サプライチェーン攻撃 とは？

普通の攻撃は標的を直接狙うけど、サプライチェーン攻撃は「その標的が使っているソフトやサービスの供給元」を先に汚染するんだ。堅固な本丸を直接攻めず、搬入業者を装って入り込むイメージだよ。

2020年のSolarWinds事件が有名で、ITシステム管理ソフトのアップデートにマルウェアが混入されて、そのソフトを使っていたアメリカ政府機関・大企業など約1万8千組織に侵入されたんだ。正規のアップデートとして配布されたから気づきにくかったんだよ。

そう！実際にnpmやPyPIなどのパッケージリポジトリに悪意あるパッケージを混入させる攻撃が多発しているよ。有名パッケージに似た名前のパッケージを公開する「タイポスクワッティング」や、正規パッケージのメンテナーのアカウントを乗っ取る手口などがあるんだ。

SBOM（Software Bill of Materials：ソフトウェア部品表）を管理して「自分のソフトウェアにどんな依存ライブラリが含まれているか」を把握することが第一歩だよ。依存パッケージのハッシュ値検証・署名の確認・CI/CDパイプラインの保護・最小権限の適用などを組み合わせるんだ。

製造・流通過程でチップや機器に改ざんが加えられる攻撃で、ソフトウェアよりさらに検知が難しい。2018年に報告された「スーパーマイクロ基板にスパイチップが埋め込まれた疑惑」は真偽不明ながら世界に衝撃を与えた。国家レベルのハードウェアサプライチェーン攻撃は現在も安全保障の主要な懸念事項で、「どこ製のチップを使うか」が地政学的問題にまで発展しているんだよ。