サプライチェーン攻撃とは？中小企業が「踏み台」にされる手口と国内の被害事例・取引停止や損害賠償のリスクと対策【中小企業向け】
「うちは小さい会社だから、サイバー攻撃には狙われない」——この考えが最も通用しなくなっているのが、サプライチェーン攻撃です。
結論から言うと、サプライチェーン攻撃とは本命の大企業を直接攻撃せず、守りの薄い取引先や委託先を「踏み台」にして侵入する手口のことです。つまり中小企業は、自社の情報を盗まれるからではなく、取引先への入口として価値があるから狙われます。
IPAの「情報セキュリティ10大脅威 2026」でも、「サプライチェーンや委託先を狙った攻撃」は組織向けの2位で、8年連続のランクインです。1位のランサム攻撃と並んで、いま最も現実的な脅威になっています。
この記事では、攻撃の3つの型、実際に国内で起きた被害、そして自社が踏み台になってしまった場合に何を負うことになるのかを整理したうえで、中小企業が現実的に取れる対策を、費用と補助金まで含めて解説します。
サプライチェーン攻撃とは？
サプライチェーンとは、原材料の調達から製造・物流・販売までの一連のつながりのことです。最近ではこれに加えて、業務を委託している会社や、利用しているクラウドサービスまで含めて「サプライチェーン」と呼ぶことが増えています。
サプライチェーン攻撃は、この「つながり」の中で最も守りが弱いところを探して侵入し、そこを足がかりに本命の企業へ入り込む攻撃です。
攻撃者から見た理屈は単純です。大企業は年々守りを固めており、正面から突破するのは手間がかかります。一方で、その大企業と日常的にデータをやり取りしている中小の取引先は、専任の担当者がいないことも多く、比較的入りやすい。しかも取引先であるがゆえに、本命企業のネットワークやシステムに「正規のルート」でつながっている——ここが狙われます。
▶ 関連記事：IPA「情報セキュリティ10大脅威 2026」を中小企業向けに解説｜初登場のAIリスクと優先すべき対策
サプライチェーン攻撃には、どんな型がある？
大きく3つの型に分けられます。自社がどの型で巻き込まれ得るかを考えると、対策の的が絞れます。
| 型 | 何が起きるか | 中小企業の立場 |
|---|---|---|
| ビジネスサプライチェーン攻撃 | 取引先や関連会社が侵入され、そこから正規のメールやネットワーク接続を通じて本命企業へ侵入される | 自社が踏み台にされる側になりやすい |
| サービスサプライチェーン攻撃 | 業務委託先やクラウド事業者、システム保守会社が侵入され、預けていたデータが流出したり、そこ経由で侵入される | 委託する側にも、される側にもなり得る |
| ソフトウェアサプライチェーン攻撃 | 正規のソフトウェアやその更新プログラムに不正なコードが仕込まれ、導入した企業がまとめて感染する | 利用者として巻き込まれる |
中小企業がまず意識すべきは1つ目のビジネスサプライチェーン攻撃です。自社が入口にされ、取引先に被害を広げてしまうのがこの型だからです。
なぜ中小企業が狙われる？
理由は「弱いから」だけではありません。弱くて、かつ本命につながっているからです。
- 専任の担当者がいない——情報システムの担当が兼任、あるいは不在で、脆弱性の対応や監視が後回しになりやすい
- 取引先とつながる正規の経路を持っている——VPN接続、共有フォルダ、EDI、業務システムのアカウントなど
- 取引先のデータを預かっている——図面、顧客名簿、発注情報など、攻撃者にとって価値のある情報がある
- 信頼されたメールアドレスを持っている——取引先は「いつもの相手」からのメールを疑いにくい
- 被害に気づきにくい——監視の仕組みがないため、侵入されても発覚が遅れ、その間に本命へ移動される
つまり、自社に盗まれて困る情報が少ないかどうかは、狙われる理由と関係がありません。「入りやすくて、その先に価値がある」——これが攻撃者の判断基準です。
▶ 関連記事：中小企業はなぜサイバー攻撃の標的になりやすいのか？
実際にどんな被害が起きている？
国内で公表されている代表的な事例です。いずれも直接攻撃されたのは規模の小さい側で、被害が波及したのは大きい側という構図になっています。
| 発生時期 | 何が起きたか | 被害の大きさ |
|---|---|---|
| 2022年2〜3月 | 自動車部品メーカー（愛知県豊田市）のサーバーが攻撃を受け、全サーバーを停止。トヨタ自動車への部品納入処理ができなくなった | トヨタの国内全14工場28ラインが停止（日野自動車・ダイハツの工場を含む） |
