最終更新日：
サプライチェーン攻撃とは、守りの堅い企業を直接狙わず、取引先や委託先、使っているソフトウェアなどを経由して攻撃する手口です。
サプライチェーン攻撃には、守りの手薄な取引先や子会社に侵入し、そこからつながっているネットワークを通じて本命の企業に入り込む手口と、ソフトウェアの更新のしくみや部品に不正なプログラムを紛れ込ませ、それを使う多くの企業に被害を広げる手口があります。IPA（情報処理推進機構）の「情報セキュリティ10大脅威 2026」では、組織への脅威の2位に「サプライチェーンや委託先を狙った攻撃」が挙げられています。
自社の対策だけでは防ぎきれないため、委託先や取引先のセキュリティの水準を確かめ、契約で事故のときの報告や対策を求めておくことが備えになります。使っているソフトウェアの部品を一覧（SBOM）にしておくと、部品に問題が見つかったときに影響を調べやすくなります。
反対に、自社が取引先にとっての入口にならないよう対策することも求められます。取引先からセキュリティの状況を確かめるチェックシートが届くことが増えているのは、こうした背景があります。
関連する用語
- SBOM（ソフトウェア部品表）ソフトウェアに含まれるライブラリなどの部品と、その版・ライセンス・依存の関係を一覧にした表です。
- セキュリティチェックシート取引を始める前などに、委託先や取引先の情報セキュリティの対策の状況を、決まった質問への回答で確かめるための書類です。
- ランサムウェアデータを暗号化して使えなくし、元に戻すことと引き換えに金銭を要求する不正なプログラムです。
- 業務委託契約自社の業務の一部を、外部の会社や個人に任せる契約の、実務での呼び名です。
- 脆弱性管理使っているシステムの脆弱性の情報を集め、影響を見極めて、直すまでを続けて管理することです。