with azbil
豆知识
- NEW
供应链攻击
供应链是指从原材料和零部件的采购到商品的生产、出货、销售、配送，直至产品或服务到达消费者手中的一系列流程。经由供应链相关企业的关联公司或交易方等，非法侵入标的企业（目标企业）并实施网络攻击的行为，被称为供应链攻击。
该行为并非直接对目标企业发起网络攻击，而是先对供应链中的其他企业实施网络攻击，再以这些企业为跳板，非法侵入目标企业的网络环境。即使目标企业采取了高等级安全对策，攻击者仍可经由安全等级较低的其他企业侵入，以此降低其侵入难度。此外，攻击者往往将侵入行为伪装成正常的业务往来，因此具有攻击行为难以被察觉的特征。
供应链攻击可分为三大类型，分别是“商业供应链攻击”“服务供应链攻击”“软件供应链攻击”。
“商业供应链攻击”是利用与目标企业有业务关联的子公司或交易方企业中存在的安全漏洞，由此侵入目标企业的攻击方式。
“服务供应链攻击”是以目标企业委托的网络管理与运营MSP（托管服务提供商）等服务商为跳板侵入目标企业的攻击方式。该攻击方式可能造成大范围受害，如MSP服务的众多企业连锁遭受勒索软件攻击等。
“软件供应链攻击”是指在软件开发或流通环节的程序中植入恶意代码，从而侵入目标企业的攻击方式。主要的攻击对象包括开源代码、系统管理工具及业务所需的应用程序。如果受到攻击的软件被广泛应用，也可能会造成大规模的损失。
要保护组织免遭供应链攻击，企业除采取内部安全对策外，还必须对关联企业及交易方、受托方企业的安全等级进行评估，构建覆盖整个供应链的防御体系。在推进安全防御措施时，可参考日本经济产业省发布的《网络安全管理指南》。
（参考：独立行政法人信息处理推进机构（IPA）安全中心“信息安全十大威胁”) (日语)
- ※本文为2025年6月10日发布的日文版文章的译文。