サプライチェーン攻撃は、本命の組織を直接狙うのではなく、守りが弱い取引先・委託先・グループ会社や、みんなが使っているソフトウェアやサービスを先に攻撃し、そこを経由して本命に入り込む攻撃です。IPAの10大脅威 2026では組織編2位に入っています。
3つの型
| 型 | 例 |
|---|---|
| 取引先・グループ会社経由 | 子会社や取引先のネットワークから、つながっている本社のシステムへ入る |
| 委託先経由 | システムの保守会社や、顧客データの処理を任せた会社が攻撃され、預けていた情報が漏れる（解説） |
| ソフトウェア・サービス経由 | 正規のソフトの更新プログラムや、使っている部品（ライブラリ）に悪意あるコードが混入される |
自社が入口にならないために
- 取引先とつながっている回線・アカウントを洗い出し、必要な範囲に絞る
- 委託先に求めるセキュリティの条件を契約に書き、定期的に確認する（委託先の管理）
- 使っているソフトとその部品を把握し、脆弱性が出たらすぐ分かるようにする（SBOM）
- 自社が被害を受けたら、つながりのある取引先にすぐ知らせる
「預けた情報」も自社の責任：個人情報の処理を委託した場合でも、委託元には委託先を監督する義務があります。委託先からの漏洩でも、委託元が報告や通知の当事者になることがあります。