攻撃手法・初期侵入
サプライチェーン攻撃(ソフトウェア供給網)
サプライチェーン攻撃(ソフトウェア供給網)（別名 ソフトウェアサプライチェーン攻撃、ビルド環境の侵害、更新プログラムの悪用）は、ソフトウェアの開発や配布の過程に攻撃者が入り込み、正規の更新プログラムやライブラリに悪意あるコードを混入させる手口です。
- 初期侵入
- 実行
- 横展開
- 窃取
- 影響
要点
- 段階 攻撃が進む段階のうち「初期侵入」で使われます。MITRE ATT&CK の手口番号は T1195、T1195.002 です。
- 記録 このサイトの記録では、事例 1 件とハッカーグループ 0 組に出てきます。
- 最初の対策 ソフトウェア部品表(SBOM)を整備し、自社が使う部品を把握する。
利用者は署名された正規の製品だと信じて導入するため、一度の混入で多数の組織に同時に被害が広がる。
攻撃の流れ
- 1ソフトウェア開発会社のビルド環境や配布基盤に侵入する
- 2正規の更新プログラムやライブラリのソースコードや配布の仕組みに悪意あるコードを混入させる
- 3署名された正規の更新として顧客に配布させ、検知を避ける
- 4導入された顧客環境の中から、侵入する価値の高い組織を選んで次の攻撃段階に進む
気づくための兆候
- 正規の更新プログラム配布後に、通常と異なる通信や挙動が複数の導入先で同時に発生する
- 署名済みの実行ファイルやライブラリのハッシュ値が、開発元が公開する値と一致しない
- ビルドサーバーや配布サーバーで見慣れないアクセスや変更履歴が見つかる
対策
ソフトウェア部品表(SBOM)を整備し、自社が使う部品を把握する
ベンダーのビルドおよび配布環境のセキュリティ対策を契約や監査で確認する
更新プログラムを一括適用する前に、挙動の変化を検証する段階導入の手順を設ける
開発環境やビルドシステムへのアクセスに多要素認証と最小権限を徹底する
日本での数字
2位
情報セキュリティ10大脅威2026 組織向けの順位（サプライチェーンや委託先を狙った攻撃）（2026年）
出典 IPA「情報セキュリティ10大脅威 2026」（2026年1月29日）
関係するページ
手口、グループ、事例のつながりは、収録データの記録だけから引いています。
関係するグループ
収録データにはまだ出ていない
関係する事例
出典
- Information and Communications Technology Supply Chain Security CISA
- Advanced Persistent Threat Compromise of Government Agencies, Critical Infrastructure, and Private Sector Organizations (AA20-352A) CISA/FBI/ODNI/NSA・2021-01-06
- 情報セキュリティ10大脅威 2026 IPA・2026-01-29
- MITRE ATT&CK Technique — Supply Chain Compromise (T1195) MITRE ATT&CK・2025-10-24
- MITRE ATT&CK Sub-technique — Compromise Software Supply Chain (T1195.002) MITRE ATT&CK
最終確認日 （2026年10月24日）
監修 平原尚樹（株式会社BlueAI 代表取締役CEO、ソフトウェアエンジニア、Google Cloud Architect）