サプライチェーン攻撃とは、セキュリティ対策が強固な企業を直接狙うのではなく、関連する取引先や委託先などを経由して間接的に侵入するサイバー攻撃です。
近年、企業の根幹を揺るがす重大なセキュリティインシデントとして、その脅威が深刻化しています。
本記事では、サプライチェーン攻撃の最新事例から具体的な対策、そして2026年度から本格化するSCS評価制度まで、今知るべき情報を網羅的に解説します。
この記事でわかること
サプライチェーン攻撃とは、標的とする企業へ直接攻撃するのではなく、その企業と取引関係にあるセキュリティ対策が比較的脆弱な関連会社やサプライヤーなどを侵入口として利用する攻撃手法です。
攻撃者は、まず子会社や外部の委託先、ソフトウェア開発会社などに侵入し、そこから得た情報やネットワーク接続を利用して、本来の標的である大企業のシステムへアクセスします。
この攻撃の定義は、自社だけでなく、製品やサービスを構成する一連の供給網（サプライチェーン）全体が攻撃対象となる点にあります。
サプライチェーン攻撃が深刻化している背景には、DX推進による企業間のネットワーク接続の増加と、企業ごとのセキュリティレベルの格差が存在します。
情報処理推進機構（IPA）が発表する「情報セキュリティ10大脅威」でも長年上位に位置しており、社会的な影響の大きさから極めて高いリスクと認識されています。
近年の傾向として、攻撃者はセキュリティ対策が手薄な中小企業を踏み台にすることが多く、一つの企業のインシデントがサプライチェーン全体に連鎖し、大規模な事業停止につながるケースが増えています。
サプライチェーン攻撃の主な目的は、標的企業が保有する機密情報や個人情報を窃取すること、そして事業活動を停止させて身代金を要求することの二つに大別されます。
特に近年は、ランサムウェアを用いた攻撃が増加しており、工場の生産ラインや基幹システムを停止させることを狙ったものが目立ちます。
これにより、企業は直接的な金銭被害だけでなく、生産停止による機会損失や顧客からの信頼失墜といった甚大な影響を受けることになります。
取引先から選ばれ続けるために。
SCS評価制度の概要と「★3・★4」取得に向けた対策の進め方を
わかりやすく解説したガイドです。
ダウンロードフォームはこちら
近年、国内でもサプライチェーン攻撃による被害件数は増加傾向にあり、その影響は特定の業界にとどまらず、社会インフラにまで及んでいます。
大手企業であっても、取引先の脆弱性を突かれることで事業継続が困難になるケースが報告されており、サプライチェーン全体でのセキュリティ対策の重要性が浮き彫りになっています。
ここでは、実際に国内で発生し、大きな影響を及ぼした近年の事例を紹介します。
2022年3月、大手自動車メーカーの部品サプライヤーがランサムウェアによるサイバー攻撃を受け、システム障害が発生しました。この影響で、部品の発注や納入管理に支障が生じ、自動車メーカーは国内全14工場の稼働を1日停止せざるを得ない状況に追い込まれました。この事例は、サプライチェーン上の一社のセキュリティ侵害が、最終製品を製造する大企業の生産活動に直接的な影響を与えた典型的なケースとして知られています。
2024年、大手出版社グループが利用するデータセンターに対して外部から不正アクセスがあり、複数のサーバーがランサムウェアによる被害を受けました。
この影響で、同社の書籍や電子書籍の受発注システム、公式ウェブサイト、運営する動画配信サービスなどが長期間にわたり停止しました。
データセンターというITインフラの根幹が攻撃されたことで、事業全体に広範囲かつ深刻な影響が及んだ事例です。
2023年、国内主要港のコンテナターミナルを管理するシステムがランサムウェアに感染し、トレーラーへのコンテナの積み下ろしなどができなくなりました。
システムの停止は数日間に及び、港湾業務が麻痺したことで、輸出入に関わるコンテナの搬出入が全面的にストップしました。
