トヨタの工場停止から学ぶ取引先への攻撃　部品メーカーの被害を公式発表で解説

トヨタの工場停止から学べるのは、1社⁠の部品メーカーのシステム障害が、取引先の工場まで止める場合があるということです。2022年3月1日⁠、トヨタは仕入先の小島プレス工業のシステム障害を受け、国内全14工場28ラインの稼働を止めました。

今日やることは、自社の受発注が止まった場合に、取引先へ誰がどう連絡するかを確かめることです。納入先の担当者の連絡先が社内のシステムの中にしか無いなら、紙か別の場所に控えます。

この記事は、トヨタと小島プレス工業の公式発表の範囲で書きます。報道にあった生産への影響の台数などは、公式発表で確かめられなかったので書いていません。被害を受けた会社を責める内容でもありません。

公式発表で確かめられる経緯は？

出典はトヨタの2022年3月1日の発表と、小島プレス工業の調査報告書（第1報）です。報告書は、ファイルサーバーへの不正アクセスを確認し、さらなる攻撃を防ぐために取引先と外部とのネットワークを遮断したと書いています。遮断の日時は、この報告書には記載がありません。

なお、トヨタの発表が使っている言葉は「システム障害」⁠で⁠す⁠。ランサムウェアという言葉は、小島プレス工業の報告書の側に出てきます。

小島プレス工業の報告書には何が書かれているのか？

報告書で確かめられる事実は、次のとおりです。いずれも2022年3月31日時点の第1報で、一部は二次的な影響を考えて非公表とされています。

• 入口：子会社が独自に特定の外部企業との専用通信に使っていたリモート接続機器の脆弱性
• 広がり方：その機器から子会社内のネットワークへ、さらに本社のネットワークへ侵入
• 被害：ランサムウェアにより、サーバーとパソコンの一部でデータが暗号化
• 脅迫：脅迫文に具体的な身代金額の記載は確認されていない。攻撃者へは連絡していない
• 情報の持ち出し：形跡は確認されておらず、調査は継続

なぜ1社⁠の障害で全工場が止まったのか？

確かめた2つ⁠の発表には、止まった仕組みの詳しい説明はありません。トヨタの発表にあるのは「システム障害の影響を受け」という事実までです。したがって、受発注のどのシステムが、どう効いたのかを私たちが断定することはできません。

確かめられるのは順序です。部品メーカーが取引先とのネットワークを遮断し、その影響が出たと発表された日に、納入先の国内全工場が止まりました。自社が被害を受けた側の判断で、取引先との接続を切らざるを得ない場面があること。その影響は納入先にも及ぶ場合があること。この2点は、同じ立場の会社が考えておくべきことです。

IPAの情報セキュリティ10大脅威2026でも、組織編の2位⁠は「サプライチェーンや委託先を狙った攻撃」⁠で⁠、解説書によると8年連続の選出です。1位⁠はランサム攻撃による被害でした。

部品メーカーが自社に置きかえると、何を点検するのか？

たとえば、樹脂部品を作る会社が、納入先とは専用の接続で受発注をし、子会社は別の取引先のために独自の接続を持っている場合で考えます。この形で点検する項目は、次の4つです。

1. 社外につながる機器を、子会社の分まで一覧にする

この件の入口は、本社ではなく子会社が独自に使っていた機器でした。本社の情シスが把握していない接続は無いか。工場や営業所、グループ会社の分まで確かめます。VPNを入れ替える場合は法人向けVPNの製品比較で、多要素認証や更新の仕組みを見比べられます。警察庁の資料でも、令和8年上半期のランサムウェアの侵入経路はVPN機器が約5割です。

2. 子会社と本社の間の通り道を絞る

報告書の流れでは、子会社のネットワークから本社へ広がっています。全部の通信を通す必要があるのか、業務で使う通信だけに絞れないかを確かめます。

3. 接続を切る判断を、誰がするか決める

遮断は被害を広げないための手段ですが、受発注や納入先への連絡も止めます。切る権限を持つ人、切ったあとに連絡する取引先の順番、夜間や週末に連絡がつかない場合の代わりの人を決めます。小島プレス工業の痕跡は2022年2月26日⁠の20時過ぎで、この日は土曜日でした。休みの時間帯に起きる前提で考えます。

4. 止まった間の受発注の手段を決める

納入先と、データが届かないときの代わりの手段を話し合っておきます。紙の納品指示で動ける範囲、在庫で何日もつか、誰が判断するかを書いておきます。

工場の設備側はどう考えるのか？

この件の報告書で暗号化が確認されたのはサーバーとパソコンの一部で、工場の制御機器についての記載はありません。それでも、部品メーカーの工場は、事務側のネットワークと切り離せない場合があります。

経済産業省の工場システムのガイドラインは、工場のシステムはインターネットにさらされないことを前提に設計されてきたが、IoT化や自動化で状況が変わっていると説明しています。設備メーカーの遠隔保守の接続があるなら、上の一覧に入れます。工場向けの製品は工場向けOTセキュリティの製品比較で比べられます。

取引先から対策を求められたら、どう備えるのか？

自動車の分野では、自工会/部工会・サイバーセキュリティガイドライン⁠のV2.3が2025年9月1日⁠に公開されています。自己評価のチェックシートも付いているので、自動車の仕事がある会社は、取引先から聞かれる前に一度付けてみる価値があります。

業種を問わない仕組みとしては、サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）⁠があります。経済産業省のページでは、★3と★4は2026年度末頃の制度開始（申請受付の開始）⁠を目指すとされています。IPAの説明によると、要求項目は★3が計26件⁠、★4が計43件で、★3は専門家の確認が付く自己評価です。

注意点は対象の範囲です。この制度が対象とするのはIT基盤で、製造環境の制御（OT）システムは直接の対象ではありません。★を取っても工場の設備側が点検済みになるわけではないので、先ほどのガイドラインと合わせて考えます。

費用の話もあります。経済産業省と公正取引委員会の想定事例は、発注側が対策を要請し、費用負担の考え方を周知し、対策のコストについて価格交渉を行って合意し、書面に残す流れを「問題とならない」例として示しています。概要には、要請を受けていない発注側と交渉する場面や、取引かけこみ寺などの支援機関も出てきます。対策の費用は、黙って抱え込まずに交渉の材料にできます。

発注する立場なら、何を確かめるのか？

部品メーカーの多くは、自社の仕入先に対しては発注側でもあります。下の階層の会社の状態を知る方法には、質問票のやりとりと、外部のサービスによる評価があります。比べるなら取引先のセキュリティ評価サービスの比較が入口になります。評価は状態を知る手段で、点数を付けて終わりでは取引先の対策は進みません。想定事例にあるように、説明の機会を設け、費用の話まで一緒に行うことが前提です。

攻撃の進み方そのものはランサムウェアの5段階を整理した記事に、ほかの対策はランサムウェア対策のカテゴリ⁠にまとめています。情報の流出が起きた場合の発表の進め方は、KADOKAWAの公式発表を整理した記事⁠が参考になります。