「分かりそう」で「分からない」でも「分かった」気になれるIT用語辞典

順番に見ていきましょう。
まずは予備知識として「サプライチェーン」について説明します。
「そんなの説明されなくても知ってるよ！」な人は適当に読み飛ばしてください。

サプライチェーンは「製品を作る最初の段階から作った製品が消費者に届くまでの一連の流れ」です。
物によって多少の違いはあるでしょうが、原材料を調達してきて、作って、売って、お届けするまでの一連の流れを指します。



例えば、そうですね。

ピヨ太君は、ピヨピヨ苺ショートケーキを作って売っています。



まず、ピヨ太君はピヨピヨ苺ショートケーキの原材料を調達します。
ピヨ太ママから苺とショートケーキを買いました。



次は加工です。
ピヨ太君は苺をショートケーキの上に乗せました。
これでピヨピヨ苺ショートケーキの完成です。



次は販売です。
ピヨ太君はピヨピヨ苺ショートケーキをピヨ子さんに売りました。



これで消費者であるピヨ子さんの元にピヨピヨ苺ショートケーキが届きました。



この話における、ピヨ太ママから始まってピヨ子さんにたどり着くまでの一連の流れがサプライチェーンです。



実際には、もっと複雑ですけどね。
例えば、ピヨ太ママがピヨ太君に渡した苺の乗っていないショートケーキだって、元をたどれば卵とか砂糖とかです。
どこかの誰かがショートケーキの材料をピヨ太ママに渡したはずです。
卵とか砂糖とかの段階から考え始めれば、サプライチェーンは、もっと長くなります。
他にもケーキを入れる箱の調達やあれやこれやがあるはずです。



とはいえ、難しく考える必要は ありません。

最初は「無」です。
何もありません。

最後は「製品が消費者の元に届く」です。
流通が終わって、後は使うだけです。

最初の「無」から最後の「製品が消費者の元に届く」に至るまでのあれやこれやがサプライチェーンです。

以上を踏まえて

サプライチェーンを狙った攻撃

が「サプライチェーン攻撃」です。



……と言葉で言うのは簡単なのですけどね。
細かく見ていくと、なんかいろいろあって、ややこしかったりします。

例えば、そうですね。

ピヨ太君はピヨ太ママから苺を仕入れて、苺ショートを作って、それをピヨ子さんに売っていました。
ピヨ太ママから始まってピヨ子さんにたどり着くまでの一連の流れがサプライチェーンです。



ある日のことです。
アクマ君がピヨ太君にイタズラしようと思いました。



ですが、ピヨ太君はアクマ君のイタズラを警戒しています。
カッコ付けた言い方をすると、ピヨ太君はセキュリティ意識が高いのです。



そこでアクマ君はピヨ太ママに目を付けました。
ピヨ太ママはアクマ君のイタズラを警戒していないからです。
ピヨ太ママはセキュリティ意識が低かったのでした。



アクマ君はピヨ太ママのところにある苺を甘くない苺にコッソリ変えました。



ピヨ太ママのところにある苺はピヨ太君に届けられます。
結果として、ピヨ太君の元に甘くない苺が届きます。



この話において、アクマ君はセキュリティ意識の高いピヨ太君に対して、セキュリティ意識の低いピヨ太ママ経由でイタズラしました。
このような

サプライチェーンの弱いところから崩していく攻撃

がサプライチェーン攻撃です。
大企業に悪さをしたいんだけどセキュリティ意識が高くて手強いから、まずはその会社の下請けをしているセキュリティ意識の低い中小企業に侵入して、そこ経由で狙っている大企業に悪さをする、みたいなやつです。



……というのはイメージしやすいと思うのですけどね。
「ソフトウェアサプライチェーン攻撃」とかいうやつの説明が混ざってくると混乱すると思います。

ソフトウェアサプライチェーン攻撃はソフトウェアのサプライチェーンを狙う攻撃です。
ソフトウェアを作って配る工程のどこかにおいて、悪いことをするプログラムを紛れ込ませることで、ソフトウェアに悪いプログラムが組み込まれた状態にします。



「サプライチェーン攻撃」という用語自体は

サプライチェーンを狙った攻撃

です。
ただし、対象が何のサプライチェーンかによって具体的な内容は変わってきます。
それに伴い、人によって説明の内容が微妙に違ったりするはずです。

個人的には

サプライチェーンを狙ってやる悪いことなのね

程度にふんわり捉えておいて、あとは文脈から判断するのが無難だと思います。