| 2022年10月 | 大阪急性期・総合医療センターがランサムウェアに感染。侵入口は給食を提供していた事業者のVPN機器の脆弱性 | 電子カルテが暗号化され外来診療・検査を停止。完全復旧まで2か月強、逸失利益は数十億円規模 |
| 2024年5月 | 印刷・情報処理を受託していた企業（イセトー）がランサムウェアに感染。委託元が相次いで被害を公表 | 約307万人分の個人情報が漏えい（民間委託分 約251万人／行政機関等 約57万人） |
とくに示唆的なのは、大阪の病院の事例
この事例で侵入口になったのは、病院本体ではなく給食を提供していた事業者のVPN機器でした。「食事を作っている会社が、病院の電子カルテを止めた」と言うと極端に聞こえますが、業務上つながっている以上、経路としては成立してしまいます。
公表された報告書では、「誤った閉域網神話」——つまり「外部インターネットにつながっていないから安全だ」という思い込みによってセキュリティ意識が薄れていた点が指摘されました。実際には、全員に管理者権限が付与され、パスワードは共通、既知の脆弱性が放置されている状態だったと報じられています。
この3つの事例に共通しているのは、攻撃を受けた側が「自分が本命ではなかった」という点です。部品メーカーも、給食事業者も、印刷会社も、狙われた理由は自社の資産ではなく取引先とのつながりでした。「うちを攻撃しても大した情報はない」という前提が、そもそも成り立ちません。
▶ 関連記事：ランサムウェアとは？感染したら会社はどうなるか具体的に解説
自社が踏み台になったら、何を負うことになる？
ここが、中小企業にとって最も重要な論点です。被害者であると同時に、取引先に損害を与えた側にもなるからです。
| 負うことになるもの | 具体的に何が起きるか |
|---|---|
| 取引の停止・見直し | セキュリティ体制が改善されるまで受注を止められる。代替先に切り替えられ、そのまま戻らないこともある |
| 損害賠償の請求 | 取引先の事業が止まった、情報が漏えいしたことによる損害の賠償を求められる可能性がある |
| 調査・復旧の費用 | フォレンジック調査、復旧作業、業務停止中の逸失利益。いずれも数百万円〜の規模になり得る |
| 個人情報保護法上の報告義務 | 不正アクセスによる漏えいは1人分でも報告対象。速報はおおむね3〜5日、確報は60日以内 |
| 社会的信用の低下 | 取引先が被害を公表する際に自社名が出ることがある。採用や新規取引にも影響する |
「対策していなかったこと」が責任として問われた例
参考になるのが、2014年に東京地方裁判所で示された判断です。通販サイトの開発を受託した会社が、SQLインジェクションという既知の攻撃手法への対策を怠り、クレジットカード情報を含む個人情報が流出しました。委託元は約1億円の損害賠償を請求し、裁判所は開発会社に約2,262万円の支払いを命じています。
これはシステム開発の受託という文脈の判断ですが、示している考え方は共通です。「その時点で当然行うべき対策を行っていたか」が問われる、ということです。サポートの切れたOSを使い続けていた、既知の脆弱性を放置していた、といった状態は、この観点で不利に働きます。
あわせて確認しておきたいのがサイバー保険の免責条項です。多くの約款では「メーカーのサポートが終了したOSやソフトウェアを業務に使っていたことに起因する事故」を免責としていることがあります。踏み台にされたうえに保険も使えない、という最悪の展開を避けるため、加入中の保険がある場合は免責範囲を確認してください。
▶ 関連記事：サイバー攻撃を受けたら報告義務はある？個人情報の漏えい等報告（速報3〜5日・確報30日／60日）
▶ 関連記事：サイバー保険は本当に必要？補償範囲・保険料相場・選び方を徹底解説
侵入経路はどこが多い？
事例を並べると、入口はかなり偏っています。闇雲に対策するより、ここから塞ぐのが費用対効果の面で正解です。
| 侵入経路 | なぜ狙われるか | 優先度 |
|---|---|---|
| VPN機器・リモート接続機器の脆弱性 | インターネットに直接公開されており、更新プログラムが当たっていない機器が探索されている。近年の被害で最も多い経路 | 最優先 |
| サポートが終了したOS・機器 | 修正プログラムが出ないため、一度成立した攻撃手法が永久に使える | 最優先 |
| 取引先を装ったメール・正規アカウントの悪用 | 侵入した取引先のアカウントから送られるため、受け取る側が疑いにくい | 高 |
| 共有フォルダ・ファイルサーバー | 権限が緩く、侵入後に一気に暗号化・持ち出しされる | 高 |
