サプライチェーン攻撃とは?委託先・取引先・ソフトウェア部品を経由する攻撃と対策

一言でいうと

サプライチェーン攻撃とは、攻撃対象の企業そのものではなく、その企業と取引のある委託先や、利用しているサービス、ソフトウェア部品の弱点を突いて、侵入する攻撃のことです。

たとえ話:取引業者の鍵を盗んで、本社に入る

厳重に警備された本社ビルがあるとします。正面から入るのは、難しい。そこで、泥棒は、そのビルに出入りしている、清掃会社や配送業者の鍵を盗み、業者になりすまして、ビルの中に入ります。

本社の守りは、固くても、出入りする業者の管理が甘ければ、そこから入られてしまいます。これが、サプライチェーン攻撃の考え方です。

どこが狙われるのか

2026年10月の事例にみる特徴

2026年10月に公表された、複数の流出事案の中には、サプライチェーン経由と見られるものが含まれています。

• 複数の企業が利用する、**問い合わせ対応のシステム(FAQシステム)**への不正アクセスで、証券会社などの顧客情報が漏えいした可能性があると、公表された
• 委託先の従業員のパソコンの、マルウェア感染が原因と報じられた事案がある

共通するのは、1つの委託先やサービスが狙われると、それを使う複数の企業に、同時に影響が出ることです。背景は、なぜ今、個人情報の流出が相次いでいるのかで整理しています。

なぜ、防ぎにくいのか

「社内だから安全」「取引先だから安全」という思い込みが、弱点になります(ゼロトラストとは)。

企業側の対策

① 委託先に渡す情報と権限を、最小にする

委託先に、必要以上の情報や権限を渡さないのが、基本です(最小権限の原則とは)。

② 委託先の管理状況を、確認する

契約の際に、セキュリティ対策の状況を確認し、定期的に見直します。事故が起きた時の連絡の手順と期限も、取り決めておきます。

③ 利用する部品とサービスを、把握する

自社のシステムが、どんなソフトウェア部品や、外部サービスに依存しているかを、一覧にして把握します(SBOMとは、技術的負債とは)。

④ アクセスを、常に確認する

取引先や委託先からのアクセスでも、多要素認証や、アクセス範囲の制限を行います。

⑤ 事故に備える

委託先で事故が起きた場合に、自社の顧客への影響を、すぐに確認し、連絡できる体制を、あらかじめ整えます。

組織の点検項目は、個人情報を漏らさないための点検リストにまとめています。

個人の側から見ると

利用者の立場では、自分が使う企業が、どこに何を預けているかは、外から分かりません。委託先の管理状況も、見えません。

だからこそ、個人は、**「どこかのサービスや、その委託先から、情報が漏れるかもしれない」**という前提で、備えておくことが現実的です。

• パスワードを、使い回さない
• 多要素認証を、設定する
• 預ける情報を、必要最小限にする
• 使っていないサービスを、退会する

詳しくは、個人情報流出から自分を守る7つの予防策をご覧ください。

まとめ

• サプライチェーン攻撃は、委託先・共通サービス・ソフトウェア部品など、つながりの弱い部分から入る攻撃
• 自社の守りを固めても、外部とのつながりから、漏れることがある
• 企業の対策は、渡す情報と権限の最小化・委託先の管理・部品の把握・事故への備え
• 個人は、漏れる前提で、被害を小さくする備えをする

関連記事:なぜ今、個人情報の流出が相次いでいるのか(2026年10月)、個人情報の流出はなぜ起きるのか

関連記事:個人情報流出 2026年10月の主な事案|パスワード変更は必要?早見表

あわせて読みたい:ユミルリンク不正アクセスで5162万件漏えい|自分は対象?やること