2026年の上半期、サプライチェーン攻撃は「開発エコシステムの汚染」「エンドポイント側の組み込み経路」「拡張機能マーケットプレイス」の 3 方向で多発した。本記事では、CISA アドバイザリ・JPCERT・GitHub セキュリティアドバイザリといった公開情報をベースに、H1 の攻撃事例を 5 分類で横断集約し、中堅企業が取るべき検知・防御体制と SBOM（Software Bill of Materials）実装フレームワークを解説する。個別事例の詳細解説はすでに多数公開しているので、本記事は横串のメタ総括 + 対策フレームワークに絞った。

サプライチェーン攻撃とは｜中堅企業が押さえるべき範囲

サプライチェーン攻撃は狭義には「取引先経由の侵入」を指すが、現代の中堅企業が実際に受けている攻撃の大半はソフトウェアサプライチェーンに属する。本記事では次の 5 分類を扱う。

  1. オープンソースライブラリ汚染（npm / PyPI / RubyGems 等のパッケージマネージャ）
  2. コンテナイメージ汚染（公式/サードパーティのコンテナレジストリ）
  3. 端末組み込み型（プリインストールされたバックドア等）
  4. 拡張機能マーケットプレイス汚染（VS Code / ブラウザ / CMS プラグイン）
  5. 運用ツール・SaaS 連携型（監査ツール・CI/CD 連携経由）

セクションまとめ： 中堅企業にとってのサプライチェーン攻撃は、取引先経由よりも「使っている OSS・コンテナ・拡張機能」経由のほうが発生頻度が高い。

2026年H1 攻撃事例の 5 分類総括

2026年 H1 にパブリック情報として公表された事例を、5 分類で横断総括する。事例の詳細は各ベンダーアドバイザリや GXO の個別記事で確認してほしい。

分類1：オープンソースライブラリ汚染

  • axios 深刻度 CVE 系：広く使われている JavaScript HTTP クライアントで RCE 級の脆弱性が公表され、依存関係経由で多くの中堅企業のアプリケーションに影響
  • Vite の env ファイル漏えい系：開発サーバの設定不備で環境変数が露出するリスク
  • marimo（Python ノートブック）の RCE 系：開発者端末からの侵入経路として悪用可能性
  • PyPI / npm でのタイポスクワッティング：人気パッケージに似た名前で悪性コードを配信する継続的な脅威

対策の要点：

  • `npm audit` / `pip-audit` を CI に組み込み
  • 依存グラフの定期監査
  • パッケージのアップデート間隔を四半期以内に維持

分類2：コンテナイメージ汚染

  • 公式レジストリ経由のイメージでも、タグ付け変更・古いベースイメージ経由で CVE が混入
  • Canonical LXD のコンテナ脱出系 CVE のように、ランタイム側の脆弱性も継続的に発生

対策の要点：

  • Trivy / Grype によるイメージスキャンを CI/CD に標準化
  • ベースイメージは公式またはハードニング済みの限定セットに統制
  • 未知タグの pull を防ぐ digest 固定

分類3：端末組み込み型（プリインストール）

  • Keenadu Android：安価 Android 端末にプリインストールされたバックドアが報じられた事例。BYOD や業務スマホ選定における端末ガバナンスの重要性を再認識させた
  • 対策の要点：
- 業務端末の調達ポリシー（メーカー・機種のホワイトリスト）

- MDM での端末認証強制 - ネットワーク側での通信先監視

分類4：拡張機能マーケットプレイス汚染

  • Glassworm（VS Code 拡張機能）：開発者の端末を狙うサプライチェーン攻撃として報じられた
  • Smart Slider 3（WordPress プラグイン）：CMS プラグイン経由の RAT 配布事例
  • 対策の要点：
- 拡張機能・プラグインのホワイトリスト化

- インストール可能なマーケットプレイスの制限 - 既存拡張の定期棚卸し

分類5：運用ツール・SaaS 連携型

  • trivy / checkmarx 周辺の連携経路のように、セキュリティツール自体が被害の経路になる議論
  • CI/CD の OAuth トークン漏えい経由の間接侵入

対策の要点：

  • SaaS 間 OAuth 権限の最小化
  • シークレットスキャン（GitHub / GitLab）
  • CI/CD ランナーの分離

セクションまとめ： 5 分類のうち中堅企業でリスクが最も高いのは「OSS ライブラリ」「コンテナ」「拡張機能」の 3 分類。端末組み込み型は調達ポリシーの問題が本質。

中堅企業の対策フレームワーク｜4 レイヤー防御

サプライチェーン攻撃は単一ツールでは防げない。中堅企業向けに現実的な 4 レイヤー防御を提案する。

レイヤー1：調達・導入時の統制

  • ソフトウェア導入ポリシー：OSS・SaaS・端末・拡張機能の導入基準を文書化
  • 稟議フローへのセキュリティ項目組み込み：新規導入時に情シスレビューを通す
  • ベンダー評価シート：取引先ベンダーには脆弱性対応体制・SBOM 提供の有無を評価

レイヤー2：継続的な可視化（SBOM 含む）

  • SBOM（Software Bill of Materials）：利用している OSS・ライブラリ・コンテナを SPDX / CycloneDX 形式でリスト化
  • 自動生成ツール：Syft / cdxgen などで CI/CD に組み込み
  • 定期更新：四半期以内に全体の棚卸しを更新

レイヤー3：検知・アラート

  • CVE 自動収集：CISA KEV / JVN / GitHub Advisory の自動取り込み
  • CI/CD での脆弱性スキャン：マージ前に止める仕組み
  • EDR / MDM：端末側での異常通信検知

