中小企業を狙うサプライチェーン攻撃とは？取引先経由で被害が広がる新たな脅威

「うちは小さい会社だから、大企業向けのサイバー攻撃は関係ない」

実は、この考え方こそが攻撃者に狙われる最大の理由です。

近年急増している「サプライチェーン攻撃」は、セキュリティが強固な大企業を直接狙うのではなく、その取引先である中小企業を踏み台にして侵入する手口です。つまり、中小企業は「被害者」であると同時に、「攻撃の経路」になってしまう可能性があります。

IPA（情報処理推進機構）の「情報セキュリティ10大脅威2025」では、「サプライチェーンの弱点を悪用した攻撃」が7年連続で上位にランクインしており、2023年から2025年にかけては2位に位置しています。もはや他人事ではありません。

① サプライチェーン攻撃とは何か

「サプライチェーン」とは、商品やサービスが顧客に届くまでに関わる、仕入れ先・製造業者・委託先・取引先などのつながり全体のことです。

サプライチェーン攻撃とは、このつながりの中でセキュリティが手薄な会社を入口にして、最終的に大企業や重要な組織に侵入する攻撃のことです。

イメージとしてはこうです。

攻撃者の狙い：
大企業（セキュリティが強固）→ 直接攻撃は難しい 　
↓
取引先の中小企業（セキュリティが手薄）→ ここから侵入 　
↓
中小企業を踏み台にして大企業のネットワークへ

中小企業は気づかないうちに、攻撃の「通り道」にされてしまいます。

② 実際に起きている被害事例

事例1：印刷・情報処理業者への攻撃で150万件の個人情報が漏えい
2024年5月、全国の自治体や企業から印刷・情報処理業務を受託していた業務委託先企業がランサムウェア攻撃を受け、委託元から預かった個人情報が流出する事件が発生しました。少なくとも約150万件の個人情報が漏洩した可能性があると報告されています。調査の結果、VPN機器の脆弱性を悪用した不正アクセスが攻撃の起点となっていました。 

事例2：委託先への攻撃が委託元にも波及
2024年5月、情報処理業のある企業はVPN経由の不正アクセスを受け、端末やサーバー等がランサムウェア攻撃を受けました。攻撃者が窃取したとされる情報がリークサイトに掲載され、業務委託元の組織から情報漏えいに関するお知らせが多数公表され、自治体だけでも約50万件以上の個人情報の漏えいが判明しています。また、業務委託元の1組織からは損害賠償請求を行う予定も報告されています。 

これらの事例に共通しているのは、攻撃を受けた会社は「被害者」でありながら、取引先への被害拡大の「原因」にもなってしまったという点です。

③ 中小企業が狙われる3つの理由

1. セキュリティ対策が手薄

防御が手薄な企業ほど攻撃の踏み台にされやすい現実があり、「規模が小さい＝安全」ではありません。大企業は強固なセキュリティ対策を持っているため、直接攻撃が難しい。だからこそ攻撃者は、その取引先である中小企業を狙います。

2. 大企業とのネットワークにつながっている

取引先として大企業のシステムやネットワークに接続している中小企業は、そのつながりが侵入経路になります。「うちは小さい会社だから」と油断していても、大企業への「扉」を持っているという点で標的になり得ます。

3. 被害に気づくのが遅い

攻撃者は侵入後、すぐには動きません。しばらく社内のネットワークを観察し、取引先への侵入経路を探ります。この間、被害を受けた中小企業は何も気づいていないケースがほとんどです。

④ 被害を受けたとき、会社はどうなるか

サプライチェーン攻撃で自社が踏み台にされた場合、以下のような事態が起きます。

• 取引先への損害賠償を求められる

• 取引を打ち切られる

• 会社の信用・ブランドが失墜する

• 業務が停止し、売上が失われる

攻撃を受けた企業は被害者でありながら「加害者」になる点が最も恐ろしく、自社から取引先の機密情報が漏洩してしまったら、企業の社会的信用の低下や、金銭面の多大な損害は免れません。

⑤ 中小企業が今日からできる対策

難しいことから始める必要はありません。
以下の基本対策を順番に整えていきましょう。

1️⃣ OSやソフトウェアを常に最新の状態に保つ

古いVPN機器や更新されていないOSは、攻撃の入口になります。
アップデートを怠らないことが、最も基本的かつ効果の高い対策です。

2️⃣ パスワードの強化と二段階認証の導入

VPN・メール・クラウドサービスへの不正アクセスを防ぐために、強固なパスワードと二段階認証を設定しましょう。

3️⃣ 社内のアクセス権限を必要最小限にする

業務に必要なシステムにしかアクセスできない状態にしておくことで、万が一侵入されても被害の拡大を抑えることができます。

4️⃣ 不審なメールへの対応ルールを整備する

サプライチェーン攻撃の多くは、フィッシングメールや不審な添付ファイルが入口になります。社員全員が適切に対応できるルールを周知しておきましょう。

5️⃣ 取引先からセキュリティ対策を求められる時代に備える

経済産業省では、サプライチェーン全体のセキュリティ水準を可視化する「サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）」の構築を進めており、今後は取引先企業からセキュリティ対策の実施を求められる機会が増えることが見込まれます。セキュリティ対策は「コスト」ではなく、「取引継続のための条件」になりつつあります。

まとめ：「うちは関係ない」が、最も危険な状態

サプライチェーン攻撃は、自社が大企業でなくても、取引先とつながっている限り無関係ではありません。
「踏み台にされる」
「加害者になってしまう」
というリスクを正しく理解し、基本的な対策から始めることが、自社と取引先を守ることにつながります。

まず今日、社内のOSアップデートとパスワードの状況を確認するところから始めてみてください。

📖 参考情報

📖 あわせて読みたい

💬 ご相談はこちら

ITワークラボでは、中小企業向けに

• サプライチェーン攻撃対策のセキュリティ診断

• 社内セキュリティルール整備・社員研修

• インシデント発生時の初動サポート

などをサポートしています。
「うちは大丈夫か確認したい」という段階でも、お気軽にご相談ください。初回相談は無料です。