サプライチェーン攻撃とは（全体像）
サプライチェーン（供給網）とは、取引先・委託先・部品の提供元など、ものやサービスを支え合うつながりのことだ。サプライチェーン攻撃は、そのつながりの中で、守りが弱いところを経由して、本来のねらいである組織に入り込む攻撃を指す。
たとえば、本体である大きな会社を直接ねらうのではなく、セキュリティの弱い取引先や、使っているソフトの部品（OSS）に侵入し、そこを足がかりにする。
ここで一番のポイント。サプライチェーン攻撃は、本体ではなく、弱いところを経由する間接的な攻撃だ。「自社さえしっかり守れば、それで安全だ」と思い込むと誤りで、つながっている取引先や部品が弱いと、そこから入られてしまう。
詳しく：なぜ防ぎにくいのか、対策
ここが心臓部。ポイントを表で押さえよう。
サプライチェーン攻撃のポイント
| 項目 | やさしい意味 |
|---|---|
| 正体 | 弱い取引先・部品を経由する間接的な攻撃 |
| ねらい | つながりを足がかりに、本体へ入り込む |
| 10大脅威 | 組織編で上位の常連 |
| 対策 | 取引先の選定・管理／ソフト部品の管理（SBOM） |
この攻撃が防ぎにくいのは、自社の中だけを守っても、外のつながりが弱ければ、そこから入られてしまうからだ。信頼している取引先や部品を通って来るので、気づきにくい。
ここで一番のポイント。対策は、自社だけでなく、つながり全体を守ること。具体的には、取引先のセキュリティを選ぶときに確かめる（選定・監査）、使っているソフトの部品を一覧で管理する（SBOM＝ソフトウェア部品表）、などだ。「OSS（無償のソフト部品）は安全だから対策は要らない」と思い込むと誤りで、部品が侵害される事例もある。
わかりやすく言い換えると
身近なたとえで整理しよう。
サプライチェーン攻撃は、「本人の家は厳重でも、合鍵を持つ取引先の家から侵入する空き巣」のイメージ。要するに、弱いつながりを通って入る。
防ぎにくい理由は、「信頼している相手や部品を通って来るので、気づきにくい」こと。つまり、内側からのように入られる。
対策は、「自分の家だけでなく、合鍵を持つ相手の戸締まりも確かめること」こと。つまり、つながり全体を守る。
試験のツボ
🔴 一番出る：攻撃の正体
①取引先・委託先や部品など、弱いところを経由する間接的な攻撃
②つながりを足がかりに、本体へ入り込む
🔴 次に出る：なぜ防ぎにくいか
①自社だけ守っても、外のつながりが弱いと入られる
②信頼する相手や部品を通って来るので気づきにくい
🟡 押さえると安定：対策
①取引先の選定・管理（監査）
②ソフト部品の管理（SBOM＝ソフトウェア部品表）
よくある間違い
①「自社さえしっかり守れば、それで安全だ」→ ✗ つながっている取引先や部品が弱いと、そこから入り込まれる。
②「OSS（無償のソフト部品）は安全で、対策は要らない」→ ✗ 部品が侵害される事例もあり、ソフト部品の管理が必要。
③「サプライチェーン攻撃は、本体を直接ねらう攻撃だ」→ ✗ 本体ではなく、弱いところを経由する間接的な攻撃。
試験での出題パターン
実際の問題でたしかめてみよう。
オリジナル問題1（攻撃の正体）
サプライチェーン攻撃に関する次の記述のうち、最も適切なものはどれか。
- 社員の出退勤を記録して、毎月の給与を計算するためのしくみだ
- 取引先や部品など、弱いところを経由する間接的な攻撃のことだ
- 取引先へ毎月の請求書を郵送する、決まった事務作業のことを指す
- 完成したシステムを宣伝して、より多く売るための広告活動である
解答は 2 である。
サプライチェーン攻撃は、取引先や部品など、守りの弱いところを経由する間接的な攻撃じゃ。弱いつながりを通って入ると心得るがよい。
選択肢1は給与計算、選択肢3は請求書の事務、選択肢4は広告ゆえ、どれも違うのじゃ。
| 選択肢 | 判定 | 理由 |
|---|---|---|
| 1 | ✗ | 給与計算のしくみではない |
| 2 | ✓ | 弱いところを経由する間接攻撃で正しい |
| 3 | ✗ | 請求書の事務の話 |
| 4 | ✗ | 広告活動ではない |
オリジナル問題2（なぜ防ぎにくいか）
サプライチェーン攻撃が防ぎにくい理由に関する次の記述のうち、最も適切なものはどれか。
- 社員の給与を計算するときだけ、起きるとされているものである
- 取引先への請求書の枚数しだいで、決まるとされているものだ
- 自社だけ守っても、外のつながりが弱いと入られてしまうからだ
- システムの動きが、少しだけ速くなるとされているものである
解答は 3 である。
自社の中だけを守っても、外のつながりが弱いと、そこから入られるからじゃ。信頼する相手を通って来るので気づきにくいと心得るがよい。
選択肢1の給与、選択肢2の請求書、選択肢4の「速くなる」は、いずれも違うのじゃ。
| 選択肢 | 判定 | 理由 |
|---|---|---|
| 1 | ✗ | 給与計算のときだけではない |
| 2 | ✗ | 請求書の枚数で決まるのではない |
| 3 | ✓ | 外のつながりが弱いと入られるで正しい |
| 4 | ✗ | 速くなるものではない |
オリジナル問題3（対策）
サプライチェーン攻撃の対策に関する次の記述のうち、最も適切なものはどれか。
- 取引先の選定・管理や、ソフト部品の管理が有効なのである
- 社員の給与を計算するときだけ、必要だとされているものだ
- 取引先への請求書を郵送するときだけ、必要だとされているのだ
- 自社の中だけ守れば、それで十分だとされているのである
解答は 1 である。
対策は、取引先の選定・管理や、ソフト部品の管理（SBOM）じゃ。つながり全体を守ることが大事と心得るがよい。
選択肢2の給与、選択肢3の請求書、選択肢4の「自社だけで十分」は、いずれも違うのじゃ。
| 選択肢 | 判定 | 理由 |
|---|---|---|
| 1 | ✓ | 取引先と部品の管理で正しい |
| 2 | ✗ | 給与計算のときだけではない |
| 3 | ✗ | 請求書のときだけではない |
| 4 | ✗ | 自社だけでは足りない |
まとめ
押さえどころ
- 🔴 正体 ＝ 本体ではなく、取引先・委託先や部品（OSS）など、守りの弱いところを経由する間接的な攻撃。
- 🔴 防ぎにくい理由 ＝ 自社だけ守っても、外のつながりが弱いと入られる。信頼する相手を通って来るので気づきにくい。
- 🟡 対策 ＝ 取引先の選定・管理（監査）と、ソフト部品の管理（SBOM＝ソフトウェア部品表）。つながり全体を守る。
次に学ぶ
- 情報セキュリティ10大脅威2025 ── 重大な脅威の一覧。サプライチェーン攻撃は組織編で上位の常連。
- ランサムウェア ── 身代金を要求するマルウェア。取引先経由で広がることもある。
執筆: SikakuQuest編集部