サプライチェーン攻撃とは？
事例・対策・今やるべき準備と評価制度対応を大企業向けに解説
最新更新日: 2026/9/7
近年、サイバー攻撃の手口は大きく変化しています。強固なセキュリティ対策を敷く大企業を直接狙うのではなく、取引関係にある委託先や子会社を経由して侵入する「サプライチェーン攻撃」の急増が深刻な課題です。
狙われた大企業だけでなく、踏み台として悪用された企業も社会的信用の失墜や取引停止、損害賠償など、経営を揺るがす事態に直面します。さらに経済産業省は、新たな公的枠組みとして「サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）」の構築を進めており、セキュリティの対策状況が企業の重要な取引条件になりつつあります。
本記事では、サプライチェーン攻撃の最新手口と新制度の全体像を整理します。そのうえで、従来のセキュリティチェックリスト方式による管理から脱却し、評価制度に基づく準備と、侵入を前提とした技術的防御へシフトするための具体的なステップを解説します。
目次
- サプライチェーン攻撃とは？代表的な手口と企業が直面するリスク
- 実際に起きたサプライチェーン攻撃事例と経営インパクト
- なぜ従来のセキュリティ対策では防ぎきれないのか
- サプライチェーン時代に求められる新しい対策の考え方
- 制度化が進むサプライチェーンセキュリティ対策
- まず何から着手すべきか／おすすめの4STEP
- ロードマップを実現する認証基盤とは？
- サプライチェーン攻撃に関するよくある質問
- まとめ
サプライチェーン攻撃とは？代表的な手口と企業が直面するリスク
サイバー攻撃において「対策されているところを直接狙わず、対策が薄く攻撃しやすいところから迂回する」という戦略は、攻撃者の常套手段となっています。その典型がサプライチェーン攻撃です。自社のシステムに問題がなくても、関連のあるグループ会社や外部企業が侵害されるだけで自社を含むサプライチェーンが危険にさらされる点が、この攻撃の最大の脅威です。
サプライチェーン攻撃の定義
サプライチェーン攻撃とは、標的企業を直接攻撃するのではなく、その企業とつながりのある取引先・委託先などを経由してシステムへ侵入する攻撃です。大企業はセキュリティ対策が強固なため、攻撃者はまず防御が比較的手薄な関連企業を侵害し、そこを足場として本命企業への侵入経路を確保します。
委託先の正規アカウントや正規の通信経路を通じて侵入するため、受け手側は不審な挙動に気付きにくく、発見が遅れる要因となります。この「信頼している相手を経由する」という特性が、サプライチェーン攻撃を従来のセキュリティ対策で検知しにくくしている根本的な理由です。
なぜサプライチェーン攻撃が急増しているのか
急増の背景には、主に2つの要因があります。1つ目は、DX（デジタルトランスフォーメーション）の進展に伴い、企業間のシステム連携やSaaS利用が飛躍的に拡大し、攻撃者にとっての入口が増加した点です。2つ目は、大企業のセキュリティが強固になったことで、攻撃者が正面突破を諦め、「守りが甘い委託先から迂回して侵入するほうが効率的」と判断するようになった背景が挙げられます。
代表的な攻撃パターン
● 取引先・委託先のアカウント悪用
委託先などのメールアカウントを侵害し、実在する担当者になりすまして不正ファイルや不審なURLを含むメールを標的企業へ送付する手口です。標的側の担当者が「知っている相手からの連絡」と信頼して開封してしまう心理の隙を突くことで、容易に社内ネットワークへの侵入を許してしまいます。
● 保守ベンダーを踏み台にした侵入
ターゲット企業のシステムをリモート保守しているベンダーへ侵入し、VPN認証情報などを窃取するパターンです。保守ベンダーは業務上、標的企業の重要システムへのアクセス権を保有しているケースが多く、一度侵害されると被害が広範囲に及びます。
● SaaS・クラウド連携の悪用
