>
>
公開日
最終更新日
サプライチェーンや委託先を狙った攻撃はIPAの情報セキュリティ10大脅威2026組織編で第2位に選出された。
サプライチェーン攻撃とは、自社を直接狙うだけではなく、保守会社、業務委託先、再委託先、利用中のソフトウェアやクラウドサービスを侵入口に変える手口です。中堅・中小企業の情シス部門では、自社が被害者になる場面と、取引先へ侵入する踏み台にされる場面を分けて管理する必要があります。本記事では、IPA・経済産業省の公表資料を基に、優先順位を付けた対策手順を解説します。
サプライチェーン攻撃とは
サプライチェーン攻撃とは、セキュリティが手薄な取引先や委託先を経由して本命企業へ侵入する手法です。
本記事のポイント
自社の防御だけでは、委託先・再委託先・ソフトウェアの侵害を防ぎ切れません。
IPAは「サプライチェーンや委託先を狙った攻撃」を2026年の組織向け脅威第2位に選び、8年連続でランクインさせています。
情シス部門は、ID、端末、委託先接続、ソフトウェア構成、バックアップを一つの管理対象として扱います。
2026年度末頃の開始を目指すSCS評価制度により、取引時に対策状況を説明する機会が増える見込みです。
攻撃者は、標的企業の境界防御を正面から突破する代わりに、取引先のVPN、保守用アカウント、共有クラウド、更新プログラムなど、信頼されている経路を悪用します。侵入後は、認証情報の窃取、管理者権限の奪取、横展開、データ窃取、ランサムウェア実行へ進むことがあります。
IPAの「情報セキュリティ10大脅威 2026［組織］」では、ランサム攻撃による被害が第1位、サプライチェーンや委託先を狙った攻撃が第2位でした。両者は別の脅威ですが、委託先経由の侵入後にランサムウェア被害へ発展することがあるため、情シス部門では切り離して運用しません。
踏み台と被害者の違い
踏み台とは、攻撃者が本命企業へ到達するために自社の端末、VPN、メール、保守アカウントなどを中継点として使う状態です。自社の業務停止が小さくても、発注元へ被害が及べば契約・信用・損害対応の問題になります。
被害者とは、委託先や利用サービスが侵害され、その接続や保有データを通じて自社の情報、システム、業務が直接影響を受ける状態です。一社が踏み台と被害者の両方になることもあるため、委託元・委託先のどちらの立場でもアクセス権と情報の流れを把握します。
▶ 関連記事: 【SCS評価制度】経産省セキュリティチェックシートの作り方
▲ サプライチェーン攻撃における侵入経路と本命企業への到達プロセス
サプライチェーン攻撃の歴史と件数推移
サプライチェーン攻撃は以前から存在しますが、企業間接続、クラウド利用、ソフトウェア更新の自動化が進んだことで、2020年代に事業継続を脅かす問題として顕在化しました。
サプライチェーン攻撃の歴史をたどると、初期は媒体やソフトウェア配布経路の改ざんが中心でした。2010年代には、正規ソフトウェアの更新プログラムや開発環境を悪用する攻撃が注目され、2020年のSolarWinds事件では、改ざんされた更新プログラムを取得した組織が約1万8,000に及んだと報じられました。ただし、悪性更新を取得した組織数と、後続侵害を受けた組織数は同一ではありません。
2020年代には、リモート接続、SaaS、外部保守、OSSの利用拡大により、攻撃対象となる接点が増えました。デジタル庁は2025年6月30日に、「政府情報システムにおけるサイバーセキュリティに係るサプライチェーン・リスクの課題整理及びその対策のグッドプラクティス集（DS-203）」を策定・公表しました。調達先だけでなく、開発・運用・クラウド・再委託を含めた管理が前提になっています。
件数推移を判断するための公的データ
サプライチェーン攻撃だけを全国で統一集計した年次件数は、本記事で参照したIPA・経済産業省の公開資料の範囲では確認できません。そのため「件数が何件増えたか」だけで危険度を判断するのではなく、脅威順位、侵入手口、取引先への影響率を併用します。
IPAは2019年から2026年まで、サプライチェーンや委託先を狙った攻撃を組織向け10大脅威に継続して選出しています。順位は2019年から2021年が第4位、2022年が第3位、2023年以降は第2位です。件数の単純比較ではありませんが、組織にとっての優先脅威が上昇・定着していることを示す材料になります。
