サプライチェーン攻撃とは
セキュリティの堅い大企業を直接狙わず、取引先・委託先・ソフトウェアの提供元など、つながりのある組織の弱いところから侵入するサイバー攻撃。
サプライチェーン攻撃とは
サプライチェーン攻撃とは、本命の標的を直接攻撃するのではなく、その会社とつながりのある取引先、業務委託先、子会社、利用しているソフトウェアの提供元などを足がかりにして侵入するサイバー攻撃のことです。
大企業は対策にお金をかけているため、正面から侵入するのは簡単ではありません。そこで攻撃者は、対策が手薄になりがちな中小の取引先を狙い、そこから取引先とのネットワーク接続や共有アカウントを使って本命に入り込みます。
IPA（情報処理推進機構）の「情報セキュリティ10大脅威」組織編では、「サプライチェーンや委託先を狙った攻撃」が2023年版から2026年版まで4年連続で2位に入っています。
主な3つのパターン
被害者にも加害者の入口にもなる
中小企業にとって重要なのは、自社の被害だけでなく「取引先への攻撃の入口」になりうる点です。2022年には大手自動車メーカーの部品取引先がランサムウェアに感染し、メーカーの国内工場が1日稼働を停止しました。2025年10月のアスクルのランサムウェア被害では、侵入口が業務委託先の管理者アカウントだったと推定されており、物流を委託していた他社のネット通販まで止まりました（詳しくはランサムウェア）。
SCS評価制度との関係
こうした状況を受けて、経済産業省は「サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）」を整備しています。取引先のセキュリティ対策の水準を★3〜★5の段階で見えるようにする制度で、★3・★4は2026年度末頃の開始が目指されています。今後、発注元から「★3以上」などを取引条件として求められる可能性があります。制度の内容はSCS評価制度の解説を参照してください。
中小企業がやるべき対策
- 取引先から発行されたアカウントや接続手段を一覧にし、使っていないものは返却する
- 社外とつながるアカウントは多要素認証にする
- IPAの「SECURITY ACTION」で自社の対策状況を宣言する（SECURITY ACTIONの始め方）
- 自社が業務を委託する側でもある場合は、委託先の対策状況を確認する
具体例
自動車部品の二次下請けにあたる従業員40名の会社では、元請けからセキュリティのチェックシートが届いたことをきっかけに、共有アカウントの使い回しをやめ、取引先ごとに担当者アカウントを分けました。チェックシートの回答に必要な社内規程も、この機会に整えています。
関連サービス
Swaaabでは、取引先からのセキュリティ要請への対応準備や社内規程づくりをAIセキュリティ対策支援として支援しています。第三者評価や脆弱性診断が必要な場合は、提携する専門事業者と連携します。