サプライチェーン攻撃とは、取引先や委託先、グループ会社など、つながりのある相手の弱いところを足がかりにして、本来の標的を狙う攻撃のことです。IPAは調達から販売、業務委託までの一連の商流で、対策の甘い組織が足がかりにされる攻撃と説明しています（2023年の資料）。
今日やることは、社外とつながっている機器と回線を紙に書き出すことです。VPN、リモート保守の機器、取引先の受発注システムにつながる端末が対象です。一覧を見ながら、「これが止まったら、どの取引先の納入が止まるか」を横に書きます。
この記事は、自社の被害額ではなく、親会社や納入先に影響が及んだときに何が起きるかから備えを考えます。
サプライチェーン攻撃は中小企業にも関係する？
関係します。IPAの情報セキュリティ10大脅威 2026の組織編で、「サプライチェーンや委託先を狙った攻撃」は2位でした。1位はランサム攻撃による被害で、この2つは同じ事故として起きることがあります。
中小企業の数字も公表されています。
| 調査 |
内容 |
数字 |
| IPA 2024年度調査 |
不正アクセス被害のうち、取引先やグループ会社等を経由した侵入 |
19.8% |
| 同上 |
2023年度に被害を受けた企業で、「特に無し」を除き取引先に影響があった割合 |
約7割 |
| 警察庁 令和7年上半期 |
ランサムウェア被害の報告116件のうち中小企業 |
77件 |
中小企業の被害は、自社の中だけで終わらないことがあると読めます。ただし、IPAの数字は企業の回答を集めたもので、すべての事故の実態を示すものではありません。
入口にされると取引に何が起きる？
取引への影響は、次の順番で表に出てきます。
1つ目は接続の遮断です。感染が広がるのを防ぐため、取引先とのネットワークを切ることになります。受発注や図面のやり取りが、その回線に乗っていれば止まります。
2つ目は納入の遅れです。IPAの調査で取引先に影響があった企業のうち、36.1%がサービスの停止や遅延が出たと答えています。
3つ目は説明の要求です。いつ、どこから、何が起き、自社の情報は無事かを、複数の取引先から同時に聞かれます。調査中で答えられないことも多いので、答え方を先に決めておく必要があります。
4つ目はお金の負担です。同じ調査で、賠償や補償の負担が出たとの回答は32.4%、原因調査や復旧の人件費などの負担は23.2%でした。警察庁の資料では、ランサムウェアの調査・復旧に1,000万円以上を要した組織の割合が、令和6年の50%から令和7年上半期に59%へ増えました。
製造業の公表事例：2022年の部品メーカーの場合
よく引かれるのが、2022年に自動車部品メーカーで起きた事案です。IPAの資料は、トヨタ自動車が小島プレス工業のシステム障害により国内全工場を停止した事例として整理しています。
小島プレス工業の調査報告書（第1報）によると、きっかけは子会社が特定の外部企業との専用通信に使っていたリモート接続機器の脆弱性でした。同社はさらなる攻撃を防ぐため、取引先と外部とのネットワークを遮断しています。
本体の対策とは別の場所にある1台の機器から、取引全体に影響が及びうることを示す事例です。自社に置き換えると、「子会社や工場が独自に入れた接続機器を、本社は把握しているか」という確認になります。
いつ、何から備えればいい？
外とつながる入口、止まったときの連絡、止まっている間の仕事。この3つを、製品を選ぶ前に固めます。
今月そろえる3つ
- 社外とつながる機器と回線の一覧（設置場所と管理者の名前つき）
- 取引先別の連絡先と、事故のとき最初に誰が連絡するかの決まり
- システムが止まったとき、受注と出荷を紙や電話で回す手順
入口の一覧を作り、古いものを閉じる
警察庁のアンケートでは、VPNやリモートデスクトップ用の機器からの侵入が感染経路の8割以上でした。原因として、IDやパスワードが安易だったことや、不要なアカウントが残っていたことが挙げられています。
一覧ができたら、次の順で見ます。
- 使っていない機器やアカウントは止める
- 機器の更新が最新かを確かめる
- パスワードだけで入れる接続は、多要素認証に変えられないか保守会社に聞く
- 設備メーカーのリモート保守は、使う時だけつなぐ運用にできないか相談する
外から見て弱い箇所が残っていないかは、自社では判断しにくいものです。専門会社の脆弱性診断や、外部から見たスコアで対策状況を確かめるセキュリティ評価サービスの比較が、確認の手段になります。
取引先への連絡を先に決める
事故の最中に連絡先を探すと、初動が遅れます。主要な取引先ごとに、平日と夜間の窓口、基本契約に事故の通知期限があるかを1枚にまとめます。
連絡文の型も作っておきます。入れるのは「分かっていること」「調査中のこと」「取引先に影響するおそれがあること」「次の連絡時刻」の4つです。原因が分かる前に断定しない形にしておくと、後で訂正せずに済みます。
止まっている間の仕事を決める
IPAの同じ調査では、復旧までの期間は平均5.8日で、50日以上かかった企業も2.1%ありました。平均は短く見えますが、納期の短い部品では数日でも影響が出ます。
たとえば、月に数回まとめて納める金属部品の工場を考えます。生産管理システムが止まると、今日どの製品を何個作るかが分からなくなる場合があります。この場合は、週に1回でも生産予定と納入先の一覧を紙かオフラインの媒体に残すと、当面の手がかりになります。バックアップを取るだけでなく、そこから戻す練習も年に1回は行ってください。
工場の設備は別に考える
製造設備の制御システムは、事務系のパソコンと同じ対策が取れないことがあります。更新や製品の導入は、設備メーカーの保守条件を確かめてから決めます。
取引先から対策を求められたらどう動く？
断る前に、何を、いつまでに、どの水準で求められているかを確認します。
取引先から個別のチェックシートが届く場面は増えています。経済産業省とIPAは、委託先が複数の委託元から別々の要求を受ける負担を課題に挙げ、共通の基準で評価するSCS評価制度を進めています。★3・★4の中身と準備はSCS評価制度の星3と星4の違いで、始まる時期はSCS評価制度の公表済みの予定と準備の期間で扱います。
費用の負担も、話し合える事項です。公正取引委員会と経済産業省の文書は、取引先に対策を要請すること自体は直ちに問題にならないとしたうえで、コスト上昇分を考えず一方的に著しく低い対価を定めれば独占禁止法上の問題になるとしています。2025年12月の想定事例も、対策のコストを価格交渉の対象にする流れを示しています。
かかった費用と作業時間は記録しておきます。価格交渉の場で、数字を添えて説明できます。
お金をかける前にできることは？
基本の点検は無料でできます。IPAの中小企業の情報セキュリティ対策ガイドライン第4.0版は、2026年の改訂で「バックアップを取ろう！」を加えた情報セキュリティ6か条を示しています。付録の「5分でできる！情報セキュリティ自社診断」は25項目です。
取り組みを外に示すなら、SECURITY ACTIONの自己宣言があります。ただ、これは自ら宣言する制度で、対策の水準を第三者が保証するものではありません。
社内に担当者を置けない場合は、セキュリティコンサルティングの比較で、点検と取引先への説明資料の作成まで頼めるかを見てください。
国の対策や取引先の要請の全体像は、サプライチェーンのセキュリティ対策の一覧にまとめています。