IPAが2025年2月に公表した「2024年度 中小企業における情報セキュリティ対策の実態調査」（対象期間：2023年度）では、不正アクセス被害を受けた企業419社のうち、48.0%が「脆弱性を突かれた」と回答しました。また、サイバーインシデント被害を受けた企業975社の約7割が、取引先に影響があったと回答しています。これは被害が自社内で終わらず、取引関係へ波及しやすいことを示す数値です。
標的になりやすい組織と侵入経路
攻撃者は企業規模ではなく、本命組織へ到達できる権限、接続、データを持つ組織を狙います。
大企業だけが狙われるわけではありません。発注元のシステムに接続する中小の保守会社、顧客データを処理する委託先、管理者権限を持つMSP、海外子会社、ソフトウェア開発会社は、攻撃者にとって価値のある侵入口です。このように関連組織を渡り歩く侵入戦術は、アイランドホッピングと呼ばれます。
業務委託先と再委託先
データ入力、受発注、顧客対応、物流、経理などを外部委託している場合、委託先が扱う個人情報や業務システムの接続権が狙われます。再委託の有無、再委託先名、扱うデータ、利用するクラウドサービスまで契約台帳に記録できていなければ、インシデント時に影響範囲を確定できません。
保守運用事業者と管理者ID
保守会社が顧客環境へリモート接続する場合、共通ID、常時有効なVPN、過剰な管理者権限が侵入口になります。保守作業が必要な時間だけ接続を許可し、作業対象を限定し、作業後に権限を戻す運用へ変えると、認証情報が漏えいした場合の到達範囲を縮小できます。
ソフトウェア供給者と開発環境
ソフトウェアベンダーやOSSの開発環境が侵害されると、正規更新や依存ライブラリを通じて多数の利用企業へ影響が広がります。自社開発をしていない企業でも、利用ソフトウェア、バージョン、提供元、保守期限を台帳化し、脆弱性公表時に対象有無を判断できる状態にします。
ASCII.jpは、株式会社ハンモックが実施したサプライチェーン対策に関する調査（n=700）として、課題の最多回答が「IT資産の把握が不十分」で35.9%だったと伝えています（出典：ASCII.jp）。資産台帳がPCだけに留まり、SaaS、外部接続、委託先アカウント、保守契約を含んでいない場合は、まず台帳の対象範囲を広げます。
起点別に見るサプライチェーン攻撃の種類
攻撃の起点をソフトウェア、サービスプロバイダー、ハードウェアに分けると、情シス部門が管理すべき対象を整理できます。
起点 | 主な侵入手法 | 主な影響範囲 | 情シス部門の管理対象 |
|---|---|---|---|
ソフトウェア | 更新プログラム、OSS、ビルド環境の改ざん | 同一製品の利用企業へ広範囲に波及 | ソフトウェア台帳、SBOM、更新元、脆弱性対応 |
サービスプロバイダー | 保守用ID、VPN、クラウド管理権限の窃取 | 接続先の顧客環境、委託データ | 特権ID、MFA、接続時間、操作ログ、再委託管理 |
ハードウェア | 機器のファームウェア改ざん、製造・輸送段階の不正混入 | 端末・ネットワーク機器を起点とした長期侵害 | 調達先、機器台帳、保守契約、ファームウェア更新 |
ソフトウェア起点の攻撃
正規の署名や更新経路を悪用するため、利用者側では通常のアップデートに見えることがあります。開発委託をしている場合は、ソースコード管理、ビルド権限、依存ライブラリ、リリース承認を分け、SBOMを受領できる契約条件にすると、脆弱性発生時の調査が速くなります。
サービスプロバイダー起点の攻撃
MSP、クラウド運用事業者、業務委託先が持つ高権限アカウントを奪い、顧客環境へ侵入する手口です。委託先の接続元IPを固定し、MFAを例外なく適用し、共有管理者IDを個人IDへ置き換えると、誰がいつ何をしたかを追跡できます。
ハードウェア起点の攻撃
ネットワーク機器、サーバー、端末のファームウェアや調達経路が狙われます。頻度はソフトウェアや認証情報を狙う攻撃より把握しにくい一方、侵害された場合は再インストールだけで除去できないことがあります。保守期限切れ機器を台帳から抽出し、更新計画を持たない機器はネットワーク分離の対象にします。
▶ 関連記事: サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）とは？評価項目・いつから始まるかを情シス目線で解説
国内事例と失敗パターン
国内の被害事例では、外部接続、委託先管理、停止時の業務継続を別々に扱ったことが被害拡大につながっています。
イセトーのランサムウェア被害
印刷・情報処理を受託するイセトーでは、2024年5月にVPN経由の不正アクセスが発生し、イセトー自身がランサムウェア被害を受けました。その結果、委託元（豊田市、クボタ、公文教育研究会など）から預かっていた数十万件規模の個人情報が漏えいしたと報じられました。この事例では、受託者（イセトー）のアクセス経路と、委託データの保管・復旧の設計が事業リスクになります。
情シス部門では、委託先へ渡すデータを最小化し、委託先ごとに接続先・権限・保管期間を台帳化します。委託先が障害時に提出する連絡先、初動報告の期限、ログ保存期間も契約と運用手順に記載すると、影響調査の開始を遅らせません。
アサヒグループホールディングスの業務停止
2025年9月、アサヒグループホールディングスはランサムウェア攻撃を受け、国内の注文・出荷関連システムが停止しました。サプライチェーン攻撃ではなくとも、受発注や物流が停止すれば、取引先・販売店・顧客に連鎖的な影響が生じます。
この種の停止では、バックアップが存在するだけでは足りません。本番環境から分離され、復元手順と復元責任者が決まり、定期的に復元試験をしているかが分岐点になります。IPAの「中小企業の情報セキュリティ対策ガイドライン 第4.0版」で示された情報セキュリティ6か条でも、バックアップ取得が基本対策に加えられています。
よくある失敗パターン
やってはいけないのは、保守用の共有IDだけMFAを外す、委託先の再委託を把握しない、契約終了後もアカウントを残す、バックアップの復元試験をしない運用です。利便性を理由にした例外は、攻撃者にとって最も探しやすい入口になります。
調査票を年1回送るだけの委託先管理にも限界があります。回答内容と実際のアカウント、ネットワーク接続、資産台帳が一致しなければ、事故時に利用停止や影響確認を実行できません。委託先接続がある場合は、台帳とアクセスログを月次で突合する運用へ移します。
SCS評価制度を踏まえた対策の優先順位
SCS評価制度への備えは、認証取得を急ぐことではなく、自社と委託先の管理実態を説明できる状態に整えることから始めます。
経済産業省と内閣官房国家サイバー統括室は、2026年3月27日に「サプライチェーン強化に向けたセキュリティ対策評価制度」の制度構築方針を公表しました（出典：経済産業省プレスリリース）。制度は2026年度末頃の開始を目指しており、スキームオーナーはIPAが担う予定です（出典：経済産業省 SCS評価制度ページ）。2026年夏頃からは、中小企業の★3または★4取得に向けたサービスを試行提供する新類型の「サイバーセキュリティお助け隊サービス」実証事業が予定されています。
評価制度は整備途上のため、個社に必要となる評価レベル、対象取引、申請時期は取引先の調達条件と制度の正式案内で判断します。一方、資産把握、ID管理、脆弱性対応、委託先管理、インシデント対応は、制度開始前でも優先順位を下げる理由がありません。
対策範囲による判断
自社の状況 | 最初に整える対象 | 次に進める対策 |
|---|---|---|
外部保守者が管理者権限で接続する | 個人別ID、MFA、接続時間制限、操作ログ | 特権アクセス管理と作業承認 |
顧客情報や機密情報を委託する | 委託先・再委託先一覧、データ分類、返却・削除条件 | 定期評価と事故時の連絡訓練 |
自社開発または開発委託がある | 利用部品、提供元、バージョン、保守期限 | SBOM、脆弱性通知、リリース管理 |
情シスが少人数で監視できない | 端末更新、MFA、バックアップ、管理画面の棚卸し | 監視・初動対応を含む外部サービスの比較検証 |
EDRや脆弱性管理ツールを導入しても、アラートの一次判断者が決まっていなければ、検知が対応に結び付きません。夜間・休日を含めて社内で対応できるなら内製運用を設計し、対応できないなら通知先、隔離判断、連絡時間を契約条件に含めて外部運用を選びます。
取引先を選ぶ際にセキュリティ対策を「とても重視」「まあまあ重視」と回答した割合は、調査回答者700人の72.3%でした。また、取引先とのセキュリティ対策を既に取引条件としている、または一部で条件化が始まっているとの回答は64.3%でした。対策は防御だけでなく、取引継続の説明責任にも関わります。
▲ 自社の運用状況に応じた優先対策の判断フロー
情シス部門向けの実用チェックリスト
サプライチェーン攻撃への初動対策は、委託先一覧、特権ID、バックアップの三つを同じ週に点検することです。
以下は、PC・IT資産を管理する情シス部門が、現状を把握して優先順位を決めるためのチェックリストです。「いいえ」または「不明」がある項目は、担当者と期限を台帳に記録します。不明な状態を「対策済み」と扱わないことが、委託先管理の出発点です。
初週の確認項目
□ 委託先、再委託先、委託業務、取り扱う情報、利用SaaSを一つの一覧に記録しています。
□ 外部保守者の管理者IDは個人別であり、共有IDを使っていません。
□ 管理者ID、VPN、クラウド管理画面にMFAを例外なく適用しています。
□ 契約終了した委託先・退職者のアカウントを無効化する担当者と期限が決まっています。
□ 本番環境から分離したバックアップがあり、復元試験の記録を残しています。
1か月以内の整備項目
□ 外部接続ごとに、接続元、接続先、利用時間、必要な権限、責任者を定義しています。
□ OS、VPN機器、ネットワーク機器、業務ソフトの保守期限と更新状況を台帳化しています。
□ 委託先で事故が起きた際の連絡先、初報期限、ログ提出、再委託先への連絡範囲を契約・手順書に記載しています。
□ 利用ソフトウェアの提供元、バージョン、脆弱性情報の受信先を整理しています。
□ 端末隔離、アカウント停止、取引先連絡の判断者をインシデント手順に定めています。
判断結果による次の行動
外部保守用IDにMFAが適用されていない場合は、IDを個人別に分割し、MFA適用後に共有IDを停止します。委託先一覧に再委託先や利用サービスが含まれていない場合は、次回契約更新を待たず、情報の種類と接続有無に絞った調査票で不足情報を回収します。
バックアップの復元試験記録がない場合は、重要システムを一つ選び、復元に必要な手順、権限、所要時間を確認します。復元できれば対象システムを増やし、復元できなければ保管場所、暗号鍵、手順書、担当者のどこで止まったかを修正します。
▲ 情シス部門が推進するサプライチェーン対策の3ステップ
よくある質問
サプライチェーン攻撃に関する実務上の質問を、情シス部門の判断に必要な範囲で整理します。
サプライチェーン攻撃はいつから増えましたか
手口自体は以前からありましたが、2020年代にクラウド、リモート接続、ソフトウェア更新、外部委託が増えたことで影響が広がりました。IPAの組織向け10大脅威では2019年から継続してランクインし、2023年から2026年は第2位です。
踏み台にされる場合と被害者になる場合の違いは何ですか
踏み台にされる場合は、自社のアカウントや接続を経由して取引先が狙われます。被害者になる場合は、委託先や利用サービスの侵害を経由して自社の業務・情報が影響を受けます。両方を防ぐには、外部接続の最小権限化と委託先の可視化を並行します。
中小企業でもSCS評価制度への対応は必要ですか
制度は2026年度末頃の開始を目指して整備中であり、全企業に同じ時期・同じ評価が必要になるとは公開情報だけでは確認できません。発注元から対策状況の提示を求められた場合に備え、資産台帳、MFA、バックアップ、委託先一覧を整えておけば、要求水準に応じて不足項目を判断できます。
まとめ
サプライチェーン攻撃は、取引先や委託先の弱点を経由して侵入するため、自社の端末対策だけでは防ぎ切れません。IPAは2026年もこの脅威を組織向け第2位に位置付けています。明日からは、管理者アカウントにMFAの例外がないか、委託先・再委託先と利用サービスを一覧化できているか、バックアップを復元できるかの順に確認します。外部接続がある場合は、個人別ID、接続時間制限、操作ログを整え、踏み台になる経路を減らします。
本記事の内容に誤り等がございましたら、こちらからご連絡ください。
監修
Admina Team
情シス業務に関するお役立ち情報をマネーフォワード Adminaが提供します。
SaaS・アカウント・デバイスの管理を自動化し、IT資産の可視化とセキュリティ統制を実現。
従業員の入退社対応や棚卸し作業の工数を削減し、情報システム部門の運用負荷を大幅に軽減します。
中小企業から大企業まで、情シス・管理部門・経営層のすべてに頼れるIT管理プラットフォームです。