この結果、日本の物流網に甚大な影響が発生し、社会インフラを狙ったサイバー攻撃の脅威を改めて示すことになりました。
サプライチェーン攻撃の侵入経路は多様化しており、その手口も巧妙化しています。
攻撃者は、標的企業のセキュリティ防御を直接突破するのではなく、信頼関係で結ばれた取引先とのつながりを悪用します。
この攻撃の特徴は、自社の対策だけでは防ぎきれない外部のリスク要因が侵入口となる点にあります。
ここでは、代表的な3つの侵入経路と手口について解説します。
最も典型的な手口は、標的企業よりもセキュリティ対策が手薄な子会社や取引先、部品サプライヤーなどを最初に攻撃し、そこを踏み台として標的企業のネットワークへ侵入する方法です。
取引先との間では、受発注システムやデータ連携のためにネットワークが接続されていることが多く、一度信頼されたネットワーク内部からのアクセスは検知が困難です。
このため、サプライチェーン全体のセキュリティレベルの底上げが不可欠です。
企業が業務で利用する正規のソフトウェアやクラウドサービスに、悪意のあるプログラムを仕込む手口も増加しています。
例えば、ソフトウェアのアップデートファイルにマルウェアを混入させ、利用者が気づかないうちに一斉に感染させる方法です。
また、広く利用されているVPN機器などのネットワーク製品の脆弱性を悪用して侵入するケースも後を絶ちません。
利用者の多い製品ほど影響範囲が広くなるリスクがあり、日頃からの脆弱性管理が重要となります。
システムの開発や運用・保守などを外部の業者に委託している場合、その委託先が保有する情報が直接狙われることがあります。
攻撃者は、委託先の従業員の端末をマルウェアに感染させたり、不正アクセスを仕掛けたりして、標的企業のシステムへアクセスするためのIDやパスワード、ネットワーク構成図といった重要情報を窃取します。
委託先（サプライヤー）の従業員に対するセキュリティ管理も、自社と同様のリスクとして捉える必要があります。
サプライチェーン攻撃のリスクを低減するためには、自社だけでなくサプライチェーン全体のセキュリティ対策を強化することが不可欠です。自社内で完結できる基本的なセキュリティ対策を徹底することは、攻撃の侵入口を減らし、被害を最小限に抑えるための重要な一歩となります。ここでは、企業規模を問わず、すぐに着手すべき5つの基本的な対策を紹介します。
サプライチェーン攻撃の多くは、OSやソフトウェアに残存する脆弱性を利用して侵入します。
開発元から提供されるセキュリティパッチを迅速に適用し、常にシステムを最新の状態に保つことは、既知の脆弱性を悪用した攻撃を防ぐための最も基本的な対策です。
修正プログラムの適用を管理する仕組みを導入し、社内で利用する全てのIT資産のアップデート状況を可視化することが、セキュリティレベルの維持につながります。
従来のアンチウイルスソフトだけでは、巧妙化するマルウェアの侵入を完全に防ぐことは困難です。
そこで有効なのが、PCやサーバーのエンドポイントでの不審な挙動を監視し、マルウェアの侵入を早期に検知・対応するEDR（Endpoint Detection and Response）です。
万が一、マルウェアが侵入した場合でも、その後の活動を即座に検知して隔離や駆除を行うことで、被害が拡大する前に対処できる可能性が高まります。
攻撃者は、従業員のセキュリティ意識の隙を突いて、標的型メールなどを通じて最初の侵入口を作ろうとします。
IPA（情報処理推進機構）が提供する資料などを活用し、不審なメールの見分け方やパスワードの適切な管理方法など、基本的な知識を全従業員に浸透させることが重要です。
定期的な教育や訓練を通じて、従業員一人ひとりのセキュリティリテラシーを向上させることが、組織全体の防御力を高めます。
推測されやすいパスワードの使用や、複数のシステムでのパスワードの使い回しは、不正アクセスの大きな原因となります。
パスワードの定期的な変更や複雑性の確保をルール化し、その遵守を徹底することが重要です。
