｜サイバーセキュリティ経営ガイドライン Ver3.0
※2 参考：NIST｜Cybersecurity Framework (CSF) 2.0
サプライチェーン攻撃は、自社の境界の内側を固めるだけでは防ぎきれません。攻撃者は守りの堅い本命を避け、ソフトウェア・サービス・ビジネス上のつながりという3つの経路から、手薄な一点を突いてきます。IPAの10大脅威で長く上位に居座っている事実が示すとおり、もはや特別な事件ではなく、日常の経営リスクと考えたほうがよいでしょう。
打ち手に迷ったら、優先順位はこの順番です。「自社の棚卸し→侵入を前提とした検知・対応→取引先の確認・評価」。技術かガバナンスかの二択ではありません。この順で両輪を回していくことが、いちばん現実的な進め方になります。
その第一歩として、自社の現在地を客観的につかみたいなら、Secure SketCHをベースにしたユービーセキュアの「SCS評価制度 事前セキュリティアセスメント支援サービス」が役立ちます。専門家が対策状況を評価し、優先順位づけから具体的なソリューションの提案までをワンストップで支援します。制度の読み解き方や進め方に迷ったときは、お問い合わせからご相談ください。
サプライチェーン攻撃への備えは、自社を守る取り組みであると同時に、つながる相手からの信頼を守る取り組みでもあります。できるところから、早めに動き出していきましょう。