TECHNIQUE / Supply Chain Attack
サプライチェーン攻撃
委託先・取引先・ソフトウェア提供元・基盤事業者など、標的が信頼する第三者を経由して侵入・被害を及ぼす攻撃。
攻撃の仕組み
防御の弱い委託先を先に侵害し、その委託先が持つ正規のアクセス権や配布経路を利用して本来の標的に到達する。基盤事業者が侵害されると利用者全体に影響が波及する。
攻撃が成立する条件
- 委託先に強いアクセス権が付与されている
- 委託先のセキュリティ状況が把握されていない
発生原因
- 委託先管理の不備
- 第三者アクセスの監視不足
対策
- 委託先のアクセス権を最小化し利用時のみ付与する
- 委託契約にセキュリティ要件と報告義務を定める
- 第三者からのアクセスを記録・監視する
MITRE ATT&CK
関連インシデント
CRITICAL / 緊急公表 2026-10-02発生 2026-10-02
大阪公立大学 情報基盤システムのランサムウェア被害と委託先経由の不正アクセス
大阪公立大学・対応状況: 調査中
大阪公立大学の情報基盤システムが停止し、全授業を約1週間休講。保守委託先NECの再委託先が持つ正規アカウントで不正アクセスされたことが原因と報告された。