サプライチェーン攻撃とは（全体像）
正面の守りが固い相手には、攻撃者は遠回りを考える。そこで狙われるのが、取引先・委託先・使っているソフト部品（OSS）・ハードウェアといった「供給網」だ。ここの弱いところを突いて、間接的に標的へ届かせる——これがサプライチェーン攻撃。
特に今のソフトは、他人が作った部品（OSS）を大量に組み合わせて作られている。だから、ある部品に悪意のコードが仕込まれると、それを使う全員に一気に被害が広がってしまう。
押さえるのは、間接攻撃という性質、代表事例、そして対策（SBOMなど）だ。
詳しく：事例と対策を押さえる
ここが心臓部。まず代表的な事例を整理する（名前と「何が起きたか」をつかめば十分）。
サプライチェーン攻撃の代表事例
| 事例 | 何が起きたか |
|---|---|
| SolarWinds（2020） | 製品の更新に悪意コードが仕込まれ、多数の組織に影響 |
| XZ Utils（2024） | Linuxの圧縮ライブラリに悪意コードが挿入（発見され寸前で阻止） |
| Log4Shell（2021） | Apache Log4jの脆弱性で広範囲に影響 |
| npm/PyPIの侵害 | 似た名前の偽部品を紛れ込ませる（タイポスクワッティング） |
そして、対策の中心がSBOM。
サプライチェーン攻撃のおもな対策
| 対策 | 内容 |
|---|---|
| SBOM（部品表） | ソフトが何の部品を使っているかを一覧化し、透明性を確保する |
| 依存の管理・更新 | 使っている部品を把握し、古い部品を更新する（Dependabotなど） |
| OSSも過信しない | OSSにも侵害事例があるため、出どころや更新を確認する |
言葉を噛み砕いておく。
- 間接攻撃 … 標的の正面ではなく、つながっている取引先や部品を踏み台にする。だから「自社のコードだけ守れば安心」とはいかない。
- SBOM（Software Bill of Materials） … ソフトの「部品表（原材料表示）」。何が入っているかを一覧化しておけば、ある部品に問題が見つかったとき「自分のソフトに入っているか」をすぐ確認できる。米国の大統領令（2021年）でも推奨された。
- OSSも過信しない … OSSは便利だが、XZ Utilsのように侵害された事例もある。出どころや更新状況を確かめる。
わかりやすく言い換えると
つまり、サプライチェーン攻撃は「城の出入り業者にまぎれて侵入する」攻撃にたとえるとスッと入る。
正面の門が固ければ、攻撃者は出入りの業者や、運び込む材料にまぎれて入ろうとする。料理でいえば、自分の厨房がどんなに清潔でも、仕入れた食材（部品）に毒が入っていたら被害が出てしまう。
現代のソフトは、他人が作った部品（OSS）の寄せ集めでできている。だから、自分のコードだけでなく使っている部品まで含めて管理することが大事。その土台になるのがSBOM（部品表）で、「何を使っているか」を見える化しておけば、問題の部品が見つかったときにすぐ手を打てる、というわけだ。
試験のツボ
🔴 一番出る：間接攻撃という性質
①標的を直接ではなく、取引先や部品（OSS）を経由する
②自社コードだけでなく、使っている依存部品も対策の対象
🔴 次に出る：代表事例
①SolarWinds（2020）・XZ Utils（2024）・Log4Shell（2021）
②似た名前の偽部品を紛れ込ませるタイポスクワッティング
🟡 押さえると安定：対策の柱はSBOM（ソフトの部品表）。OSSも過信しない
よくある間違い
①「自社のコードだけ守ればサプライチェーン攻撃は防げる」→ ✗ 取引先や使っている部品を経由する攻撃なので、依存部品も含めて対策する。
②「OSSはみんなが見ているから安全で、侵害されることはない」→ ✗ XZ Utilsのように侵害された事例がある。出どころや更新を確認する。
③「SBOMは通信を暗号化するしくみだ」→ ✗ SBOMはソフトの部品表（何を使っているかの一覧）。暗号化とは別もの。
試験での出題パターン
実際の問題でたしかめてみよう。
オリジナル問題1（サプライチェーン攻撃とは）
サプライチェーン攻撃に関する次の記述のうち、正しいものはどれか。
- サプライチェーン攻撃は商品の配送日を早めるための物流の手法で、セキュリティとはいっさい関係しないとされている