Microsoft 365などの偽ログイン画面へ誘導し、管理者のID・パスワードを窃取する手口です。攻撃者は乗っ取ったアカウントでSaaSへログインし、SSO（Single Sign-On｜シングルサインオン）やAPI権限を悪用してメール、ファイル、顧客情報へアクセスします。そこから、別の取引先へのなりすましメール送信や標的企業へのさらなる侵入へと被害を連鎖させます。SaaS間の連携が深いほど、一点突破からの被害拡大が加速しやすい攻撃です。
こうした多様な手口を正しく理解し、「信頼している外部要素のすべてがリスクになり得る」という前提に立つことが、実効性のある対策への第一歩です。
実際に起きたサプライチェーン攻撃事例と経営インパクト
サプライチェーン攻撃は、特定の業種や規模の企業だけに起こる問題ではありません。製造業、医療、物流という日本経済の根幹をなす分野でも深刻な被害が現実に発生しています。
大手自動車メーカーの事例
2022年2月、ある自動車部品サプライヤーがランサムウェア攻撃を受けた影響で、取引先の国内14工場・28ラインが停止し、約1万3,000台の生産に影響が及びました。この事案では、部品サプライヤーが攻撃を受ける→取引先への部品供給・受発注システムに影響が生じる→完成車メーカーの生産ラインが停止する、という連鎖が起きました。サプライヤー1社への侵害が、完成車メーカーの生産停止という重大な社会的・経済的インパクトに直結した代表例です。
医療センターの事例
2022年10月、ある医療センターがランサムウェア被害を受け、電子カルテシステムが使用不能になりました。新規外来患者の受け入れ停止、入院患者の一時退院・転院など、地域医療に深刻な影響が生じています。攻撃の侵入経路は委託先の給食事業者であり、給食事業者のシステムが侵害される→医療センターとの接続経路を通じて侵入する→電子カルテなどのシステムが使用不能になる、という経路をたどりました。
参考：警察庁「サイバー事案の被害の潜在化防止に向けた検討会報告書2023」P.5
港湾の事例
2023年7月、ある港湾システムがランサムウェア感染を受け、コンテナ搬出入業務が停止しました。港湾システムが感染する→コンテナ搬出入システムが停止する→物流業・製造業など幅広い業種の業務が連鎖的に停止する、という二次被害が発生し、直接の被害企業以外の多数の企業が影響を受けました。
参考：国土交通省「港湾分野における情報セキュリティ確保に係る安全ガイドライン（第3版）」
これら3つの事例が共通して示すのは、被害が自社の情報流出やシステム停止にとどまらない点です。システムが止まることで取引先や社会全体に二次被害が拡大し、場合によっては自社が攻撃の加害者と見なされるリスクもあります。こうした現実は、従来の対策だけでは防ぎきれないことも示しています。
なぜ従来のセキュリティ対策では防ぎきれないのか
多くの企業が一定のセキュリティ対策を講じているにもかかわらず、サプライチェーン攻撃の被害は後を絶ちません。その背景には、従来の防御策が現代の巧妙な攻撃手法に対して構造的に適合していないという問題があります。
境界型防御の限界と「内側は安全」という神話の崩壊
従来のセキュリティは、社内ネットワークの外側に強固な壁（ファイアウォールやVPN）を設け、外部の脅威を遮断する「境界型防御」の考え方に基づいていました。しかし現代の攻撃では、VPN装置自体の脆弱性を突いた侵入や、正規の保守用アカウントの悪用が常態化しています。境界を「突破」するのではなく「通り抜ける」手口に対しては、境界内部での活動を制限・検知する仕組みがなければ対処できません。「内側にいる＝信頼できる」という前提はすでに崩れています。
SaaS利用の急増による「守るべき境界」の消失
現在のビジネス環境では、メール、ファイル、顧客情報、会計データなどの業務基盤がクラウド上のさまざまなSaaSに分散しています。インターネットから直接アクセスできるSaaSは、社内ネットワークを守るだけでは外部からの不正アクセスを防ぎきれません。「守るべき境界」が実質的に消失しているのです。
IDの分散とパスワード管理の構造的脆弱性
