サプライチェーン攻撃とは、ターゲットとする組織を直接攻撃するのではなく、その組織が利用するソフトウェアやサービスの供給経路（サプライチェーン）を侵害する手法です。SolarWinds事件やLog4Shell脆弱性など、世界的に甚大な影響を及ぼした事例を通じて、サプライチェーン攻撃の仕組みと対策を解説します。
サプライチェーン攻撃の仕組み
従来のサイバー攻撃がターゲットのシステムに直接侵入を試みるのに対し、サプライチェーン攻撃は「信頼されたソフトウェアやサービス」を経由して侵入します。正規のアップデートやライブラリに悪意あるコードを混入させるため、従来のセキュリティ対策では検知が困難です。
主な攻撃ベクトル
- ソフトウェアアップデートの改ざん：ビルドシステムに侵入し、正規のアップデートにマルウェアを混入
- オープンソースライブラリの汚染：npm、PyPIなどのパッケージレジストリに悪意あるパッケージを公開
- 開発ツールの侵害：IDE、CI/CDパイプライン、コードリポジトリへの攻撃
- マネージドサービスの悪用：MSP（マネージドサービスプロバイダー）経由で複数の顧客を同時攻撃
重大事例：SolarWinds事件
2020年12月に発覚したSolarWinds事件は、サプライチェーン攻撃の深刻さを世界に知らしめました。
攻撃の流れ
- 攻撃者（ロシアの国家支援グループとされる）がSolarWinds社のビルドシステムに侵入
- IT監視ソフト「Orion」のアップデートにバックドア（SUNBURST）を埋め込み
- 正規のアップデートとしてデジタル署名が付与され、約18,000の組織が自動インストール
- 米国政府機関（財務省、国土安全保障省など）、Microsoft、FireEyeなど主要機関が被害
- 攻撃者は数ヶ月間にわたり内部ネットワークを自由に探索
なぜ検知が困難だったか
SUNBURSTマルウェアは正規のSolarWindsアップデートに含まれ、正規のデジタル署名が付与されていました。さらに、C2通信はDNSリクエストに偽装され、2週間の待機期間を経てからアクティブ化するなど、高度な検出回避技術が使われていました。
重大事例：Log4Shell脆弱性
2021年12月に発見されたApache Log4jの脆弱性（CVE-2021-44228、通称Log4Shell）は、オープンソースのサプライチェーンリスクを象徴する事例です。
Log4Shellの影響
Log4jはJavaのロギングライブラリとして、世界中の数十億のシステムで使用されています。Minecraft、Steam、iCloud、Twitterなど、身近なサービスの多くが影響を受けました。この脆弱性により、攻撃者はリモートから任意のコードを実行できる状態でした。
| 事例 | 年 | 攻撃手法 | 影響範囲 |
|---|---|---|---|
| SolarWinds | 2020 | ビルドシステム侵害 | 18,000組織、米政府機関 |
| Codecov | 2021 | CI/CDスクリプト改ざん | 数千のリポジトリ |
| Log4Shell | 2021 | OSSライブラリの脆弱性 | 数十億のデバイス |
| Kaseya VSA | 2021 | MSPソフトウェア経由 | 1,500以上の企業 |
| 3CX | 2023 | デスクトップアプリ改ざん | 60万以上の組織 |
| XZ Utils | 2024 | メンテナーの社会工学的攻撃 | Linux全ディストリビューション（未遂） |
サプライチェーン攻撃への対策
開発者・組織向けの対策
- SBOM（ソフトウェア部品表）の管理：使用しているOSSライブラリとバージョンを把握
- 依存関係の監査：Dependabot、Snykなどのツールで脆弱性を自動検出
- ビルドパイプラインの保護：CI/CD環境のアクセス制御と監査ログの強化
- 署名検証：ソフトウェアのデジタル署名とハッシュ値を検証
一般ユーザー向けの対策
- 自動更新の有効化：パッチが迅速に適用されるよう自動更新を維持
- 公式チャネルからのダウンロード：ソフトウェアは必ず公式サイトから入手
- 不要なソフトウェアの削除：使っていないソフトウェアは攻撃対象を増やすだけ
- セキュリティ情報の監視：使用ソフトウェアの脆弱性情報をウォッチ
XZ Utils事件（2024年）では、攻撃者が2年以上かけてOSSプロジェクトのメンテナーとして信頼を獲得し、バックドアを仕込むという長期的な社会工学的攻撃が行われました。OSSの信頼性は「コードが公開されているから安全」ではなく、レビュー体制やメンテナーの管理に依存しています。
参考文献・出典
- CISA - SolarWinds Orion Code Compromise Advisory（cisa.gov）
- Apache Foundation - Log4j Security Vulnerabilities（logging.apache.org）
- Sonatype - State of the Software Supply Chain Report 2025
- OpenSSF - Open Source Security Foundation（openssf.org）
- NIST - Cybersecurity Supply Chain Risk Management（SP 800-161 Rev.1）
