サプライチェーン攻撃とは？攻撃された場合のリスクや被害事例、防止策を解説

サプライチェーン攻撃とは、セキュリティ対策が整っていない中小企業などを経由して大企業に不正アクセスするサイバー攻撃のことです。自社が強固なセキュリティ対策を行っていたとしても、子会社や協力会社を通じて、被害に遭うリスクがあります。

本記事では、サプライチェーン攻撃の概要や受けた場合のリスクと被害事例、防止策について詳しく解説します。サプライチェーン攻撃について知りたい方、被害を防ぎたい方は、ぜひ参考にしてください。

サプライチェーン攻撃とは

サプライチェーン攻撃（供給連鎖）とは、関連会社や取引企業を経由して最終ターゲットとなる大企業に不正アクセスするサイバー攻撃のことです。セキュリティ強度が低い企業や組織の脆弱性を利用してサイバー攻撃を仕掛け、簡単には攻撃できない企業にも侵入します。

ここからは、サプライチェーン攻撃に関する以下の事項について解説します。

• 攻撃対象
• 発生状況
• 増加している理由

攻撃対象

サプライチェーン攻撃における最終ターゲットは大企業ですが、直接的な攻撃対象は中小企業です。大企業は強固なセキュリティ対策を行っているため、簡単にはサイバー攻撃が成功しません。

一方、中小企業の中にはセキュリティ対策が行き届いていない企業が少なくありません。サプライチェーン攻撃では、セキュリティが手薄な中小企業を踏み台にして、大企業への攻撃を仕掛けます。

発生状況

サプライチェーン攻撃の脅威は、年々増しています。以下は、独立行政法人情報処理推進機構（IPA）が毎年発表している「情報セキュリティ10大脅威 2025」のデータです。

出典：情報セキュリティ10大脅威 2025｜IPA

上記によれば、サプライチェーン攻撃は2位で、2019年に初めて選ばれて以降、7年連続7回目の選出となっています。また、2023年1月から2023年10月31日に、日本国内で公表されたセキュリティインシデントは316件で、その4.4％となる14件がサプライチェーン攻撃によるものでした。
参照：2023年、サプライチェーンにおけるセキュリティリスク動向～被害事例にみる企業が直面するリスクとは？｜トレンドマイクロ

増加している理由

サプライチェーン攻撃が増加している背景には、セキュリティ対策の格差拡大や標的型攻撃における利益の増加があります。セキュリティ対策の重要性が増している昨今、大企業は多彩なツールの活用などを行っているのに対して、予算や人材が乏しい中小企業では対策が不十分なところも少なくありません。中小企業であれば、比較的簡単に不正アクセスを実行できます。

また、近年はデータやシステムの価値が向上しています。多くのデータ保有、システム利用をしている大企業に攻撃を仕掛けられれば、多額の金銭要求や大きなダメージを与えられるでしょう。

さらに、サイバー攻撃の実行に必要な脆弱性情報や攻撃ツールが、ダークウェブなどを通じて簡単に入手可能となっています。ダークウェブとは、通常のWebブラウザからは簡単にアクセスできず、犯罪の温床となっているサイトのことです。ダークウェブを通じて情報やツールを簡単に入手することができ、専門スキルがなくてもサイバー攻撃をしやすくなっています。

なお、ダークウェブの詳細は以下をご覧ください。
⇒ダークウェブとは？仕組みや被害事例、対策まで徹底解説！

サプライチェーン攻撃の主な種類

サプライチェーン攻撃の主な種類は以下の3つです。

• ソフトウェアサプライチェーン攻撃
• サービスサプライチェーン攻撃
• ビジネスサプライチェーン攻撃

順に解説します。

ソフトウェアサプライチェーン攻撃

ソフトウェアサプライチェーン攻撃とは、ソフトウェアの開発や製造、提供の工程で侵入して、不正なコード・マルウェアを仕込む方法のことです。マルウェアなどが仕込まれたソフトウェアを通じて、利用企業への不正アクセスを試みます。また、製品の提供後も悪意あるアップデートプログラムのバラまきが行われるケースも多く、被害が拡大しやすい特徴があります。

サービスサプライチェーン攻撃

サービスサプライチェーン攻撃とは、ターゲットとなる企業が利用するサービスの提供元を攻撃の起点とする方法のことです。標的企業が活用しているクラウドサービスなどに攻撃を仕掛け、サービス提供に使われている回線を通じて標的のネットワークに侵入します。