利用するSaaSが増加するほど、管理が必要なIDとパスワードの数も増えます。その結果、パスワードの使い回しや脆弱な設定が常態化しやすく、攻撃者にとって格好の侵入口となります。一方、管理者がすべての社員の個別SaaS設定状況やアクセス権限をリアルタイムに把握・制御することは、人力では不可能です。
委託先の連鎖構造による「見えないリスク」の増大
自社が直接管理できるのは、直接の契約関係にある委託先（一次請け）のみです。その先の再委託先（二次・三次請け）や、彼らが利用するSaaSまで含めたリスクを把握することは困難です。この「管理の届かない連鎖」のどこか一箇所でも侵害されれば、サプライチェーン全体が脅威にさらされます。医療センターの事例では侵入が給食事業者経由だったように、自社が直接把握していない接続経路が攻撃の入り口になり得ます。本質的な問題は「相手を信頼できるか」ではなく、「技術的に対策状況を検証できているか」です。
チェックシート運用という形式的な管理の限界
年1回実施するセキュリティチェックシートは、あくまで「その時点の自己申告」に過ぎず、日々進化する脅威や、実際の技術設定の不備までは見抜けません。「MFA（Multi-Factor Authentication｜多要素認証）を導入している」と回答があっても、一部のアカウントにしか適用されていないケースが実務では散見されます。ガバナンスとしては重要ですが、実効性のある防御の仕組みとしては機能しきれていないのが実態です。
「境界を守る」「相手を信じる」という過去の延長線上の対策では、現代の巧妙なサプライチェーン攻撃を阻止できません。次章では、こうした課題を克服するための新しい対策を解説します。
サプライチェーン時代に求められる新しい対策の考え方
従来の防御思想が機能しにくくなっている現代、求められるのは発想の転換です。単に対策ツールを追加するのではなく、セキュリティの根本的な考え方そのものをアップデートする必要があります。
侵入前提へのパラダイムシフト
まず受け入れるべき現実は、高度なサイバー攻撃を100%水際で防ぐアプローチは不可能だということです。すでに侵入されている事態を想定（Assume Breach）した対策を行わなければなりません。攻撃者が正規のIDやパスワードを盗み、正規ユーザーを装って侵入してくる以上、一度の認証で信頼し続ける対応は危険です。「侵入されていないと仮定して守る」のではなく、「すでに侵入されているかもしれないと仮定して検知・封じ込める」姿勢が不可欠です。
ID（アイデンティティ）を新たな境界線と再定義する
ネットワークの場所による信頼（社内＝安全、社外＝危険）が成立しにくくなった今、新たな境界線として機能するのがIDです。正しいIDを保有し、許可されたデバイスからアクセスしているかを常に検証する「ID中心の防御（Identity-first）」への転換が求められます。場所や接続方法にかかわらず、すべてのアクセスをIDで制御すれば、SaaSへのアクセスも委託先からの接続も、同じ基準で管理できるようになります。
ゼロトラスト・アーキテクチャの3大原則
こうした考え方を体系化した概念が「ゼロトラスト・アーキテクチャ」です。その本質は、以下の3つの原則にあります。
- 決して信頼せず、常に検証する（Never trust, always verify）
ネットワーク内外を問わず、すべてのアクセスを継続的に検証します。一度認証されたアカウントであっても、その正当性を確認し続ける仕組みです。
- 最小権限の原則
ユーザーやシステムに付与する権限を、業務に必要な最小限にとどめます。万が一アカウントが侵害されたとしても、攻撃者が悪用できる権限の範囲を最小化できます。
- 通信の可視化と継続的な監視
「誰が・いつ・どこから・何にアクセスしたか」を常に記録・監視します。異常な挙動を早期に検知し、迅速に対処するための基盤となります。
関連記事：ゼロトラストとは？ メリット・デメリット、課題と解決策を解説
管理（ガバナンス）と技術（テクノロジー）の融合
