サプライチェーン攻撃とは
（出典ルール・NG対策ポイント）
サプライチェーン攻撃とは、ひとことで言うと 「標的企業“そのもの”ではなく、標的が信頼して使っている取引先・部品・開発/配布経路を踏み台にして侵入する攻撃」 です。
自動車のようにTier構造が深い業界では、「自社が被害者」になるだけでなく、自社が“侵入口（踏み台）”として疑われることもあります。だからOEM監査でも重要テーマになります。
代表的なパターン（自動車サプライヤー目線）
サプライチェーン攻撃は“入口”が複数あります。よくあるのは次の3系統です。
OEM側が知りたいのは「攻撃の名前」より、
どこが入口で、どの版が影響し、どう止血し、いつ直るかです。
PSIRT/OEM監査で問われるポイント（最低限）
サプライチェーン攻撃は“起きてから”より“起きる前”の備えが監査で見られます。
- 構成把握： どの製品版数に何が入っているか（SBOM/部品表の整備）
- 影響判定： 影響あり/なし/調査中を期限内（SLA）に返せるか
- 証跡： 判断根拠（通知原本、対象版数、対策、提出履歴）が残るか
- 連絡経路： OEM/上流への連絡窓口・一次回答テンプレがあるか
出典ルール（報告・社内共有・記事執筆での「一次情報」）
サプライチェーン攻撃の情報は、不安を煽る目的の誤情報も混ざりやすいので、出典ルールを固定すると社内外での炎上を防げます。
- 一次情報を優先： ベンダー公式アドバイザリ／公的DB（CVE等）／OEM通知の原文をソースとする。
- 「いつ時点の情報か」を書く： 事態は動くため、更新で結論が変わる前提を明記する。
- 断定は根拠セット： 対象製品・対象版数・到達条件の根拠を必ず併記する。
- 伝聞の拡散を避ける： SNSやまとめ情報だけで結論を書かない。
NG対策ポイント（やりがちな事故）
社内での共有や、用語辞典のようなドキュメントでも、次のNG表現は避けると安全です。
- 社名/製品名の断定
（一次情報が無いのに「〜社が侵害された」等と書く） - 攻撃手口の“再現レベル”の詳細
（悪用助長・社内規程違反になりやすい） - 影響範囲の言い切り
（根拠なしに「全て安全」「完全に影響なし」など） - 機密の混入
（取引先名、設計情報、SBOM原本の貼り付けなど）
FAQ：サプライチェーン攻撃について
取引先・部品・開発/配布経路など“信頼の連鎖”を悪用して、標的に侵入する攻撃です。標的はOEMだけでなく、Tier2〜Tier4のサプライヤーも踏み台として含まれます。
深いサプライチェーンでは「誰が入口になっても」全体のサイバーリスクに直結するためです。そのため、構成把握（SBOM）、影響判定（SLA）、証跡の残し方が評価されます。
上流の脆弱性・改ざんが判明した際に、自社製品における対象版数の切り分け、暫定対策/恒久対策の策定、OEMへの一次回答と更新連絡を回すのがPSIRTの実務です。
一次情報のない断定、攻撃手口の詳細な再現、機密情報の混入が典型NGです。出典（一次情報）と時点（いつの情報か）を必ず残すことが鉄則です。
サプライチェーン攻撃に耐える運用、できていますか？
はじめに！攻撃時の連絡網やPSIRT体制（窓口・SLA・証跡）を、いまの兼務体制でも回る形に整備したい方はご相談ください。