正解：エ
各選択肢の解説
ア修正プログラムが未提供の脆弱性を突くゼロデイ攻撃で、更新を早めれば防げた。
誤り。ゼロデイ攻撃は、修正プログラムが出る前の脆弱性を突く攻撃です。 今回はむしろ更新の適用が感染の入口になっており、更新を早めても 防げません。「更新すれば安全」という前提そのものが崩されています。
イ標的がよく閲覧するWebサイトを改ざんし、訪れた人を待ち伏せる水飲み場型攻撃である。
誤り。水飲み場型攻撃は、標的が訪れるWebサイトを改ざんして閲覧者を狙う手口です。 今回侵害されたのは閲覧先のサイトではなく、ソフトウェアを作って配る 開発元の工程そのものです。
ウ正規の更新を装う偽サイトへ誘導するフィッシングで、入手元の確認で防げた。
誤り。フィッシングは偽物に誘導する手口で、入手元を確かめれば見破れます。 今回は公式サイトから正規の署名付きで届いた本物の更新プログラムに 混入しており、入手元の確認では防げません。
エ開発・配布の工程を侵害し、正規の経路で届けるソフトウェアサプライチェーン攻撃である。
正解。利用者が信頼している開発元の工程に入り込み、正規の更新として マルウェアを配らせる攻撃です。利用者側の入手元や署名の確認を すり抜けて、多くの利用者へ一度に広がります。
理解を深めるために
工場で毒を混ぜられると、正規の店で買っても防げない
偽物を売る店を避け、正規の販売店でメーカーの封印つきの商品だけを買っていても、 工場の製造ラインで異物を混ぜられたら防げません。封印はメーカーが付けた本物だからです。 ソフトウェアサプライチェーン攻撃は、この「工場」にあたる開発・配布の工程を狙います。
なぜ利用者側の確認をすり抜けるのか
ソフトウェアは、開発元のソースコード、取り込んでいる外部の部品（ライブラリ）、 ビルド環境、配布の仕組みを経て利用者に届きます。この連鎖のどこかが侵害されると、 次のようになります。
- 悪意あるコードが、正規の製品・更新プログラムの一部として作られる
- 開発元の正規の手順で署名され、公式の経路で配布される
- 利用者が入手元や署名を確認しても、本物として通ってしまう
1つの開発元を侵害するだけで、その製品を使う多くの組織に一度に広がる点が、 攻撃者にとっての利点です。利用者側では、入手元の確認だけに頼らず、 自社で使っているソフトウェアや部品を把握しておき、侵害が公表されたときに 影響の有無をすぐ確かめられるようにしておくことが大切です。
混同しやすいものとの違い
| 攻撃 | 侵害・悪用されるもの |
|---|---|
| ソフトウェアサプライチェーン攻撃 | 開発・配布の工程。正規の経路で届く |
| ゼロデイ攻撃 | 修正プログラムがまだ無い脆弱性 |
| 水飲み場型攻撃 | 標的がよく訪れるWebサイト |
| フィッシング | 偽サイト・偽メールに誘導される利用者 |
試験では、「正規の入手元・正規の署名なのに感染した」という状況が出たら、 利用者の手前の工程が侵害されたと読み取ります。