| 委託先に預けたデータ | 自社の管理外にあり、相手の対策状況が見えない | 中〜高 |
とくにVPN機器とサポート終了OSは、「更新していれば防げた」タイプの被害につながります。前述の大阪の病院の事例も、入口は給食事業者のVPN機器の脆弱性でした。
▶ 関連記事：Windows Server 2016のサポート終了は2027年1月12日｜ESU費用と移行までの守り方
▶ 関連記事：法人向けリモートアクセスVPNの選び方｜方式の違い・比較と「脱VPN」ゼロトラスト・SASEへの移行
自社を守るには、何から手をつければいい？
サプライチェーン攻撃だからといって、特別な対策が必要になるわけではありません。基本的な対策を、抜けなく、継続して回せているかが問われます。優先順位をつけると次のようになります。
| 優先度 | やること | 狙い |
|---|---|---|
| 1 | インターネットに公開している機器の棚卸しと、脆弱性の解消 | 最も多い侵入経路を塞ぐ |
| 2 | サポート終了OS・機器の洗い出しと、移行または隔離 | 更新されない穴をなくす |
| 3 | EDRの導入と、24時間365日の監視 | 侵入されても、本命へ移動される前に止める |
| 4 | バックアップの取得と、隔離保管・復旧テスト | 暗号化されても業務を戻せるようにする |
| 5 | 多要素認証と、退職者アカウントの確実な停止 | 正規アカウントの乗っ取りを防ぐ |
| 6 | 従業員教育と標的型メール訓練 | 取引先を装ったメールで開かせない |
順番が重要です。1と2を放置したままEDRだけ入れても、入口が開きっぱなしなので効果が限定的になります。「侵入されないようにする」と「侵入されても広げない」は両輪ですが、費用対効果でいえば入口を塞ぐほうが先です。
どの製品を選べばいい？
上の優先順位に対応する形で、中小企業から選ばれやすい製品を比較します。費用はいずれも税別の目安です。
| 項目 | Sophos Cyber Risk Management |
SentinelOne データお守り隊 |
セキュリティお助けパック （バリオセキュア） |
クラウドバックアップ powered by Acronis |
|---|---|---|---|---|
| 対応する優先度 | 1・2（入口を塞ぐ） | 3（侵入後に止める） | 3（監視を任せる） | 4（戻せるようにする） |
| 主な機能 | 公開資産の自動発見と脆弱性管理（EASM／IASM） | EDR＋SOCによる検知・対応 | UTM＋EDR＋24時間365日監視 | サーバー・PC・NASのバックアップ |
| 24時間365日の監視 | ◎ 専門アナリストが監視 | ◎ SOCが標準で付属 | ◎ 標準 | — |
| 初期費用 | 要見積り | 0円 | 60,000円〜 | 0円 |
| 月額 | 要見積り | 1台 1,000円〜 | 9,800円〜 | 100GB 3,000円 |
| サイバー保険 | — | 最大50万円が付帯 | 最大100万円が付帯 | — |
| 情シス不在でも運用できるか | ◎ 運用ごと任せられる | ◎ SOCが対応 | ◎ 駆けつけ対応あり | ○ |
| 詳細 | 詳細を見る | 詳細を見る | 詳細を見る | 詳細を見る |
全部を一度に入れる必要はありません。まず「インターネットに公開している機器に、放置された脆弱性がないか」を確認するところからです。ここが最も多い侵入経路であり、かつ自社では気づきにくい部分だからです。
▶ 関連記事：脆弱性診断・脆弱性管理サービスの費用相場と選び方
▶ 関連記事：セキュリティ運用は外部に任せられる？MSS・SOC・MDRの違いと費用相場・選び方
委託先や取引先は、どう管理すればいい？
自社が「委託する側」になる場面もあります。その場合、委託先で起きた事故の影響は自社に返ってきます。最低限、次の項目は確認しておきたいところです。
| 確認する項目 | 確認の仕方 |
|---|---|
| どこまでのデータを預けているか | 契約書と実際の運用を突き合わせる。「いつの間にか増えている」ことが多い |
| 再委託の有無 | 再委託先まで含めて把握できているか。ここが抜けやすい |
| セキュリティ対策の実施状況 | チェックシートで年1回確認する。SECURITY ACTIONの宣言状況も指標になる |
| 事故が起きたときの連絡体制 | 「誰に・何時間以内に」連絡が来るのかを契約に書いておく |
