OTセキュリティの事例に学ぶ　公式発表で確かめた工場の停止と原因

公式発表と公的機関の資料で確かめた5件⁠のうち、3件⁠は情報システム側の被害が生産や出荷へ波及した形で、2件⁠は制御系が関わる形でした。5件⁠は統計ではないので、割合そのものより、原因の分け方を自社の点検に使ってください。

今日やることは、自社の工場が止まる理由を3つ⁠に分けて、それぞれの担当者を書くことです。

• 受注と出荷のシステムが止まる（受注できない、出荷の指示が出ない）
• 製造の指示が工場に届かない（生産管理から工場への連携が止まる）
• 制御そのものが止まる（PLC、操作パネル、制御用のパソコン）

3つ目だけを工場のセキュリティと考えていると、1つ目と2つ目で止まる可能性を見落とします。

確かめた5件を、どう分ける？

原因がITかOTか、確かめた資料に書かれた範囲で分けました。公表されていない部分は、ここでも断定しません。

国内の統計も見ておきます。警察庁の「令和7年におけるサイバー空間をめぐる脅威の情勢等について」⁠によると、2025年⁠のランサムウェアの被害報告は226件です。規模別では中小企業が約6割⁠、業種別では製造業が約4割⁠を占めています。IPAの情報セキュリティ10大脅威 2026でも、組織向けの1位⁠はランサム攻撃による被害、2位⁠はサプライチェーンや委託先を狙った攻撃です。

ITの被害で、工場や出荷が止まった例は？

取引先のシステム障害で工場が止まる

小島プレス工業の調査報告書（第1報・2022年3月31日）⁠によると、子会社が独自に特定の外部企業との専用通信に使っていたリモート接続機器に脆弱性があり、そこから子会社と同社のネットワークへ侵入されました。ランサムウェアで暗号化されたのは、サーバーやパソコン端末の一部と報告されています。同社は攻撃の予防のために、取引先や外部とのネットワークを遮断しました。

トヨタ自動車は2022年2月28日⁠、この仕入先のシステム障害の影響で、3月1日⁠に国内全14工場28ラインの稼働を停止すると発表しました。翌日の発表で、3月2日から全ての稼働を再開するとしています。

読み取れるのは、自社の制御機器が無事でも、取引先のシステムが止まるとラインが止まる場合があることです。

受注と出荷が止まる

アサヒグループホールディングスの2026年2月18日の発表⁠によると、システム障害の約10日前に、攻撃者が拠点のネットワーク機器を経由してネットワークに侵入しました。データセンターでパスワードの弱点を突いて管理者権限を取り、2025年9月29日⁠にランサムウェアが一斉に実行されたとされています。

同社はその対応として、約300拠点の専用回線やインターネット回線を遮断し、データセンターを隔離しました。第2報（2025年10月3日）⁠は⁠、遮断により受注と出荷に影響が出たこと、部分的に手作業で受注し順次出荷を始めたことを伝えています。私たちが確かめた第2報と第4報、2月⁠の発表に、工場の制御機器の被害についての記載はありませんでした。

再発防止策として、同社はリモートアクセスVPN装置の全面廃止、ネットワークの分離、EDRの強化などを挙げています。これらは工場の話というより、会社全体のネットワークの話です。

製造の指示が工場に届かない

IPAの制御システム関連のサイバーインシデント事例5（2026年1月）⁠は⁠、Norsk Hydroの2019年⁠の事例を解説しています。この資料は、同社の責任者の講演、セキュリティ会社の解析、現地での聞き取りなどをもとに、IPAが一部を推考して補ったものです。入口は、取引先を装ったメールとされています。

IPAの整理では、被害の多くはメール、発注や顧客情報の管理のコンピュータ等です。製造用のコンピュータも被害を受けたと推定される一方で、制御システムは境界のファイアウォールで守られ被害はなかったとの話も紹介しています。ITのシステムが使えず、製造の指示ができなくなったことで、いくつかの工場の操業が縮小しました。

