いちばん大事な点を先に書きます。サプライチェーン攻撃は、特定の攻撃手法の名前ではありません。

侵入したあとにすることは、ランサムウェアを仕掛けることかもしれないし、情報を盗むことかもしれません。「どこから入ったか」を説明する言葉であって、「何をされたか」の言葉ではありません。

もう1つ、この言葉には2つの立場があります。ここを分けて考えないと、対策が定まりません。

立場の整理は筆者によるものです。

第1章 おわり — 次は第2章

出典：IPA『情報セキュリティ10大脅威 2026』、OWASP Top 10 2025、Google Cloud / Mandiant「M-Trends 2026」、警察庁『令和7年におけるサイバー空間をめぐる脅威の情勢等について』。

1行目と2行目を並べると、日本の脅威ランキングでも、国際的なWebアプリのリスク分類でも、同時に上位・新設になっていることが分かります。偶然ではありません。

そして理由は、攻撃者にとって単純に効率がいいからです。

攻撃者側の合理性を筆者が整理したものです。公式な分析ではありません。

3行目が、この攻撃が特別に厄介な理由です。ソフトウェアの部品を1つ汚染すれば、それを使っている全組織に一度で届きます。攻撃1回あたりの効率が、直接攻撃とは桁違いになります。

第2章 おわり — 次は第3章

「サプライチェーン攻撃対策」という言葉だけでは、何をすればいいのか決まりません。経路によって、対策の担当部署すら違うからです。6つに分けて整理します。

6分類は筆者による整理で、公的な分類ではありません。実際の事案は複数の経路が組み合わさることがあります。

日本で確認された実例（経路2：グループ会社）

経路2について、日本の公的資料で確認できる事例が2件あります。

2件とも、攻撃者は本社を正面から攻めていません。子会社やグループ内の機器という、相対的に守りの薄い場所から入り、そこから社内ネットワークをたどって本命に到達しています。

第3章 おわり — 次は第4章

混同されやすい言葉を整理します。

一般的な整理です。実際の事案では複数の要素が組み合わさります。

第4章 おわり — 次は第5章

個人が直接サプライチェーン攻撃の標的になることはありません。この語は組織どうしのつながりの話です。

ただし1つだけ、個人が直接関係する部分があります。M-Trends 2026 によれば、ランサムウェア事案の初期侵入経路の1位は「過去の侵害の再利用」で30%でした。これはどこかで漏れた認証情報が、あとで別の侵入に使われているということです。

個人の行動と組織への影響の対応は筆者による整理です。

第5章 おわり — 次は第6章

サプライチェーン対策というと、すぐに「取引先にチェックシートを送る」という話になりがちです。しかしその前に、自社側でやるべきことがあります。

順序と費用感は筆者の評価です。組織の規模・業種によって適切な進め方は異なります。

1番と2番が最優先である理由は単純です。この2つは自社だけで完結し、費用がかからず、しかも効果が確実だからです。取引先に協力を求める作業は交渉が必要で時間がかかりますが、自社にある不要なアカウントを止めるのは今日できます。

そして4番のネットワーク分離が、第3章で見た日本の実例（子会社・グループ機器経由）に直接効きます。

第6章 おわり — 次は第7章

サプライチェーン攻撃で最も多く遭遇するのは、自社が攻撃される場面ではありません。取引先から「弊社が攻撃を受けました」という連絡が来る場面です。そのときの10分間を書きます。

実務上の一般的な整理です。契約内容・データの取り扱い状況によって必要な対応は異なります。個別の判断は専門家にご確認ください。

第7章 おわり — 次は第8章

第8章 おわり — 最後にFAQ