ゼロトラストを概念として理解するだけでは不十分です。取引先から提出されたセキュリティチェックシートの回答を鵜呑みにするのではなく、自社システム側で「誰がアクセスできるのか」を技術的に制御し、証跡（ログ）を残す仕組みを構築することが重要です。ガバナンス（管理）と、それを支えるテクノロジー（技術）の両輪が揃ってはじめて、サプライチェーン攻撃への実効性のある防御が成立します。
相手を信じる前提の管理から、自社における動的な検証（ゼロトラスト）へと対策の軸を移し、IDを強固に管理・制御することが、サプライチェーン攻撃の連鎖を断ち切る解決策です。
図1 サプライチェーン時代に求められるセキュリティ構造の違い
制度化が進むサプライチェーンセキュリティ対策
サプライチェーン攻撃では、対策の薄い企業が踏み台となり、取引先やグループ企業全体へ被害が波及するリスクがあります。そのため政府は、「サプライチェーン強化に向けたセキュリティ対策評価制度」の開始により、個社単位ではなくサプライチェーン全体のセキュリティ水準を底上げする方向へ舵を切り始めました。
制度の概要：2026年度末以降、何が変わるのか
現在、経済産業省やIPA（情報処理推進機構）を中心に、企業のセキュリティ対策状況を可視化・評価する枠組みの構築が進められています。この制度では、各企業が用意したセキュリティチェックシートへの回答による自己申告だけでなく、以下のような実効性のある対策の実施状況が評価される見込みです。
- ID・アクセス管理：誰がどのシステムにアクセスできるかを適切に制御しているか
- MFA（多要素認証）：パスワードだけに頼らない認証の仕組みを導入しているか
- インシデント対応：攻撃を受けた場合の検知・対応・復旧の体制が整っているか
- 運用体制の構築：セキュリティ対策を継続的に運用するための体制・責任者が設置されているか
制度への対応は必要なのか
法的な強制力はありませんが、大企業を中心に、取引先、委託先、子会社に対して新制度に準じたセキュリティ対策が求められるケースが増加すると考えられます。
発注企業は委託先管理の強化がより重要になる
一方で、サプライチェーン対策の強化は、取引先にセキュリティを強いるだけの「守りの義務」にとどまりません。委託先を管理・統制する側（発注側）の企業にとっても、極めて大きな経営メリットをもたらします。
最大のリターンは、自社のビジネス基盤そのものの「事業継続性（ビジネスレジリエンス）」が担保される点です。小島プレス工業の事例が示すとおり、サプライチェーンを構成する外部委託先のわずか1拠点が停止するだけで、自社の生産ラインや基幹サービスが完全にストップし、数億円規模の機会損失が生じます。技術的な実装状況を検証して委託先の安全性を担保する取り組みは、自社の致命的な業務停止リスクを未然に防ぐ投資です。
さらに、2026年度末の新制度を見据えて、自社のサプライチェーン全体の堅牢性を客観的に証明できれば、市場や株主、グローバルな取引先に対して、ガバナンスの行き届いた安全な企業としてのブランド価値を明示できます。対策の徹底は、自社のレジリエンスを高め、新たな市場を勝ち取るための競争優位性へと昇華します。
受託企業もSCS評価制度を意識した対策が重要になる
一方、受託企業にとってもSCS評価制度への対応は重要です。今後は発注企業が委託先のセキュリティ対策状況を確認する機会が増えることが予想されるため、自社の対策状況を説明できる体制が求められます。制度開始に向けて自社の現状を把握し、必要な対策を確認しておく必要があるでしょう。
関連記事 経産省のセキュリティ対策評価制度とは？★3・★4の取得へ向けた準備（5月制作記事）
まず何から着手すべきか／おすすめの4STEP
サプライチェーン攻撃の増加や制度化の流れを受け、何から対策を始めればよいかと悩む企業は少なくありません。すべてを一度に対応することは難しく、重要なのは現在の攻撃手法と制度の方向性を踏まえ、侵入口になりやすい部分から優先的に対応を進めることです。近年の攻撃ではVPNやSaaSへの正規アカウントによる侵入が主流であるため、まず優先すべきは認証基盤の強化です。
