サプライチェーン攻撃が急増｜2025年最新の手口と中小企業も狙われる理由

2026年7月4日 · 4分で読めます · 17 views

2025年、企業のサイバーセキュリティを脅かす最大のリスクの一つが「サプライチェーン攻撃」です。IPA（情報処理推進機構）の「情報セキュリティ10大脅威 2025」では、サプライチェーン攻撃が3年連続で上位にランクインしており、もはや避けられない脅威となっています。

サプライチェーン攻撃とは？なぜ急増しているのか

サプライチェーン攻撃とは、セキュリティレベルの高い大企業を直接攻撃するのではなく、取引先・委託先・ソフトウェアのサードパーティなど、つながりのある「弱いリンク」を踏み台にして侵入する手口です。2025年には世界的にサプライチェーン攻撃が急増しており、ランサムウェア攻撃との連動も深刻化しています。国内でも、委託先企業へのサイバー攻撃を起点に複数組織へ被害が連鎖する「多段階サプライチェーン被害」が相次いで報告されています。

2025年に見られた主な攻撃パターン

① ソフトウェアパッケージへの悪意あるコード混入：npm・PyPI・RubyGemsなどのパッケージ管理システムを狙い、悪意あるコードをパッケージに混入させる手口が2025年も多数観測されています。国家的背景を持つとされる攻撃者グループが悪性パッケージを通じて情報窃取マルウェアを拡散した事例も報告されており、オープンソースのサプライチェーンリスクへの注目が高まっています。

② SaaS統合・OAuth連携の悪用：業務で広く利用されるSaaSツールとの連携（OAuth連携など）を突いた攻撃も増加しています。外部サービスとの統合経由でクラウド環境から情報が流出するケースでは、複数の企業が同時に影響を受ける点が特に深刻です。

③ 委託先・再委託先への連鎖攻撃：国内では、ソフトウェア開発委託先がランサムウェア攻撃を受けたことで、業務委託先・再委託先へと三次・四次被害が連鎖した事例が発生しています。カスタマーサポートの外部委託先（BPO）が侵害され、エンドユーザーの個人情報が漏えいした事件も「サプライチェーン攻撃の典型例」として注目を集めています。

中小企業も無関係ではない理由

セキュリティ対策が手薄な中小企業・委託先は、攻撃者にとって「大企業への橋頭堡」として狙われます。日常的な取引メールや業務フローを装った攻撃は検知が難しく、被害が拡大しやすい構造です。2025年の国内インシデント報告でも、業種や規模を問わずあらゆる組織が被害を受けており、「うちは関係ない」という意識こそが最大のリスクと言えます。

企業が今すぐ取るべきセキュリティ対策

サプライチェーン攻撃への対策は自社だけでは完結しません。以下の取り組みを組み合わせた多層的なアプローチが求められます。

委託先・取引先のセキュリティ評価の定期実施：契約時だけでなく、運用中も継続的に委託先のセキュリティ基準を確認・監査する体制を整えましょう。
アクセス権限の最小化（最小権限の原則）：取引先・外部ベンダーに付与するアクセス権限は必要最低限に絞り、不要なアクセスは速やかに削除します。多要素認証（MFA）の徹底も有効です。
ネットワークのセグメンテーション：仮に委託先経由で侵入されても、被害が横展開しないようにネットワーク分離・セグメンテーションを実施します。「何も信頼しない」を前提とするゼロトラストの考え方を取り入れることも効果的です。
ソフトウェアとパッケージの管理：利用しているオープンソースライブラリやSaaS連携の棚卸しを行い、不審な変更や依存関係の脆弱性を定期的にチェックします。
インシデント発生を想定したBCP整備：万一サプライチェーン経由で侵害を受けた場合の対応手順・連絡体制・事業継続計画（BCP）を事前に策定・訓練しておくことが重要です。