サプライチェーン攻撃とは？意味・読み方・元ネタ・なぜ話題か

意味・読み

読み	さぷらいちぇーんこうげき
カテゴリ	セキュリティ
話題になった時期	2026-01 頃

サプライチェーン攻撃の読み方は「さぷらいちぇーんこうげき」です。

サプライチェーン攻撃とは、狙った組織を正面から攻めるのではなく、その組織とつながりのある取引先・委託先・ソフトウェア提供元などを経由して侵入するサイバー攻撃のこと。対策が相対的に手薄な企業が踏み台として悪用される点が特徴で、大きく分けて、開発元や配布物に不正を仕込むソフトウェア型、クラウド事業者や運用委託先を侵害するサービス型、子会社や取引先の環境から業務のやり取りを通じて侵入するビジネス型がある。IPAは「サプライチェーンの弱点を悪用した攻撃」として整理している。

経緯・背景

業務がクラウドや外部委託、オープンソースのライブラリに依存するようになるにつれ、攻撃の入口も自社の外へ広がった。ソフトウェア型では、開発会社の環境に侵入して納品物に不正を施す、あるいは依存パッケージに悪意あるコードを混入させる形が知られる。サービス型ではクラウド事業者やマネージドサービス提供者が侵害され、その顧客企業に影響が及ぶ。ビジネス型では、取引先の環境を足がかりに本来の標的へ入り込む。IPAの10大脅威では2019年の初選出以降、組織編の上位に定着している。

なぜ話題になったのか

自社のセキュリティを固めても、取引先や利用しているサービス、依存しているライブラリの側が突かれると被害を受けるという構図が、多くの組織にとって現実的な悩みだったため広く使われるようになった。中小企業が「自社は狙われない」と考えていても踏み台にされうる点が繰り返し指摘され、委託先の管理や依存関係の把握（部品表の整備）といった話題とセットで語られる。