同社の2019年3月19日の発表は、全工場と業務を隔離し、できる限り手作業に切り替えたと伝えています。同社の事例のページは、総費用を約8億ノルウェークローネと見積もっています。IPAの資料は、操業を止められない工場では、事前の計画に基づいて手動で操業を続けたと書いています。

OTが関わって止まった例は？

持ち込んだ機器から制御系に広がる

IPAの事例6（2025年9月）⁠は⁠、2018年8月⁠のTSMCの事例を解説しています。標的型ではなく、WannaCryの亜種に感染した新しい機器を、ウイルスチェックをせずに工場内のネットワークへ接続したことで連鎖的に広がったと言われている、という説明です。

資料によると、持ち込み時にチェックする決まりはあったものの、形骸化していたとされています。3日間の生産停止で、損害は営業利益ベースで最大190億円⁠に達するとのことです。USBメモリのような外部記憶媒体でも同様の経路が考えられると、IPAは補足しています。

決まりがあることと、守られていることは別です。工場で新しい機器を受け入れる時、誰がいつ確かめるかを受け入れ検査の項目にできます。

たとえば、機械メーカーから新しい検査装置を受け入れる工場の場合、据え付けの当日に業者のノートパソコンを制御系につなぐ作業が発生します。受け入れ検査の表に「接続する機器の確認」⁠を1行足せば、担当者が確かめる場面を作れます。

安全を守る機器が狙われる

IPAの事例3（2019年7月）⁠は⁠、2017年12月⁠に公表された、安全計装システムを狙うマルウェアの事例です。中東の企業で使われていたコントローラーが対象となり、結果的にフェールセーフ機能が働いて操業が一時停止しました。

どのように到達したかの詳細は公開されていません。IPAは、メンテナンス端末を介してコントローラーへ書き込みが行われたと説明しています。入口についての図の一部は、IPAの推考です。

中小の工場で同じことが起きると決めつける材料ではありません。読み取りたいのは、緊急停止に関わる機器と、そのメンテナンス端末を、通常の端末と分けて管理する考え方です。

自社で確かめる点は？

事例の入口と止まり方を、自社の点検項目に置き換えます。

製品を調べるなら、端末の監視はEDRの製品比較⁠、通信の見張りはNDRの製品比較⁠、制御用の端末や工場の通信はOTセキュリティの製品比較⁠が入口になります。

警察庁の同じ資料は、令和7年⁠に被害に遭った組織へのアンケートで、復旧に総額1,000万円以上かかった組織が5割⁠を超え、1か月未満で復旧した組織は5割強にとどまると紹介しています。業務が止まる期間は、製造業の納期に直結します。止まった時の連絡手段と手作業の範囲を決めておくことは、費用のかからない備えの1つです。

事例を読むときに、気をつけることは？

公式発表には、公表していない部分があります。小島プレス工業の報告書も、判明した事実の一部は二次的影響を考えて非公表としています。「工場の制御機器に被害がなかった⁠」⁠と「被害の記載がない」⁠は別のことです。社内の資料に書くときは、この2つ⁠を分けて書きます。

もう1つ⁠、発表の時点で数字や内容は変わります。アサヒグループは2025年11月⁠、2026年2月⁠、7月⁠と続けて調査の内容を更新しています。引用するときは発表の日付を添えます。

事例を社内で共有する目的は、責めることではありません。各社が詳しく公表してくれたから、私たちは同じ点を点検できます。IPAの事例シリーズには、ほかに電力やパイプラインの事例もまとめられています。

自社の点検の進め方はPLCを守る現場の手順⁠、社内の分担は情シスと工場の分担方法⁠、担当者の学び方は工場の担当者が学ぶ順番と公的な研修⁠に書きました。ほかの記事は工場とIoTのセキュリティ⁠にまとめています。