- サプライチェーン攻撃は通信を暗号化する技術のことで、取引先や部品とはまったく無関係とされているのだ
- サプライチェーン攻撃は社員の勤務時間を集計する人事のしくみで、攻撃とは関係しないとされているものだ
- サプライチェーン攻撃は取引先や使っている部品（OSS）など供給網を経由して標的に届く間接的な攻撃である
解答は 4 である。
サプライチェーン攻撃は、標的を直接ではなく、取引先や使っている部品（OSS）など供給網を経由して届く間接的な攻撃。正面が固い相手への遠回りの手口だ。
選択肢1の物流の手法、選択肢2の暗号化、選択肢3の勤務時間の集計は、いずれも誤りだ。
| 選択肢 | 判定 | 理由 |
|---|---|---|
| 1 | ✗ | 物流の手法ではない |
| 2 | ✗ | 暗号化技術ではない |
| 3 | ✗ | 勤務時間の集計とは無関係 |
| 4 | ✓ | 供給網を経由する間接攻撃で正しい |
オリジナル問題2（対策の考え方）
サプライチェーン攻撃の対策に関する次の記述のうち、正しいものはどれか。
- 自社のコードだけでなく、使っている依存部品も含めて管理し、SBOMで何を使っているか見える化する
- 自社のコードさえ守れば十分で、使っている部品やOSSはいっさい確認する必要はないとされているのだ
- 対策は通信の速度を上げることだけで、依存部品や供給網を管理する必要はないとされているものである
- 対策は画面の文字を大きくすることだけで、ソフトの部品とはまったく関係がないとされているのが実情だ
解答は 1 だ。
対策は、自社のコードだけでなく使っている依存部品も含めて管理し、SBOM（部品表）で何を使っているか見える化するのが基本。供給網全体を見る視点が大事だ。
選択肢2は「自社コードだけで十分」が誤り。選択肢3の「速度を上げるだけ」、選択肢4の「文字を大きくする」も誤りだ。
| 選択肢 | 判定 | 理由 |
|---|---|---|
| 1 | ✓ | 依存部品も管理しSBOMで見える化で正しい |
| 2 | ✗ | 自社コードだけでは不十分 |
| 3 | ✗ | 速度の話ではない |
| 4 | ✗ | 文字の大きさとは無関係 |
オリジナル問題3（事例とOSS）
サプライチェーン攻撃の事例やOSSに関する次の記述のうち、正しいものはどれか。
- OSSはみんなが見ているため絶対に侵害されず、XZ Utilsのような事例はけっして起きないとされているのが実情だ
- サプライチェーン攻撃の事例は過去に1件もなく、心配する必要はまったくないとされているものなのである
- SolarWindsやXZ Utilsは代表例で、OSSにも侵害があり得るため出どころや更新の確認が大切である
- サプライチェーン攻撃はソフトとはまったく無関係で、紙の書類の配送だけで起きる問題であるとされているのだ
解答は 3 だ。
SolarWindsやXZ Utilsは代表的な事例で、OSSにも侵害があり得る。だから出どころや更新の確認が大切になる。
選択肢1は「OSSは絶対に侵害されない」が誤り。選択肢2は「事例が1件もない」が誤り。選択肢4は「紙の書類の配送だけ」が誤りだ。
| 選択肢 | 判定 | 理由 |
|---|---|---|
| 1 | ✗ | OSSも侵害され得る（XZ等） |
| 2 | ✗ | 事例は複数ある |
| 3 | ✓ | 代表事例・OSSの確認が大切で正しい |
| 4 | ✗ | 紙の書類の配送の話ではない |
まとめ
押さえどころ
- 🔴 サプライチェーン攻撃 ＝ 取引先や使っている部品（OSS）など供給網を経由する間接攻撃。
- 🔴 代表事例はSolarWinds（2020）・XZ Utils（2024）・Log4Shell（2021）。自社コードだけでなく依存部品も対象。
- 🟡 対策の柱はSBOM（ソフトの部品表）。OSSも過信せず、出どころや更新を確認する。
次に学ぶ
- CVE（脆弱性識別子） ── Log4Shellなど、個々の脆弱性に番号を付けるしくみ。
- OWASP Top 10 ── Webアプリ脆弱性のワースト10（脆弱で古い部品も項目に入る）。
- NWセキュリティ（FW・IDS/IPS・WAF） ── 攻撃を入口で防ぐ、ネットワークの守りのしくみ。
執筆: SikakuQuest編集部