サプライチェーン攻撃
標的組織を直接攻撃するのではなく、取引先・委託先や、利用しているソフトウェアの依存関係・配布経路といった「供給網(サプライチェーン)」上の弱い箇所を経由して侵入・被害を及ぼす攻撃の総称。侵入口を直接守っていても、供給網の別の場所が破られると影響が及ぶ点が特徴。
#security #supply-chain-attack #moc
大別すると2種類ある
- 取引先・委託先経由型: 標的企業のセキュリティが堅くても、取引先や委託先企業のシステムが侵害され、そこを踏み台に、あるいは業務停止という形で影響が波及する。小島プレス工業の事案が代表例。
- ソフトウェア・OSS依存関係型: パッケージレジストリ(npm/crates.io/PyPI等)で配布されるライブラリそのものが乗っ取られ、それに依存する無数のプロジェクトへ悪意あるコードが伝播する。arrayref Rustクレートの事案が代表例。
事例
- 小島プレス工業ランサムウェア事案（2022年） — トヨタ自動車の取引先がランサムウェア被害を受け、トヨタ国内全工場が稼働停止
- 大阪急性期・総合医療センターの事案（2022年） — 給食委託事業者経由での侵入
- arrayref Rustクレート ビルド時マルウェア混入事件（2026年） — crates.io上の人気クレートにtyposquat依存を追加し、ビルドスクリプト経由でマルウェアを配布
標準・対策の枠組み
- OWASP Top 10:2025は「A03:2025 Software Supply Chain Failures」として、依存関係・ビルドシステム・配布インフラ全体のリスクを独立カテゴリに格上げしている。
- OpenSSFの「Alpha-Omega」プロジェクトはOSSのサプライチェーンセキュリティ改善を目的とした大規模な取り組み。
- vlt (vōlt)のように、パッケージインストール時にマルウェア・不正パッケージをスキャン・ブロックする機能を持つツールも登場している。