さらに、IDとパスワードだけでなく、SMS認証や認証アプリなどを組み合わせる多要素認証（MFA）を導入することで、万が一パスワードが漏えいした場合でも、不正アクセスを防ぐことができ、セキュリティが大幅に向上します。
管理が行き届いていない「シャドーIT」と呼ばれるPCやサーバーは、セキュリティパッチが適用されず放置され、攻撃の格好の侵入口となるリスクがあります。
社内に存在する全てのIT機器を資産管理ツールで正確に把握し、OSのバージョンやソフトウェアのインストール状況などを一元管理することが、セキュリティ対策の基礎となります。
これにより、脆弱性が存在する端末を迅速に特定し、対策を講じることが可能になります。
自社内のセキュリティ強化だけでは、サプライチェーン攻撃を完全に防ぐことはできません。
攻撃者は、連鎖する供給網の最も弱い部分を狙うため、自社だけでなく、取引先や業務委託先（サプライヤー）を含めたサプライチェーン全体でセキュリティレベルを向上させる視点が不可欠です。
ここでは、委託元と委託先のそれぞれの立場から取り組むべき対策と、共通して整備すべき事項を解説します。
委託元の企業は、新規に取引を開始する際や契約を更新する際に、サプライヤーのセキュリティ対策状況を確認するプロセスを導入することが推奨されます。
具体的には、セキュリティ対策に関する質問票（チェックリスト）の提出を求めたり、ISMS（情報セキュリティマネジメントシステム）などの第三者認証の取得を要件としたりする方法があります。
これにより、取引先全体のセキュリティレベルを客観的に評価・可視化し、リスクの高いサプライヤーへの対策を促すことができます。
委託先（サプライヤー）の企業は、自社のセキュリティ対策が十分であることを取引先に対して客観的に示す必要があります。
前述のISMS認証やプライバシーマークなどを取得することは、信頼性を高める上で非常に有効です。
また、委託元からセキュリティチェックシートへの回答を求められた際には、誠実かつ正確に自社の状況を報告することが、良好な取引関係を継続する上で重要になります。
自社のセキュリティレベルをアピールできる体制を整えることが求められます。
万が一、サプライチェーンのどこかでセキュリティインシデントが発生した場合に備え、迅速な情報共有と連携した対応が不可欠です。
そのためには、平時からインシデント発生時の報告先、連絡手段、対応責任者などをサプライヤーとの間で明確に定めておく必要があります。
インシデントの発見から報告、原因究明、復旧までの一連の対応手順を事前に文書化し、関係者間で共有することで、有事の際のリスクと被害を最小限に抑えることができます。
サプライチェーン全体のセキュリティ強化は、個々の企業の努力だけでなく、社会全体で取り組むべき課題となっています。
このような背景から、経済産業省などが中心となり、新たな評価制度の導入が進められています。
この制度への対応は、今後のビジネス継続において重要な要素となる可能性があり、早期からの準備が求められます。
SCS評価制度とは、中小企業を含むサプライチェーン全体のセキュリティ対策レベルを向上させることを目的とした、新しい評価の仕組みです。
この制度では、各企業が自社のセキュリティ対策状況を自己評価し、必要に応じて第三者機関による客観的な評価を受けることになります。
評価結果は取引先（サプライヤー）選定の基準の一つとして活用されることが想定されており、サプライチェーンにおける信頼性の指標となることが期待されるセキュリティ制度です。
SCS評価制度で求められる基準は、特定の高度な技術の導入だけでなく、基本的なセキュリティ対策が着実に実施されているかどうかが中心になると考えられます。
具体的には、「IT資産の管理」「脆弱性対策」「アクセス管理の徹底」「インシデント発生時の報告体制の整備」といった項目です。