| 契約終了時のデータの扱い | 返却または削除の方法と、その証明の取り方を決めておく |
中小企業がいきなり厳密な監査を行うのは現実的ではありません。まずはチェックシートを定型化し、契約更新のタイミングに組み込むところから始めると続きます。
拠り所になる公的なガイドライン
「どこまでやれば十分か」を自社だけで決めるのは難しいものです。その拠り所になるのが、経済産業省とIPAが公表している「サイバーセキュリティ経営ガイドライン」です。経営者が認識すべき3原則と、担当幹部に指示すべき重要10項目が示されており、その中にビジネスパートナーや委託先を含めたサプライチェーン全体の対策と状況把握が明確に位置づけられています。
取引先から対策状況を尋ねられたときに、「このガイドラインに沿って整備している」と説明できると話が早くなります。自社で一から基準を作る必要はありません。
▶ 関連記事：取引先から「セキュリティ対策の証明を求められた」ときの対応法
国の制度はどう関わってくる？
サプライチェーン攻撃への対応は、企業の自主努力だけでなく制度の面でも動いています。中小企業に関係するのは次の2つです。
| 制度 | 内容 | 中小企業との関わり |
|---|---|---|
| SECURITY ACTION | IPAが運営する自己宣言制度。無料・審査なしで、情報セキュリティ6か条などに取り組むことを宣言する | すぐできる。補助金の申請要件でもある |
| SCS評価制度 | 企業のセキュリティ対策レベルを★1〜★5で評価する経済産業省の制度。★3は26項目・専門家確認付き自己評価 | 取引先から「★3以上」を求められる可能性がある |
SCS評価制度は、運用開始が2027年度（2027年4月以降）の想定とされています。まだ先に見えますが、★3で問われるのは運用した記録なので、実際の準備はいま始めておく必要があります。本記事で挙げた対策は、そのまま★3の要求事項と重なります。
▶ 関連記事：SCS評価制度とは？★3・★4の違いと26の要求事項・2027年度の運用開始に向けて中小企業がやるべきこと
▶ 関連記事：SECURITY ACTION（セキュリティ対策自己宣言）とは？一つ星・二つ星の違いと宣言のやり方
費用はどれくらいかかる？補助金は使える？
従業員30名規模で、上の優先順位1〜4をひととおり整えた場合の目安です。
| 対策 | 費用の目安（年間・税別） |
|---|---|
| 脆弱性管理（公開資産の監視） | 要見積り（月額数万円〜） |
| EDR＋SOC監視（30台） | 約36万円（1台 月1,000円） |
| バックアップ（100GB） | 約3.6万円 |
| 従業員教育・訓練（30名） | 約21.6万円＋初期10万円 |
| 合計の目安 | 年 60万〜100万円程度 |
高く感じるかもしれませんが、比較すべきは事故が起きたあとにかかる費用です。マルウェア感染調査だけでも300台までで29.8万円、詳細レポートは別途50万円。そこに復旧費用、業務停止中の損失、取引先への賠償が乗ります。大阪の病院の事例では、逸失利益が数十億円規模と報じられました。
費用面ではデジタル化・AI導入補助金2026を活用できる場合があります。
- 補助額は最大450万円、補助率は原則2分の1（小規模事業者は要件を満たすと最大5分の4）
- セキュリティ対策推進枠は5万〜150万円。サービス利用料を最大2年分まとめて補助対象にできる
- 交付申請までに SECURITY ACTION の自己宣言ID が必要
- 申請には GビズID（プライムまたはメンバー）が必要
補助金は交付決定の前に発注すると対象外になります。「先に契約して、あとから申請」はできません。要件は年度によって変わるため、詳細は公募要領の確認と専門家への相談をおすすめします。
▶ 関連記事：セキュリティ対策の費用は補助金で抑えられる？デジタル化・AI導入補助金2026の対象・補助率・申請の流れ
まず何から始めればいい？
順番に手をつけるなら、次の5ステップです。
- インターネットに公開している機器を洗い出す——VPN機器、ルーター、Webサーバー、リモート接続の口。何が外から見えているかを把握する
- OSとソフトのサポート期限を確認する——サポートが切れているもの、まもなく切れるものをリスト化する
- 取引先とつながっている経路を書き出す——VPN接続、共有フォルダ、EDI、業務システムのアカウントなど
- 優先度の高い穴から塞ぐ——脆弱性の解消、サポート終了機器の移行または隔離
- 侵入後の備えを整える——EDRと監視、バックアップの隔離保管、教育。あわせてSECURITY ACTIONを宣言する