STEP 1：ID統合と多要素認証（MFA）の徹底（最優先：即時実施）
現在、多くの企業ではVPNなどのネットワーク、Microsoft 365、Google Workspace、各種SaaSといったツール、そしてそれぞれの管理者アカウントなどが個別に管理されており、パスワードの使い回しや管理漏れが発生しやすい状態です。近年のサプライチェーン攻撃では、盗まれたID・パスワードを用いた正規ユーザーを装う侵入が目立ちます。まず認証基盤を統合し、MFAをすべてのアカウントに標準適用することを最優先で進めましょう。MFAの導入だけでも、正規アカウントを悪用した侵入の大部分を阻止できます。
STEP 2：コンテキストに応じたアクセス制御の導入
次に重要なのは、「誰でも・どこからでもアクセスできる状態」を見直すことです。ゼロトラストの考え方では、誰が・どの端末から・どこへ・どの権限でアクセスするかを継続的に検証します。管理端末以外からのアクセス制限、海外IPからのアクセス遮断、深夜帯の異常アクセスの制御、管理者権限の最小化といった対策を実装すれば、仮に認証情報が盗まれても被害の局所化が可能です。
STEP 3：ログ監視と可視化体制の整備
100%の防御が困難な以上、侵入を前提として不審な挙動を早期検知する体制の整備も急務です。ログの一元管理、アクセス履歴の可視化、不審ログインの自動検知、アラート通知の仕組みを構築し、「誰が・いつ・何へアクセスしたか」を追跡できる状態の確立を目指します。この体制は、インシデント発生時の迅速な対応と原因究明の精度向上にも直結します。
STEP 4：委託先管理の技術的検証へのシフト
これまでの委託先管理は、年1回のセキュリティチェックシートによる運用が中心でした。しかし今後は、VPN接続の制限、MFAの適用状況、委託先ごとの権限分離、アクセスログの確認、利用端末の制御など、アクセスそのものを技術的に管理できているかを提示する運用の実装が求められます。このステップは実装のハードルが高いため、まずはSTEP 1〜3を確実に完了させてからの着手を推奨します。
2026年度末の制度開始に向けて、認証基盤という土台から着手し段階的に防御を深めていくことが、確実な制度対応と実効性の高いセキュリティを両立させる近道です。
ロードマップを実現する認証基盤とは？
6章で解説したSTEP 1〜4を実現するには、それを支える認証基盤の整備が不可欠です。しかし、限られた体制のなかで機能の選定・導入・運用をどう完結させるかが、多くの企業にとっての現実的な課題となります。
サプライチェーン対策で求められる主要機能
認証基盤には、特に以下の機能が求められます。なかでも、正規アカウントの悪用を防ぐID・アクセス管理は、最重要の防衛線です。攻撃者が正規の認証情報で侵入してくる以上、IDの管理と制御の成否が企業の命運を握ります。
表1 サプライチェーン対策で求められる主要な機能
| 機能 | 主な役割 |
| MFA（多要素認証） | 認証情報の盗用による不正ログインを防止 |
| SSO（シングルサインオン） | IDの一元管理、認証の統合 |
| ID統合管理 | 社員・委託先・退職者アカウントの一元管理 |
| アクセス制御 | 端末・場所・時間に応じた細かな制御 |
| ログ監視 | アクセス履歴の記録と不審行動の検知 |
| SaaS連携 | 主要クラウドサービスとの認証統合 |
| 委託先アカウントの管理 | 外部アクセスの技術的な制御、証跡管理 |
個別運用では管理が破綻しやすい
これらの機能を個別の製品で管理したり、手動で設定を繰り返したりする運用は、設定漏れ（一部のSaaSにMFAが未適用）、権限の放置（退職者アカウントの残存）、ログ確認の遅延といった深刻なリスクを招きます。堅牢な状態を維持し続けるには、人員、予算、スキルの現実を見据え、管理負荷の軽減も考慮した運用可能なプランを選択することが重要です。
ソリューション活用という選択肢
