サイバー攻撃手法・脆弱性分析重要度:★★★出題: AM2・PM1

サプライチェーン攻撃 (委託先踏み台・OSS汚染)

さぷらいちぇーんこうげき / Supply Chain Attack (Third-Party & Software Supply Chain)

強固な標的企業を直接狙うのではなく、セキュリティ対策が相対的に手薄な取引先・海外拠点・委託先や、開発ツール・OSSパッケージを侵害して踏み台にする攻撃。

3行速習ポイント

組織的サプライチェーン攻撃：保守委託先やグループ会社のVPNを侵害し、発注元企業と接続された専用線・信頼された通信経路を経由して本丸へ侵入
ソフトウェアサプライチェーン攻撃：正規のソフトウェア更新プログラムへのマルウェア混入や、タイポスクワッティング・依存関係混乱（Dependency Confusion）による不正OSSパッケージの導入
対策は委託先のセキュリティ監査・契約要件化、拠点間VPNの最小権限化（ゼロトラスト化）、SBOM管理とビルド環境・コード署名の保護

図サプライチェーン攻撃の2大類型（委託先・拠点経由 vs ソフトウェア・OSS経由）

組織的サプライチェーン攻撃（委託先・取引先踏み台）取引先・保守回線

保守委託先や海外拠点のVPNを侵害し信頼経路から本丸へ侵入

【対策】委託先セキュリティ監査と契約要件化、常時接続VPNの廃止（作業申請時のみ開通・JIT）、踏み台サーバでのMFA強制と操作録画

ソフトウェアサプライチェーン攻撃（OSS・更新汚染）OSS・CI/CD環境

正規更新プログラム改ざんや依存関係混乱（Dependency Confusion）

【対策】ビルド時のSBOM自動生成と継続的脆弱性突合、外部パッケージのバージョン・ハッシュ固定（ピン留め）、コード署名検証の徹底

💡 自社単体の境界防御だけでなく、委託先のリモート保守回線統制と開発パイプライン（SBOM・パッケージピン留め）の双方の保護が不可欠

大企業本体の境界防御が強化された結果、攻撃者はサプライチェーンの「最も弱い輪（Weakest Link）」を狙うようシフトしています。委託先からのリモート保守回線や、開発者がnpm/PyPI等から取得する外部ライブラリが主要な侵入経路となります。

Dependency Confusion（依存関係混乱攻撃）：社内プライベートリポジトリのパッケージと同名でより高いバージョン番号のパッケージをパブリックリポジトリに登録し、ビルド時に悪意ある公開パッケージを優先取得させる手口
委託先リモート保守の統制：常時接続の許可を廃止し、作業申請時のみ開通・踏み台サーバ経由での操作録画・多要素認証を強制
コード署名とハッシュ検証：外部ライブラリや更新プログラムの取得時は、ピン留め（バージョン・ハッシュ固定）と署名検証を徹底