「自社は狙われるほど大きくない」と考えていませんか。近年増えているサプライチェーン攻撃は、企業規模を問わず、取引先や委託先を踏み台にして本命の標的へ侵入する手口です。中小企業であっても、取引先である大企業への入り口として狙われるケースが少なくありません。この記事では、攻撃の種類と実際の事例、そしてID・パスワード管理の観点からの具体的な対策を解説します。
サプライチェーン攻撃とは
サプライチェーン攻撃とは、直接の標的ではなく、その取引先・委託先・グループ会社など、セキュリティ対策が手薄になりがちな組織を経由して本来の標的に侵入する攻撃手法です。
大企業は一般にセキュリティ投資が手厚く、正面から突破するのは容易ではありません。そこで攻撃者は、「つながっているが、防御が弱いところ」を探します。取引関係にある中小企業や保守ベンダーは、その典型的な標的です。攻撃者は、まずセキュリティの弱い組織のID・パスワードを窃取し、そこを踏み台として正規の取引関係を悪用します。
サプライチェーン攻撃の3つの種類
サプライチェーン攻撃は、経路によって大きく3つに分類されます。
1. ビジネスサプライチェーン攻撃
取引先・委託先・グループ会社など、商取引上のつながりを経由するタイプです。子会社や海外拠点、業務委託先が侵入口になり、そこから本社・親会社のネットワークへ横展開されます。日本企業の被害事例で最も多く見られるパターンです。
2. サービスサプライチェーン攻撃
クラウドサービス、システム保守、データセンターなど、外部に委託しているサービスを経由するタイプです。保守ベンダーがリモート接続に使うアカウントが乗っ取られると、そのまま顧客企業の社内システムへアクセスされてしまいます。
3. ソフトウェアサプライチェーン攻撃
利用しているソフトウェアやその開発元、アップデート配信の仕組みを侵害し、正規のソフトウェア更新に紛れ込ませてマルウェアを配布するタイプです。利用者から見ると正規の更新に見えるため、発見が非常に困難です。
なぜID・パスワード管理が狙われるのか
サプライチェーン攻撃の多くは、ウイルスファイルを送り込むよりも先に、漏洩・推測されたID・パスワードによる正規ログインという形で足がかりを作ります。
この手口が好まれる理由は明確です。正規の認証情報でログインするため、ウイルス対策ソフトでは検知されにくく、ログ上も「正常な業務アクセス」に見えるからです。攻撃者にとっては、脆弱性を探すよりも確実で、発覚も遅らせられます。
特に次のようなケースはリスクが高まります。
- 外部の保守会社・委託先がリモートで社内システムにアクセスできる
- 委託先とのやり取りに使うアカウントがID・パスワードのみで保護されている
- 取引先システムへの接続用アカウントを個別に管理できていない
- 委託先に貸与したアカウントが、契約終了後も有効なまま残っている
- 複数の委託先が同じ共有アカウントを使い回している
実際の被害パターン
2025年10月に公表されたアスクル株式会社への攻撃は、サプライチェーン攻撃とID・パスワード管理の関係を示す代表的な事例です。公表内容によれば、業務委託先が使用していた管理者アカウントの認証情報が漏洩し、そのアカウントに多要素認証が適用されていなかったことが侵入口となりました。窃取されたID・パスワードでVPN経由により社内ネットワークへ侵入され、最終的にランサムウェア被害と個人情報約74万件の流出につながったと発表されています。
この事例が示すのは、自社のセキュリティ対策が十分でも、委託先のアカウント1つが突破口になり得るという現実です。より詳しい被害事例は ID・パスワード漏洩の実例と対策で紹介しています。
自動車業界では、2022年3月に発生した部品メーカーへの攻撃で、取引先企業のVPN機器が侵害されたことが起点となり、その先の大手自動車メーカーの国内全工場が一時稼働停止に追い込まれた事例が公表されています。この事例は、直接の取引先ではなく、さらにその先(2次・3次委託先)の管理不備がサプライチェーン全体に波及することを示しています。VPN機器自体の脆弱性対策は VPN機器の脆弱性対策で解説していますが、機器の脆弱性対策と並行して、委託先アカウントへの認証強化も欠かせません。
