サプライチェーン攻撃2026年最新動向｜急拡大する手口と企業の対策
サプライチェーン攻撃とは？2026年の深刻化する脅威
サプライチェーン攻撃とは、企業が利用するソフトウェアライブラリ・ベンダー・外部サービスなどの「信頼された供給経路」を悪用して侵入するサイバー攻撃です。自社のセキュリティ対策が万全でも、取引先や利用コンポーネントに脆弱性があれば被害が広範に拡大する点が最大の特徴です。
Verizon「2025年データ侵害調査報告書（DBIR）」によると、侵害における第三者関与の割合がわずか1年で15%から30%へと倍増し、過去最大の年間上昇幅を記録しました。過去2年間にサプライチェーン攻撃を経験した組織は63%に上り、特定業種だけの問題ではなくなっています。
2026年に急増する3つの攻撃パターン
① オープンソースパッケージの汚染
Sonatype「2026年ソフトウェアサプライチェーン現状報告書」によれば、2025年に新たに発見された悪意あるオープンソースパッケージは45万4,600件超、前年比75%増を記録。npm・PyPI・Maven Central・NuGetなど主要レジストリで累計123万件以上の悪性パッケージが確認されています。商用コードベースの97%がオープンソースコンポーネントを含んでおり、攻撃対象面は極めて広大です。
2026年3月には、週間1億回以上ダウンロードされるJavaScriptのHTTPライブラリ「axios」が標的となりました。正規メンテナーのnpmアカウントが乗っ取られ、マルウェアを埋め込んだ不正バージョンが公式リポジトリから配信され、大規模な被害リスクが生じました。
また2025年9月には自己増殖型ワーム「Shai-Hulud」がnpmエコシステムを席巻しました。感染パッケージをインストールすると開発者のnpmトークンが窃取され、その開発者が管理する他のパッケージへも悪意あるコードが自動注入・公開される仕組みで、800以上のパッケージへ指数関数的に拡散しました。
② SaaS・OAuthトークンを経由した連鎖侵害
Group-IB「High-Tech Crime Trends Report 2026」は、攻撃者が技術的脆弱性だけでなく信頼関係・アイデンティティ・継承されたアクセス権限を悪用するケースが急増していると指摘しています。Drift・Salesloft・SalesforceのOAuthトークン侵害では700以上の組織に被害が連鎖し、フィンテック企業Marquisへのランサムウェア攻撃では70の金融機関の機密データが流出しました。
③ AIが生み出す新攻撃クラス「スロップスクワッティング」
ENISAの脅威レポートが警告する「スロップスクワッティング（Slopsquatting）」は、AIコーディングアシスタントがハルシネーション（幻覚）によって生成する架空のパッケージ名を攻撃者があらかじめ登録し、開発者が無意識にインストールするのを待つ新手口です。AI支援開発の普及とともに2026年以降もスケールが拡大すると予測されています。
国内での被害事例と影響の広がり
日本国内でも食品・物流業界の基幹システムを狙った攻撃が相次いでいます。ニチレイでは2026年7月にサーバーへの不正アクセスが発生し、冷蔵倉庫の入出庫業務・冷凍食品の出荷業務が停止。ケンタッキーフライドチキン・イオン・くら寿司など多数の取引先にまで影響が波及しました。一企業の侵害がサプライチェーン全体を機能不全に陥らせる構造的リスクが改めて浮き彫りとなっています。
経産省「SCS評価制度」2026年度末スタートへ
こうした脅威の拡大を受け、経済産業省と内閣官房国家サイバー統括室（NCO）は「サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）」の構築方針を2026年3月に正式決定し、同年度末の制度開始を目指して準備を進めています。
この制度は企業のセキュリティ対策成熟度を5段階（☆1〜☆5）で可視化し、取引先選定の客観的指標とするものです。まず☆3・☆4レベルから運用が始まる予定で、複数取引先からのセキュリティチェックシート対応コストの削減も期待されます。ただし情報セキュリティ担当者700名への調査では、約7割が制度を十分に把握できていない実態も明らかになっており、早急な周知と準備が求められます。
企業が今すぐ取り組むべきサプライチェーン攻撃対策
- SBOM（ソフトウェア部品表）の整備：利用しているオープンソースコンポーネントを可視化し、悪性パッケージの混入を迅速に検知する基盤を構築する。CISAは2025年にSBOMの最低要件を更新しており、調達要件として義務化の流れが世界的に加速しています。
- フィッシング耐性のある認証への移行：メンテナーアカウント乗っ取りや正規トークン悪用を防ぐため、FIDO2などパスワードや単純なMFAに依存しない認証を採用する。
- 委託先・再委託先のセキュリティ評価：SCS評価制度や独自チェックリストを活用し、サプライヤーのセキュリティ対策状況を定期的に確認・記録する。
- 依存ライブラリの継続的監視：CI/CDパイプラインにSCA（ソフトウェアコンポジション解析）ツールを組み込み、新たな悪性パッケージを自動検出する仕組みを整える。
- インシデント対応・BCP整備：基幹システム停止を想定した代替オペレーション（手作業での受発注切り替え等）を事前に策定し、レジリエンスを高める。
まとめ
2026年のサプライチェーン攻撃は、オープンソース汚染・SaaS連鎖侵害・AIを悪用した新手口と急速に多様化・高度化しています。IBM調査によれば、サプライチェーン起因の侵害にかかる平均コストは491万ドルに上ります。国内でも経産省SCS評価制度への対応が急務となる中、自社だけでなくサプライチェーン全体を見渡したセキュリティ戦略への転換が求められています。