1〜3は費用をかけずに、社内で始められます。ここができていないまま製品を検討しても、「何台に、どこまで入れるべきか」が決まらないため、見積もりも取れません。まずは現状を紙に書き出すところからです。
よくある質問
Q. 従業員10名の会社でも狙われますか？
A. 狙われます。攻撃者が見ているのは会社の規模ではなく、「入りやすいか」と「その先に何があるか」です。大手や官公庁と取引がある、あるいは取引先のデータを預かっているなら、規模に関係なく経路として価値があります。
Q. 自社が踏み台になった場合、賠償責任を負いますか？
A. 一律に負うと決まっているわけではありませんが、当然行うべき対策を怠っていたと判断されれば、責任を問われる可能性があります。過去には、既知の攻撃手法への対策不備を理由に約2,262万円の賠償が命じられた判断もあります。サポート切れOSの放置や、既知の脆弱性の未対応は、この観点で不利に働きます。
Q. 取引先から「セキュリティ対策の状況を教えてほしい」と言われました。何を答えればいいですか？
A. まず相手が何を求めているかを確認してください。チェックシートへの記入、規程の開示、第三者認証の提示など、求められるものは様々です。答えられない項目があっても、「いつまでに、どう改善するか」を示せれば取引が止まることは多くありません。空欄で返すより、対応予定を書いて返すほうが評価されます。
Q. 閉域網（インターネットにつながっていないネットワーク）なら安全ですか？
A. 安全ではありません。大阪の病院の事例でも、報告書で「誤った閉域網神話」が指摘されています。保守用のVPN、委託先の接続、USBメモリ、持ち込みPCなど、外部とつながる経路は必ず存在します。「閉じているから大丈夫」という前提こそが、対策が後回しになる最大の原因です。
Q. 何から買えばいいですか？
A. 買う前に、インターネットに公開している機器の棚卸しをしてください。そのうえで、放置された脆弱性やサポート切れ機器があればそこから対応します。製品としては、入口を塞ぐ脆弱性管理と、侵入後に止めるEDR＋SOC監視の2つが軸になります。
Q. IT担当者がいなくても対策できますか？
A. できます。むしろ担当者がいない会社ほど、監視や脆弱性管理を外部のサービスに任せる形が向いています。SOC付きのEDRやマネージド型の脆弱性管理を選べば、検知したあとの対応まで含めて任せられます。
まとめ
サプライチェーン攻撃とは、本命の大企業を直接狙わず、守りの薄い取引先や委託先を踏み台にして侵入する手口です。
IPA「情報セキュリティ10大脅威 2026」では組織向けの2位、8年連続のランクインとなっており、1位のランサム攻撃と並ぶ現実的な脅威です。
中小企業が狙われるのは、盗まれて困る情報があるからではなく、入りやすく、その先に価値があるからです。「うちは小さいから関係ない」という前提は成り立ちません。
国内の事例を見ると、自動車部品メーカーへの攻撃が完成車工場の全ライン停止につながり、給食事業者のVPN機器の脆弱性が病院の電子カルテを2か月以上止め、印刷受託会社への攻撃が約307万人分の情報漏えいに発展しています。いずれも直接攻撃されたのは規模の小さい側でした。
踏み台になった場合に負うのは、被害の回復だけではありません。取引の停止、損害賠償、報告義務、信用の低下が同時に来ます。過去には対策不備を理由に約2,262万円の賠償が命じられた判断もあります。
侵入経路は偏っており、VPN機器などの公開機器の脆弱性と、サポートが終了したOSが突出しています。まずはここを塞ぐのが最も費用対効果の高い対策です。
そのうえで、EDRと24時間365日の監視、バックアップの隔離保管、多要素認証、従業員教育を順に整えていきます。これらはSCS評価制度の★3で求められる項目とも重なります。
30名規模なら年60万〜100万円程度が目安で、デジタル化・AI導入補助金2026を活用できる場合があります。ただし交付決定の前に発注すると対象外になる点に注意してください。
アーデントでは、公開資産の棚卸しから脆弱性の洗い出し、EDR・監視サービスの選定、補助金の活用、委託先管理の仕組みづくりまでをまとめてご支援しています。「取引先から急に確認を求められた」という段階からで構いませんので、お気軽にご相談ください。
▶ 関連記事：サイバー攻撃を受けたらまず何をすべき？初動対応チェックリスト
▶ 関連記事：マルウェア感染調査（フォレンジック調査）とは？費用相場と調査会社の選び方
▶ 関連記事：バックアップの基本「3-2-1ルール」とは