サプライチェーン攻撃とは？

もう少し詳しく

「サプライチェーン攻撃」とは、企業やサービスを直接攻撃するのではなく、その企業が利用しているソフトウェア部品、外部委託先、取引先といった「供給網（サプライチェーン）」の弱い部分を経由して、間接的に被害を広げる攻撃手口の総称です。攻撃対象そのものの防御が固くても、そこに部品や機能を提供している他社・他者が乗っ取られれば、そこを踏み台にして侵入できてしまいます。

どこで使われるか

ソフトウェア開発の世界では、多くの企業が共通の部品（パッケージやライブラリ）を組み合わせてサービスを作っています。この共通部品を配布する仕組みの管理者アカウントが乗っ取られ、悪意のあるコードが仕込まれると、その部品を使っているすべての開発者・企業に影響が連鎖的に広がります。ハードウェアの製造工程や、業務委託先のシステムを経由した侵入も、広い意味でのサプライチェーン攻撃に含まれます。

身近な例

「多くの企業が使うソフトウェア部品に不正なコードが仕込まれ、それを利用していた企業のシステムが被害を受けた」というニュースは、サプライチェーン攻撃の典型例です。自社では対策を徹底していても、取引先や利用している部品が攻撃されれば被害が及ぶ可能性がある点が、この攻撃の厄介なところです。

注意点

サプライチェーン攻撃は、被害企業自身に落ち度がなくても発生し得るため、完全に防ぐことは容易ではありません。企業側では、利用しているソフトウェア部品や委託先を定期的に棚卸しし、異常が報告された際に迅速に確認・対応できる体制を整えておくことが重要です。個人としては、利用しているサービスから「セキュリティ上の理由でパスワードを変更してください」といった案内が届いた場合、その背景にサプライチェーン攻撃が関係していることもあると知っておくと、落ち着いて対応しやすくなります。