レイヤー4：インシデント対応

  • プレイブック：OSS 汚染・コンテナ脆弱性・端末バックドア・拡張機能汚染の 4 シナリオで対応手順を文書化
  • ロールバック手順：依存バージョンの緊急ダウングレード手順
  • 情報共有：業界 ISAC・JPCERT への通報ルート

セクションまとめ： 調達・可視化・検知・対応の 4 レイヤー。どれか 1 つでも欠けると、他を強化しても全体の実効性が下がる。

SBOM 導入の現実解｜中堅企業向け 3 ステップ

SBOM は「難しい」と敬遠されがちだが、中堅企業でも次の 3 ステップで実装できる。

ステップ1：Pilot（1〜2ヶ月）

  • 主力プロダクト 1 本を対象に Syft / cdxgen で SBOM を自動生成
  • CycloneDX または SPDX 形式で保存
  • 手元で `grype` などで脆弱性スキャンをかけて、アウトプットの肌感を掴む

ステップ2：CI/CD 組み込み（2〜4ヶ月）

  • ビルド時に SBOM を生成してアーティファクトとして保存
  • PR マージ時の脆弱性スキャンを自動化
  • 結果を Slack / Teams に通知

ステップ3：全社展開と運用定着（4〜12ヶ月）

  • 全プロダクト・社内ツール・インフラに範囲拡大
  • 月次の SBOM レビュー会議（30分）
  • 取引先・監査対応時の資料化

よくある誤解

  • 「SBOM = 全 OSS を禁止する話」ではない：利用するのは前提で、見える化して管理する手段
  • 「SBOM を作れば安全」ではない：生成後に使い続ける運用設計が本質
  • 「商用ツール必須」ではない：OSS ツールで十分 Pilot は回せる

セクションまとめ： Pilot → CI/CD 組み込み → 全社展開の 3 段階。OSS ツールで十分始められ、最初は主力プロダクト 1 本で肌感を掴む。

サプライチェーン対策 × SBOM 導入を中堅企業向けにGXOがご支援します

現状のライブラリ・コンテナ・SaaS・拡張機能の棚卸しから、SBOM Pilot、CI/CD 組み込み、月次運用定着まで、情シス 1〜3 名体制で回せる設計に落とし込みます。初月は GXO が並走し、運用引き継ぎまでサポートします。

サプライチェーン × SBOM 導入を無料診断する

※ 営業電話はしません | オンライン対応可 | 相談だけでもOK

検知・運用の月次サイクル｜中堅企業向け

SBOM を導入したら、それを月次で動かす仕組みが必要。中堅企業の情シス 1〜3 名体制でも回せるサイクルを示す。

月初（第1営業日）

  • 前月の SBOM 差分レビュー（新規依存・バージョン変更）
  • CISA KEV / GitHub Advisory の新規登録で自社該当のチェック

月中（週1回 30分）

  • 脆弱性スキャン結果のトリアージ
  • 優先度付けと対応期限の割り当て

月末（最終週 60分）

  • 月次レビュー会議（情シス + 経営層）
  • 未対応項目の経営報告
  • 翌月の重点レイヤー決定

四半期

  • SBOM 全量の棚卸しと古い依存の計画的アップデート
  • 取引先・監査向けレポート作成

セクションまとめ： 日常運用は「月初差分」「月中トリアージ」「月末レビュー」の 3 点セット。四半期で棚卸しを挟むと陳腐化しない。

FAQ

Q1. SBOM は法的に義務化されていますか？

日本では現時点で一般企業への法的義務化はされていませんが、政府調達・金融・医療 など一部分野で要件化が進みつつあります。取引先監査での要求も増えており、中堅企業でも先行導入の価値は高いです。

Q2. 商用ツールと OSS ツール、どちらを選ぶべきですか？

Pilot は OSS（Syft / Grype / Trivy 等）で十分です。全社展開・監査対応の段階で商用を検討するのが費用対効果の高いパスです。

Q3. サプライチェーン攻撃を受けたら、個人情報保護法の漏えい報告義務は発生しますか？

個人情報が漏えいまたは漏えいのおそれがある場合は発生する可能性があります。要配慮個人情報・1,000 人超・不正アクセス起因等の条件に該当するかを、顧問弁護士と協議して判断してください。

参考情報

  • CISA「Software Bill of Materials (SBOM)」
  • JPCERT/CC「インシデントハンドリング報告書」
  • GitHub Security Advisories
  • NIST「SP 800-161 Rev.1 Cybersecurity Supply Chain Risk Management」
  • IPA「情報セキュリティ10大脅威 2026」

まとめ

  • 2026 年 H1 は OSS / コンテナ / 端末 / 拡張機能 / 運用ツールの 5 分類で事例多発
  • 中堅企業は 4 レイヤー防御（調達・可視化・検知・対応）で整理
  • SBOM は Pilot 1 本 → CI/CD → 全社の 3 段階で現実的に導入可能
  • 月次サイクル（月初差分・月中トリアージ・月末レビュー）で運用定着
  • OSS ツールで Pilot は十分回せる

サプライチェーン対策・SBOM 導入はGXOにご相談ください

4 レイヤー防御の現状診断から、SBOM Pilot、月次運用定着、経営報告テンプレまでワンセットでご提供します。情シス少人数体制の中堅企業でも継続可能な設計が得意です。

サプライチェーン × SBOM 導入を無料診断する

※ 営業電話はしません | オンライン対応可 | 相談だけでもOK

関連記事