ビジネスサプライチェーン攻撃

ビジネスサプライチェーン攻撃とは、ターゲット企業の子会社や委託先、取引企業を攻撃の起点とする方法のことです。強固なセキュリティ体制を築いている大企業ではなく、脆弱な中小企業を狙うことにより、標的への不正アクセスを試みます。

サプライチェーン攻撃を受けた場合のリスク

サプライチェーン攻撃を受けた場合、以下のリスクが存在します。

• 情報漏洩
• 金銭の要求
• 他社への被害

順に解説します。

情報漏洩

サプライチェーン攻撃を受ければ、自社が保有する個人情報や機密データが漏洩するリスクが存在します。近年は、プライバシー保護に関する関心が高まっており、情報が漏洩すれば信用やブランドイメージが損なわれる恐れがあるでしょう。法律で罰せられたり、情報漏洩した個人に対する賠償金の支払いが発生したりするリスクも存在します。

なお、個人情報保護法の罰則や情報漏洩した場合の賠償金支払い事例は以下をご覧ください。
⇒個人情報保護法の罰則とは？概要や罰則以外のリスク、違反を防止するための対策を解説
⇒情報漏洩による損害賠償とは？事例5選や企業に与える影響、対策まで徹底解説

また、新製品の企画や設計図など自社の機密データがライバル企業の手に渡れば、優位性が損なわれる恐れもあります。

金銭の要求

金銭の要求もサプライチェーン攻撃を受けるリスクの一つです。攻撃者は、ランサムウェアに感染させ、データの暗号化やデバイスのロックを行い、解除と引き換えに身代金を要求します。身代金を支払ったとしても、暗号化やロックが解除される保証はなく、追加の金銭を要求されるケースも少なくありません。

なお、ランサムウェアの詳細や感染した場合の対処法については以下をご覧ください。
⇒ランサムウェアとは？手口や対策まで詳しく解説
⇒ランサムウェアに感染したらどうなる？感染時の対応ステップや感染対策を解説

また、システムの破壊などによりサービス提供や業務を停止させるケースもあります。

他社への被害

サプライチェーン攻撃の影響は自社のみにとどまりません。自社が踏み台とされ、他社に被害が拡大するケースもあります。大企業が被害に合えば、多額の損失が発生するでしょう。

サプライチェーン攻撃の被害事例

続いて、サプライチェーン攻撃に関する以下の被害事例を紹介します。

• 大手インターネット企業
• 宿泊予約サイト
• 大手自動車メーカー
• ウイルス対策ソフトウェアメーカー
• 大手チャットサービス

大手インターネット企業

2023年11月に、大手インターネット企業は約44万件の個人情報が流出したと発表しました。原因は、業務委託先の従業員が使っていたパソコンがマルウェアに感染して、悪用されたことです。マルウェア感染した従業員のアカウントから、関連企業のシステムを通じて被害が拡大しました。

宿泊予約サイト

世界最大級の宿泊予約サービスも、不正アクセスからユーザー情報の流出につながっています。攻撃者は、サービスを利用していたホテルにフィッシングメールを送りマルウェア感染させ、システムに侵入しました。侵入後、予約者にフィッシングメールを送り、クレジットカードや個人情報を窃盗しています。

なお、フィッシングメールの詳細は以下をご覧ください。
⇒フィッシング詐欺とは？5つの対策や被害にあった場合の対処法を解説

大手自動車メーカー

2022年には、大手自動車メーカーにおけるグループ企業全体の工場が停止して、多くの損害が発生しました。原因は、自動車メーカーに部品を提供している企業がマルウェア感染して、そこを踏み台に被害が拡大したことです。

ウイルス対策ソフトウェアメーカー

2017年には、ウイルス対策を提供するソフトウェアメーカーのツールにマルウェアが仕込まれる事件がありました。多数の大手企業も利用しているソフトウェアだったため、多くのパソコンに被害が拡大しました。

大手チャットサービス

カナダにある大手チャットサービス企業も、サプライチェーン攻撃の被害に遭っています。チャットサービス企業のソフトウェアにバックドアが仕込まれており、インストールしたユーザーのデバイスがマルウェアに感染しました。

バックドアとは、コンピューターへ不正侵入する入り口のことです。詳細は以下をご覧ください。
⇒バックドアとは？設置される手口や主な被害事例、対策方法を解説

サプライチェーン攻撃の防止策

最後に、以下のサプライチェーン攻撃防止策について解説します。

• 推測されにくいパスワードの設定
• OSのこまめなアップデート
• セキュリティ対策ツールの利用
• PSIRTの設置
• 従業員に対するセキュリティ研修の実施
• ガイドラインやフレームワークの利用
• グループ企業や関連企業、取引先との協力