こうした運用課題を解消するための認証基盤として、HENNGE Oneの活用が挙げられます。HENNGE One は、MFA、SSO、アクセス制御、ID管理・ログ管理などの機能を有しており、効率的にセキュリティ対策を強化できるクラウド型プラットフォームです。Microsoft 365やGoogle Workspaceなど主要SaaSとの連携にも対応しており、ゼロトラスト型のアクセス管理や制度化が進むサプライチェーン対策を、分散した個別管理ではなく統合的に実装・運用できます。
サプライチェーン攻撃に関するよくある質問
こうした運用課題を解消するための認証基盤として、HENNGE Oneの活用が挙げられます。HENNGE One は、MFA、SSO、アクセス制御、ID管理・ログ管理などの機能を有しており、効率的にセキュリティ対策を強化できるクラウド型プラットフォームです。Microsoft 365やGoogle Workspaceなど主要SaaSとの連携にも対応しており、ゼロトラスト型のアクセス管理や制度化が進むサプライチェーン対策を、分散した個別管理ではなく統合的に実装・運用できます。
中小企業でもサプライチェーン攻撃への対策は本当に必要ですか？
企業の規模を問わず、一刻も早い対策が必要です。
中小企業は大企業と取引するサプライチェーンの一員であることが多く、攻撃者からは防御が手薄な入口として標的にされます。2026年度末を予定している新制度の開始以降は、大企業からの取引条件として、公的な基準を満たすセキュリティ対策の実施を求められるケースが増える可能性があります。
委託元としてはセキュリティチェックシートで委託先を確認していれば十分ですか？
残念ながら、書面のみの管理では不十分です。
セキュリティチェックシートはあくまで調査時点の自己申告に過ぎず、日々変化する現場のリアルタイムな技術設定の不備までは見抜けません。「MFAを導入済み」と回答されていても、一部のアカウントへの適用が漏れているケースが実務上多発しています。書面管理に加えて、技術的なアクセス制御や証跡管理の確認を組み合わせることが重要です。
まずどこから対策を始めればよいですか？
最も優先度が高いのはMFA（多要素認証）の全社適用です。
MFAは費用対効果が高く、正規アカウントを悪用した侵入の多くを防げます。これを最初のステップとし、SSOによるID管理の一元化、アクセスログの可視化と監視体制の整備へと進めることを推奨します。具体的なステップの詳細は、本記事の6章をご確認ください。
制度対応にはどのくらいの期間と費用がかかりますか？
現状の対策レベルにより異なりますが、統合ソリューションの活用で負荷を大幅に軽減できます。
統合型クラウド認証基盤を活用すれば、自前でゼロトラスト環境を構築する場合に比べて、期間・コストともにハードルを大幅に下げることが可能です。まずは現状のID管理とMFA適用状況を棚卸しし、目指すべき基準とのギャップを可視化することから始めましょう。
まとめ
サプライチェーン攻撃の巧妙化が進む現在、自社だけの努力で自社を守り切ることは、もはや現実的ではありません。取引先、委託先、グループ会社を含むエコシステム全体での防御が不可欠な時代を迎えています。
対策として特に重要なのは、IDという最後の境界線で、ネットワークに侵入されたとしてもシステムが守られる状態を作り出すことです。常に侵入の可能性を想定したうえで、認証、アクセス、ログの3 要素を技術的に可視化し、健全な管理体制を維持し続ける運用の徹底が欠かせません。
攻撃手口がどれだけ巧妙化しても、IDを中心とした継続的な検証と可視化の仕組みを持つ企業は、万が一のインシデント発生時にも影響を最小限に抑え、ビジネスを迅速に回復させる柔軟性を保有できます。その積み重ねが、サイバー脅威が激化する新時代において、企業の信頼性と競争力を支え続けることになるでしょう。
HENNGE Oneは、MFAやSSO、アクセスポリシー管理をワンストップで実現する統合ソリューションです。EPPやEDRを用いた高品質なエンドポイント保護サービスもオプションとして展開しており、サプライチェーン攻撃への対策強化としてお役立て頂けますので、お気軽にご相談ください。
