サプライチェーン攻撃

📖 もうちょい詳しく

何が新しいの？

会社のシステムは、年々守りが固くなっています。正面から攻めても、なかなか入れません。そこで攻撃する側は、本命をじかに狙うのをやめました。本命が信頼してつながっている「取引先」や「使っている部品」を先にのっとり、そこから回り込んで入る手口が目立つようになっています。

どうやって動いてるの？

いまのソフトは、自分で全部を作っているわけではありません。世の中に公開された部品（オープンソースのプログラムなど）や、外部の業者が作った仕組みを、たくさん組み合わせて動いています。攻撃する側は、その部品の中に悪いプログラムをこっそり混ぜます。すると、その部品を取り込んだ会社のシステムにも、自動で悪いものが広がっていきます。

何ができるの？

これは身を守る側の話として知っておくと役に立ちます。自社だけ守っても、つながっている相手がゆるいと、そこから危険が入ってきます。だから「どの部品を使っているか」「どの業者とつながっているか」を一覧にして把握しておくことが、対策の第一歩になります。

🌱 身近なたとえ

合鍵で例えると分かりやすいです。あなたの家の鍵が頑丈でも、合鍵を預けている隣人の家がだれでも入れる状態なら、そこから合鍵を盗まれて入られてしまいます。本人ではなく、本人が信頼している相手の弱いところを突く。これがサプライチェーン攻撃の考え方です。

✅ まず覚えるポイント

• 標的を直接ではなく、取引先や部品を経由して狙う攻撃です
• ねらいは「信頼でつながった鎖（チェーン）」の一番弱い輪です
• いまのソフトは外部の部品の寄せ集めなので、入り込む隙が多くなりがちです
• 自社が固くても、つながる相手がゆるいと危険が入ってきます
• 対策の出発点は「何を・誰とつないでいるか」を把握することです

🧭 よくある勘違い

大企業しか狙われないのでは？

そうとは限りません。むしろ守りが弱い小さな会社や個人の開発者が、大企業へ入るための「踏み台」として先に狙われることがあります。自分が最終的な標的でなくても、巻き込まれる場合があります。

有名な部品なら安全なのでは？

多くの人が使う部品ほど、のっとられたときの被害が広がりやすい面もあります。広く使われていること自体は安全の保証にはなりません。誰が管理しているか、更新が止まっていないか、といった点も見ておくと安心です。

🧩 関連して覚えると楽な言葉

• ゼロトラスト: 「社内だから安全」と決めつけず、すべてを疑って確認する考え方です
• 脆弱性: ソフトの弱点のこと。攻撃の入り口にされやすい部分です
• フィッシング: 偽メールや偽サイトでだまし、部品の管理者になりすますなどの侵入口にされやすい手口です
• マルウェア: 害をなす目的で作られた、悪いプログラムの総称です

🏁 ひとことでまとめ

正面ではなく「信頼している相手や部品」のすき間から回り込んでくる攻撃です。自分の守りだけでなく、つながっている先まで意識することが防御になります。