経営層の理解

サプライチェーン攻撃を含めたセキュリティ対策には、コストと人材が必要であるため、経営層の理解が欠かせません。経営層がセキュリティ対策の重要性を理解していなければ、リソースが配分されないでしょう。セキュリティ対策を怠った場合、対策に必要な費用以上の損失が発生するリスクがあります。

推測されにくいパスワードの設定

推測されにくいパスワードの設定も、サプライチェーン攻撃の防止に有効です。推測されにくいパスワードとは、10文字以上のランダムな文字列でアルファベットの大文字・小文字、数字、記号を組み合わせたもののことです。また、パスワードの使い回しを避け、定期的に変更するとより強度が高まります。

なお、推測されにくいパスワードの詳細は以下をご覧ください。
⇒漏洩の危険があるパスワードの特徴とは？漏洩対策や漏洩した時の対応策を徹底解説！

OSのこまめなアップデート

OSのこまめなアップデートも、サプライチェーン攻撃の防止に役立ちます。アップデートにより、セキュリティ上の欠陥である脆弱性に対するパッチや新たなセキュリティ対策機能の提供が行われるケースがあります。アップデートせずに放置していれば、脆弱性が残りそこからサイバー攻撃を仕掛けられるリスクがあるでしょう。

セキュリティ対策ツールの利用

セキュリティ対策ツールの導入・利用も欠かせません。サプライチェーン攻撃では、ランサムウェアやマルウェアなどのウイルス感染が行われるケースがあるため、以下の機能が実装されたツールを用いると良いでしょう。

• 不審なメールのブロックや自動仕分け
• マルウェア感染のスキャンと駆除
• マルウェアの種類や被害範囲の特定

近年は、数多くのセキュリティ対策ツールが提供されています。全てを一度に導入するのは難しいため、自社の状況を分析して優先順位を付けた上で導入・利用を進めましょう。

PSIRTの設置

自社が開発・提供している製品やサービスを基にした攻撃を防止するには、PSIRTの設置が有効です。PSIRT（Product Security Incident Response Team）とは、自社が開発・提供する製品やサービスの脆弱性・インシデントに対応し、問題を解決する専門チームのことです。攻撃の防止だけでなく、被害の最小化も期待できます。

従業員に対するセキュリティ研修の実施

従業員に対するセキュリティ研修の実施も重要です。対策ツールなどを導入したとしても、従業員の不用意な行動が原因でマルウェアやウイルス感染するリスクが存在します。最新の攻撃手口や被害事例、取ってはいけない行動などを従業員に説明して、セキュリティに関するリテラシーを高めましょう。

ガイドラインやフレームワークの利用

近年は、多くの団体や組織がセキュリティに関するガイドライン・フレームワークを提供しています。具体的には、IPAの「中小企業の情報セキュリティ対策ガイドライン」や経済産業省とIPAが策定した「サイバーセキュリティ経営ガイドライン」が挙げられます。ガイドラインやフレームワークを上手く活用すれば、セキュリティを強化できるでしょう。

グループ企業や関連企業、取引先との協力

サプライチェーン攻撃は、自社だけが対策すれば防ぐことができるわけではありません。グループ企業や関連企業、取引先経由で攻撃を受けるケースがあるため、セキュリティ対策状況の確認や協力体制の構築が重要です。

具体的には、取引を行う前にセキュリティ対策の確認や実施内容を明確にした上で契約を行いましょう。また、状況の定期的なチェックも有効です。

まとめ

サプライチェーン攻撃とは、関連会社や取引企業を経由して最終ターゲットとなる大企業に不正アクセスするサイバー攻撃のことです。主にセキュリティ強度が低い中小企業の脆弱性を利用してサイバー攻撃を仕掛け、簡単には攻撃できない企業に侵入します。

攻撃を受ければ、自社の情報が漏洩するだけでなく他社に迷惑をかける恐れがあるでしょう。また、ツールの導入など自社でセキュリティ対策を行っても、他社を経由して攻撃を受ける恐れがあり、完全に防ぐことは困難です。

攻撃の防止だけでなく、情報が漏洩した際に素早く察知して、適切な対応を取るための体制構築も求められます。情情報漏洩監視ツール「ダークウェブアイ」は、会社のドメイン情報を入れるだけで「いつ」「どこから」「どんな情報が」漏れてしまったのか、一瞬で分かります。

自社情報が漏洩していないか不安な方は、まずは自社の漏洩状況を確認してみてはいかがでしょうか？
⇒メールアドレスを入れるだけ！自社の漏洩状況をチェック！