「中小企業だから狙われない」が通用しない理由
攻撃者にとって重要なのは、その企業自体の規模ではなく「どこにつながっているか」です。大企業と取引がある中小企業は、それだけで攻撃価値のある標的になります。
さらに、被害は自社だけにとどまりません。自社が踏み台にされた場合、取引先に損害を与えた当事者となり、信用の失墜や取引停止、場合によっては損害賠償のリスクも生じます。「被害者」であると同時に「加害の起点」にもなり得るという点が、サプライチェーン攻撃の厳しさです。
立場別の対策
委託元（発注する側）としての対策
- 委託先に貸与するアカウントを委託先ごと・担当者ごとに分離し、共有させない
- 外部からのリモートアクセスには必ず多要素認証を適用する
- アクセス可能な範囲を、業務に必要な最小限に限定する（最小権限の原則）
- 契約終了・担当者変更のタイミングで、確実にアカウントを無効化する
- 委託先のアクセスログを記録し、不審な接続がないか定期的に確認する
委託先（受注する側）としての対策
- 自社が「弱い輪」になっていないか、認証まわりを点検する
- 取引先システムへの接続用アカウントを、担当者ごとに管理する
- 取引先から対応状況を聞かれた際に、説明できる状態にしておく
- 自社のサーバー・重要PCの認証をID・パスワードのみに依存させない
日々の運用面については ID管理・アカウント管理の基本、限られたリソースでの優先順位は 中小企業がやるべき不正アクセス対策チェックリストで解説しています。
侵入経路として特に多いVPN
委託先経由の侵入で頻繁に使われるのがVPNです。VPN機器の脆弱性や、VPNアカウントの認証情報窃取は、近年の大型被害の共通した起点になっています。詳しくは VPN脆弱性対策をご覧ください。また、侵入後はほぼ確実にランサムウェア被害に発展するため、 ランサムウェア対策は入口対策だけでは不十分な理由もあわせて確認することをおすすめします。
SCS評価制度との関係
国がこの問題に本格的に取り組み始めているのが、経済産業省と内閣官房が主導する SCS評価制度（サプライチェーン強化に向けたセキュリティ対策評価制度）です。制度名にそのまま「サプライチェーン強化」と入っているとおり、まさにこの課題への対応を目的としています。
この制度では、委託元が委託先に対して適切な★の段階を提示し、実施状況を確認することが想定されています。「外部委託先によるリモートアクセス時の認証管理」も評価項目に含まれており、本記事で挙げた対策の多くは、 多要素認証（MFA）の導入によってまとめて改善できます。
よくある質問
Q. 取引先のセキュリティ対策まで、こちらで確認する必要がありますか？
A. 委託元の立場では、少なくとも自社システムへアクセスさせるアカウントの管理は自社の責任範囲です。アカウントの分離、多要素認証の適用、契約終了時の無効化は、相手の対策状況に関わらず実施できます。
Q. 取引先からセキュリティのチェックシートを求められました。どう対応すべきですか？
A. まず自社の現状を正確に把握することが先決です。特にID・パスワード関連は回答を求められやすい項目でありながら、比較的短期間で改善できる領域でもあります。
Q. サプライチェーン攻撃とは何ですか？
A. 直接の標的ではなく、その取引先・委託先・グループ会社など、セキュリティ対策が手薄になりがちな組織を経由して本来の標的に侵入する攻撃手法です。
Q. 中小企業は狙われないのではないですか？
A. そうとは限りません。攻撃者にとって重要なのはその企業自体の規模ではなく「どこにつながっているか」であり、大企業と取引がある中小企業は、それだけで攻撃価値のある標的になります。
委託先や再委託先に何を確認すれば実態が分かるかは 委託先のセキュリティを確認する項目で整理しています。
自社の状況を確認する
取引先の一員として、自社が「弱い輪」になっていないかを確認することは、もはや大企業だけの課題ではありません。applippliの無料診断では、約3分の質問に回答するだけで、外部からのアクセスを含むID・パスワード窃取リスクの現状と、SCS評価制度への対応状況を確認できます。