これらは、本記事で解説してきた基本的な対策と重なる部分が多く、今のうちからこれらの対策を組織的に実践し、その運用状況を記録・文書化しておくことが、制度へのスムーズな対応につながります。
サプライチェーン攻撃への対策を検討する上で、多くの企業担当者が抱える疑問は共通しています。
ここでは、特によく寄せられる質問とその回答をまとめました。
自社のセキュリティ対策を見直す際の参考にしてください。
サプライチェーン攻撃とは、標的の企業に直接侵入するのではなく、関連会社や取引先など、セキュリティ対策が手薄な組織を踏み台にして間接的に攻撃する手法の総称です。
ソフトウェア開発元を汚染し、正規のアップデートを装ってマルウェアを配布するケースなどがこの定義に含まれます。
まずは、自社で管理しているPCやサーバーなどのIT資産を正確に把握し、OSやソフトウェアを常に最新の状態に保つ脆弱性対策から始めるべきです。
その上で、パスワード管理の徹底や多要素認証の導入など、基本的なセキュリティ対策を一つずつ着実に実施することが重要です。
取引先のセキュリティ対策を確認するには、セキュリティ対策項目を網羅したチェックシートの提出を求めたり、ISMSやプライバシーマークといった第三者認証の取得状況を確認したりする方法が有効です。
契約時にセキュリティに関する条項を盛り込むことも、サプライヤーの意識向上につながります。
サプライチェーン攻撃対策の第一歩は、自社のIT資産を正確に把握し、セキュリティ上の弱点、すなわちリスクを可視化することです。
しかし、テレワークの普及などにより、社内にあるPCの状態をリアルタイムで把握することはますます困難になっています。
Dynabookの「PCアセットモニタリングサービス」は、だれが、どこで、どのような状態のPCを利用しているかをポータル上で一元管理し、サプライチェーンの末端となる従業員のPCに潜むセキュリティリスクの発見を支援します。
多くの資産管理ツールが存在する中で、Dynabookのサービスが選ばれるのには理由があります。
単なる資産の棚卸しにとどまらず、ハードウェアメーカーならではの知見を活かし、PCの紛失や故障といった物理的なリスクから、日々の運用におけるセキュリティリスクまで、多角的に企業のPC管理をサポートします。
PCの紛失や盗難は、重大な情報漏えいリスクに直結します。
本サービスは、PCが電源オフの状態であっても、SMSを利用して遠隔からデータを完全に消去する機能を搭載しています。
OSが起動する前のBIOSレベルで動作するため、極めて高いセキュリティを確保し、万が一の事態でも情報資産を保護します。
サプライチェーン攻撃だけでなく、PCの突然の故障も事業継続を脅かす大きなリスクです。
本サービスは、バッテリーの状態やストレージの空き容量、ブルースクリーンの発生などを監視し、故障の予兆を管理者に通知します。
これにより、故障前に予備機の手配や修理依頼を行うことができ、業務のダウンタイムを最小限に抑えることが可能です。
組織内で利用されているPCは、必ずしも一社の製品で統一されているわけではありません。
本サービスは、Dynabook製PCはもちろん、動作環境の条件を満たす他社製のWindows端末もまとめて管理対象とすることが可能です。
既存のIT資産を有効活用しながら、組織全体のPCセキュリティレベルを統一的に引き上げることができます。
サプライチェーン攻撃は、もはや他人事ではなく、自社が加害者にも被害者にもなり得る深刻なリスクです。
その対策は、自社内でのセキュリティ基盤の強化から始まり、取引先を含めたサプライチェーン全体での連携へと発展させていく必要があります。
IT資産の正確な把握、脆弱性の管理、そしてインシデントへの備えを地道に進めることが、結果として自社の事業と顧客の信頼を守ることにつながります。
SCS評価制度「★3」「★4」の取得に向けて。
サプライチェーン全体のセキュリティ対策を可視化し、必要な取り組みを整理。
現状把握から対策実施まで、Dynabookが伴走支援します。
