ソフトウェアサプライチェーンが狙われる代表的な攻撃手法には、OSSの既知脆弱性の悪用、ビルドシステムやCI/CDパイプラインの侵害、ソフトウェア更新プログラムの改ざん、認証情報の漏えい・内部不正の4つがあります。広く利用されるソフトウェア部品や、開発・ビルド・配布環境を狙うことで、一度に多くの標的へ被害を広げようとするのが特徴です。
- OSSの既知脆弱性の悪用
公開されているOSSの脆弱性情報をもとに、更新プログラムが適用されないまま使われ続けている古いライブラリなどがシステムへの侵入口として狙われます。 - ビルドシステムやCI/CDパイプラインの侵害
自動化された開発環境を侵害し、正規のビルドや配布工程で生成されるソフトウェアへ、気づかれないよう悪意のあるプログラムを混入させます。 - ソフトウェア更新プログラムの改ざん
公式からの安全な更新経路を悪用し、正規のアップデートを装って利用者の環境へ一斉にマルウェアをばらまきます。 - 認証情報の漏えい・内部不正
漏えいしたパスワードやアクセストークンを悪用した開発環境への侵入や、正規のアクセス権限を持つ内部関係者による意図的な不正行為が挙げられます。
ソフトウェアサプライチェーンへの攻撃は発覚が遅れやすく、短期間で被害が広範囲に及びやすいため、あらかじめ手口を理解して備えることが重要です。
詳しい攻撃手法については「ソフトウェアサプライチェーンが狙われる代表的な攻撃手法」をご覧ください。
