サプライチェーン攻撃とは？
さぷらいちぇーんこうげき
サプライチェーン攻撃とは、ソフトウェアや製品の開発・流通過程のどこかに侵入し、正規品に見せかけてマルウェアを配布するサイバー攻撃手法です。
サプライチェーン攻撃（Supply Chain Attack）とは、攻撃者がソフトウェアや製品の開発・ビルド・配布・更新などの流通過程（サプライチェーン）に侵入し、ユーザーが正規品だと信じてインストール・使用する過程でマルウェアや不正コードを実行させるサイバー攻撃です。
直接の攻撃対象が強固なセキュリティ対策を持つ場合でも、その組織が利用するソフトウェアベンダーやオープンソースライブラリが比較的脆弱であれば、そちらを踏み台にします。正規の更新チャネルや署名済みパッケージを悪用するため、検知が非常に困難です。
代表的な手法と事例には次のようなものがあります。
- ビルドシステム汚染：開発環境に侵入しビルド時に不正コードを埋め込む（例：SolarWinds Orion事案、2020年）
- オープンソース汚染：広く使われるnpmやPyPIのパッケージに悪意あるコードを混入する
- アップデート機構の悪用：正規の自動更新の仕組みを乗っ取りマルウェアを配布する
- ハードウェア汚染：製造段階でバックドアを組み込む
対策としては、依存パッケージの署名検証・バージョン固定・SBOM（ソフトウェア部品表）の管理・ビルドパイプラインのゼロトラスト化などが有効です。企業・政府機関のセキュリティ上の重大リスクとして広く認識されています。
使い方・例文
「広く使われているライブラリに悪意あるコードが混入されたサプライチェーン攻撃では、そのライブラリを使う数千のシステムが一度に被害を受けることがあります。」
この用語をシェア
最終更新: