サプライチェーン攻撃は、取引先や委託先、子会社、ITベンダーなどを経由して標的企業へ被害を及ぼすサイバー攻撃です。自社のセキュリティ対策を強化していても、関係企業の弱点を突かれることで被害が及ぶ可能性があります。

被害は情報漏えいやシステム停止だけにとどまりません。生産や受発注の停止、復旧費用、顧客・取引先への対応、信用低下など、事業全体へ影響が広がるおそれがあります。

また、自社が攻撃の入口となり、委託元・取引先・顧客などへ被害が連鎖し、事業や信用面まで影響が及ぶ可能性もあります。

こうしたリスクを踏まえ、企業には自社だけでなく取引先を含めた対策が求められています。

本記事では、サプライチェーン攻撃によって生じる具体的な被害や損失、SCS評価制度との関係、企業が行うべき技術・人的対策について解説します。

サプライチェーン攻撃は、取引先や委託先、利用しているソフトウェアやサービスなどを経由して標的企業へ侵入する攻撃です。一社の侵害を起点として、委託元や取引先、同じソフトウェアやサービスを利用する企業などへ被害が連鎖的に広がる可能性があります。

また、自社が侵害された場合、自社に付与されたアクセス権や企業間の接続経路が悪用され、別の取引先へ被害を広げる側になる可能性もあります。サプライチェーン攻撃では、被害を受けるリスクだけでなく、自社が攻撃の中継点になるリスクも考える必要があります。 

攻撃者は、本来の標的ではなく、取引先や業務委託先など、比較的侵入しやすい企業を最初に狙う場合があります。窃取したアカウントや企業間の接続経路を利用し、委託元や親会社のシステムへ侵入する手口です。

子会社やITベンダーなど、自社システムへのアクセス権を持つ企業も侵入口になり得ます。そのため、自社だけでなく、取引先に付与している権限や接続経路、セキュリティ対策の状況まで確認する必要があります。

攻撃者がソフトウェアの開発・更新プロセスへ侵入し、正規のソフトウェアやインストーラーに不正プログラムを混入させる場合もあります。利用企業が正規の更新だと認識して導入するため、同じ製品を使う複数企業へ被害が広がる可能性があります。

また、SaaSや認証サービスなど、多くの企業が共通して利用するITサービスが侵害されれば、一社のサービス事業者への攻撃が多数の顧客企業へ影響するおそれがあります。

取引先や提携企業を装ったフィッシングメールを通じて、不正な添付ファイルやURLを開かせたり、偽サイトへ認証情報を入力させたりする手口もあります。

普段からやり取りしている相手を装われると、従業員が信用しやすい点に注意が必要です。

「知っている取引先だから安全」と判断してしまうと、窃取された認証情報を使って企業間の接続を悪用される可能性があります。

システム管理だけでなく、不審な依頼に気付き、確認・報告できる従業員教育も重要です。

サプライチェーン攻撃の影響は、情報漏えいやシステム停止にとどまりません。売上減少、復旧・調査費用、顧客対応、信用低下など、事業や業績に幅広い損失を与える可能性があります。

基幹システムや生産設備に関わるシステムが停止すると、受発注、生産、出荷、顧客対応などの業務を継続できなくなる可能性があります。復旧が長引けば、納期遅延やサービス停止によって顧客や取引先の業務にも影響が広がります。

こうした業務停止は、売上減少や逸失利益につながります。復旧費用だけでなく、本来得られるはずだった受注や取引機会を失うことも大きな損失です。

委託先やクラウドサービスへ預けた顧客情報のほか、契約書、設計資料、取引情報などが窃取される可能性があります。自社が直接侵入されていなくても、委託先への侵害によって情報漏えいの当事者になる場合があります。

流出した顧客・取引先情報はフィッシングやなりすましに、認証情報は不正アクセスへ悪用されるおそれがあります。企業には、流出範囲の調査に加え、必要に応じて顧客や取引先への通知・説明も求められます。

被害発生後は、原因や影響範囲を調べるフォレンジック調査、システムの復旧・再構築、再発防止のためのセキュリティ対策などに費用がかかります。

さらに、外部専門家への依頼や、法務・広報対応の費用、顧客や取引先への説明・問い合わせ対応も必要です。情報システム部門だけでなく、営業や経営層などが通常業務を中断して対応することで生じる人的コストも無視できません。

自社を経由して取引先へ被害が広がれば、セキュリティ対策が不十分だったとみなされ、信用を損なう可能性があります。

特に、顧客の情報やシステムを扱う委託先やITベンダーでは、契約更新や新規取引の際に対策状況を厳しく確認されることがあります。

また、サイバー攻撃による納品遅延などが業績へ影響することもあります。

サプライチェーン攻撃は、復旧費用だけでなく、将来の取引機会や売上を失う経営リスクとして捉えることが重要です。

SCS評価制度（サプライチェーン強化に向けたセキュリティ対策評価制度）は、2026年度末ごろの開始が予定されている制度です。サプライチェーンを構成する企業のセキュリティ対策状況を共通の基準で評価・可視化し、委託元が委託先の対策状況を確認しやすくすることを目的としています。

なお、SCS評価制度では、特定のセキュリティ製品の導入を必須とするのではなく、定められた要求事項・評価基準を満たしているかを評価します。

今後は、セキュリティ対策が「攻撃を防ぐため」だけでなく、取引先から信頼を得て継続的な取引につなげるうえでも一層重要になると考えられます。

SCS評価制度の仕組みや評価基準、企業に求められる対応については、以下の記事で詳しく解説しています。

サプライチェーン攻撃のリスクを低減し、被害拡大を抑えるには、自社だけでなく取引先も含めて、技術・運用・人的対策を整える必要があります。

特に、取引先との接続や権限を適切に管理し、万一の際に早期対応できる体制を作ることが重要です。

OSやVPN機器などの脆弱性管理、多要素認証、EDR（PCやサーバーなどの端末での脅威を検知・対応する仕組み）やログ監視、アカウント・アクセス権限の管理、ネットワーク分離、バックアップなど、基本的な技術対策を継続して実施します。委託先が自社システムへアクセスできる場合は、接続範囲や権限を必要最小限にすることも重要です。

また、自社だけでなく取引先の対策状況も定期的に確認します。取引先の対策状況を確認する際には、各企業のセキュリティ対策を共通の基準で評価・可視化するSCS評価制度も関係します。 

委託先や取引先でサイバー攻撃が発生した場合に備え、連絡先や報告のタイミングをあらかじめ決めておきます。どの段階で自社へ報告するのかに加え、必要に応じて接続やアカウントを停止する基準も明確にします。

情報漏えいが発生した場合の顧客・取引先への通知方法も整理し、定期的に連絡網や対応手順を確認します。被害発生後に役割分担を考えるのではなく、平時から関係企業を含めた対応体制を整えておくことが重要です。

サプライチェーン攻撃では、実在する取引先や担当者が攻撃に悪用される場合があります。そのため、取引先から届いたメールでも、不審な添付ファイルやURL、突然のアカウント情報・送金・設定変更の要求には注意が必要です。

不審なログイン通知や覚えのない多要素認証の要求があった場合は、すぐに報告するよう周知します。

従業員自身も攻撃の入口になり得ることを理解してもらい、技術対策をすり抜けた攻撃に対する最後の歯止めとなる判断力を高めることが重要です。

「不審なメールに注意する」と伝えるだけでは、実際の業務中に正しく判断できるとは限りません。取引先や業務連絡を装った攻撃を実務に近い形で疑似体験し、「不審な点に気付く・操作を止める・報告する」までを練習することが有効です。

『セキュアプラクティス®』では、フィッシング詐欺、標的型攻撃メール、ランサムウェアなどを題材としたシナリオを用意しています。サプライチェーン攻撃の入口になり得る複数の手口を幅広く学び、管理者側で履修状況を確認しながら、継続的な教育につなげることができます。

サプライチェーン攻撃は、委託先や子会社、ITベンダーなどを経由して被害が広がる点が大きな特徴です。被害は情報漏えいだけでなく、システム停止による売上減少、復旧・調査費用、信用低下などに及び、自社が攻撃の入口となれば顧客や取引先にも損害を与える可能性があります。

こうしたリスクに備えるには、脆弱性管理や多要素認証、アクセス権限の管理などの技術対策に加え、取引先のセキュリティ状況の確認や、関係企業を含めたインシデント対応体制を整えることが重要です。

また、SCS評価制度によって、企業間でセキュリティ対策の状況を共通の基準で可視化する仕組みの構築も進められています。

ただし、取引先を装ったメールなど、技術対策だけでは防ぎきれない攻撃もあります。

『セキュアプラクティス®』では、フィッシング詐欺や標的型攻撃メール、ランサムウェアなどを題材としたさまざまなシナリオを用意しています。

サプライチェーン攻撃のリスクを低減し、被害拡大を抑えるには、安易な思い込みを捨て、「気付く・止まる・報告する」という行動を組織内に定着させることが重要です。