ソフトウェアサプライチェーンへの攻撃が急増、AI利用や外部コードの拡大が要因に――Omdiaの2026年レポートで判明

要点

• 過去12ヶ月間にソフトウェアサプライチェーンのセキュリティ事件を経験した組織は77％に上る。

• AI技術の導入が、ソフトウェアサプライチェーンにおけるリスク懸念のトップ（40％）となった。

• サードパーティやOSSコードの利用増加が進み、1年後には過半数の組織で開発コードの過半数を占める見込み。

• 脆弱性対策としてSBOMの有効性が認められる一方、全アプリで生成を義務化している組織は42％に留まる。

• 62％の組織が、ソフトウェアサプライチェーンのセキュリティ向上へ大幅な投資を計画している。

• 市場調査会社Omdia（オムディア）が2026年4月に発表したレポートにより、多くの組織がソフトウェアサプライチェーンの脅威に直面する実態が判明した。Docker（ドッカー）社がスポンサーを務め2026年2月に実施された本調査は、現代の開発現場が抱える深刻なセキュリティリスクを浮き彫りにしている。

サードパーティコードとAIがもたらす新たなリスク

レポートによると、調査対象の77％が過去12ヶ月間にソフトウェアサプライチェーン（開発から提供に至る一連の部品やプロセスのつながり）のセキュリティ事件を経験したという。最も一般的な攻撃（38％）は、サードパーティ（第三者）製ソフトウェアの既知の脆弱性を悪用したものだった。

開発の効率化に向けて、外部ライブラリやオープンソースソフトウェア（OSS：無償公開され自由に改変・再配布できるソフトウェア）、AI生成コードの利用が進む。しかし、他者が書いたコードの増加は、攻撃対象領域（アタックサーフェス：システム内でハッカーに攻撃され得る脆弱な部分）を広げるリスクも伴う。

現在、全コードの半分以上をサードパーティから取得する組織は38％（12ヶ月後には58％へ増加予測）、コードの過半数がOSSという組織は31％（同51％に増加予測）であり、外部依存は高まる一方だ。

浮かび上がる多様な脆弱性課題とAIへの警戒

こうした中、リスク懸念トップにはAI技術（40％）が挙げられ、外部コード（39％）や依存関係（38％）を上回った。

新たな脅威も出現しており、例えばハッカー集団TeamPCPによる「Shai-Hulud（シャイ・フルード）キャンペーン」では、盗んだ認証情報を用いて一般的なパッケージを乗っ取り、開発環境に情報を盗み出すマルウェアを自動注入する攻撃が報告されている。

具体的な課題としては、既知の脆弱性（CVE：一般に公開されたセキュリティ欠陥の識別番号）の修復（39％）や特定（36％）といった課題に加え、AIツールが脆弱なコードを生成する懸念（35％）も目立っている。

コンテナとSBOMがもたらす防御効果と現在の課題

セキュリティ対策としては、回答組織の51％が「セキュアなコンテナ（アプリケーションを独立した軽量な実行環境で安全に動作させる技術）や頑健化されたイメージ」をOSS保護に「非常に効果的」と評価。これは提示された11種類のツールカテゴリ中、唯一過半数が支持したものだった。

また、部品構成を可視化するSBOM（ソフトウェア部品構成表：ソフトウェアに含まれるすべての部品をリスト化したもの）も有効だ。脆弱性の悪用可能性を示すVEX（脆弱性悪用可能性情報の交換：脆弱性が実際に悪用可能かどうかを示す情報規格）と併用することで、影響のない脆弱性への無駄な対応時間を削減できるという。SBOMは脆弱性緩和の効率化（73％）やコンプライアンス対応（68％）に役立つが、全アプリで生成を必須とする組織は42％に留まり、55％は個別対応だった。

深刻化する影響と各組織の投資動向

被害の影響も深刻で、インシデントを経験した組織の46％がデータへの不正アクセスを報告した。また、修復によりSLA（サービス品質保証：サービスの提供者がユーザーに対して保証する品質基準）に影響が出た組織は37％、開発者の認証情報やアクセスキーを盗まれた組織は35％に上る。

これに対し、全体の62％がセキュリティへの「大幅な投資」を計画し、37％が「小規模な投資」を予定する。開発の初期段階からセキュリティを考慮する「シフトレフト（開発プロセスの初期段階からセキュリティ対策を組み込むアプローチ）」は98％の組織が優先事項に掲げ、うち32％にとっては最優先課題だという。