サプライチェーン攻撃とは
サプライチェーン攻撃（Supply Chain Attack）とは、直接の標的組織を攻撃するのではなく、その組織が利用するソフトウェアベンダー・ITサービス事業者・部品・原材料の供給業者（サプライチェーン）を経由して標的に侵入するサイバー攻撃です。
代表的なサプライチェーン攻撃事例
SolarWinds事件（2020年）：IT管理ソフトのアップデートにバックドアを仕込み、米国政府機関を含む18,000組織に侵入。Kaseya事件（2021年）：MSP向けツールを経由してランサムウェアを1,500社以上に展開。npm・PyPIパッケージへのマルウェア混入：オープンソースの依存パッケージを汚染する攻撃。
なぜ危険か
直接の取引相手（ベンダー）を信頼してしまうため、悪意あるコードを含んだ正規のアップデートに気づきにくい。一つの攻撃で多数の組織に同時に侵入できる拡散効果も攻撃者にとって魅力的です。
対策方法
①ソフトウェア部品表（SBOM）の管理、②依存コンポーネントの脆弱性監視、③サードパーティベンダーのセキュリティ評価、④ゼロトラストの適用（ベンダー由来のコードも信頼しない）、⑤コード署名の検証が重要対策です。
