サプライチェーン攻撃は、取引先や委託先を経由して本命の標的へ侵入する手口です。企業規模を問わず経路になりうるため、取引先から管理状況を確認される場面が増えています。
この記事では、攻撃の種類と公表事例を整理し、ID・パスワード管理で何を整えれば取引先に説明できるかを扱います。
PC版 月1,800円／台（初期費用0円）・サーバー版 月20,000円／台。初月無料ではじめられます（税別・目安）
サプライチェーン攻撃とは
まず、攻撃者がなぜ取引先を経由するのかを押さえます。
サプライチェーン攻撃とは、直接の標的ではなく、その取引先・委託先・グループ会社など、対策が手薄になりがちな組織を経由して本来の標的に侵入する攻撃手法です。
大企業は正面から突破しにくいため、攻撃者は「つながっているが、守りが弱いところ」を探します。取引関係にある中小企業や保守ベンダーは典型的な標的で、そこで窃取したID・パスワードを踏み台に、正規の取引関係を悪用します。
サプライチェーン攻撃の3つの種類
経路によって、大きく3つに分かれます。
| 種類 | 経由するもの | 特徴 |
|---|---|---|
| 1. ビジネスサプライチェーン攻撃 | 取引先・委託先・グループ会社など商取引上のつながり | 子会社や海外拠点、委託先から本社へ横展開。日本企業の被害で最も多い |
| 2. サービスサプライチェーン攻撃 | クラウド、システム保守、データセンターなど委託サービス | 保守ベンダーのリモート接続用アカウントが乗っ取られると、顧客の社内に入られる |
| 3. ソフトウェアサプライチェーン攻撃 | ソフトウェアや開発元、更新配信の仕組み | 正規の更新に紛れて配布されるため、発見が非常に困難 |
なぜID・パスワード管理が狙われるのか
多くの攻撃は、ウイルスを送り込むより先に、漏洩・推測されたID・パスワードによる正規ログインで足がかりを作ります。
正規ログインが好まれる理由
特に次のようなケースはリスクが高まります。
- 外部の保守会社・委託先がリモートで社内システムに入れる
- 委託先とのやり取りに使うアカウントがID・パスワードのみ
- 取引先システムへの接続用アカウントを個別に管理できていない
- 委託先に貸与したアカウントが、契約終了後も有効なまま
- 複数の委託先が同じ共有アカウントを使い回している
実際の被害パターン
公表された2つの事例から、委託先のアカウントや機器が突破口になる流れを見ます。
2025年10月に公表されたアスクル株式会社への攻撃では、業務委託先が使っていた管理者アカウントの認証情報が漏洩し、そのアカウントに多要素認証が適用されていなかったことが侵入口でした。
アスクルの公表内容にみる流れ
- 1
委託先の管理者アカウント
認証情報が漏洩・多要素認証なし
- 2
VPN経由で侵入
窃取したID・パスワード
- 3
ランサムウェア被害
個人情報約74万件の流出
より詳しい事例はID・パスワード漏洩の実例と対策で紹介しています。
自動車業界では2022年3月、部品メーカーへの攻撃で取引先企業のVPN機器が侵害されたことが起点となり、大手自動車メーカーの国内全工場が一時稼働停止した事例が公表されています。2次・3次委託先の管理不備が、サプライチェーン全体に波及することを示しています。
VPNだけでなく、社内のWi-Fiも同じ「入口」です
社内のWi-Fi（無線LANのルーター・アクセスポイント）も、VPN機器と同じく社内ネットワークへの入口です。次のような状態だと、そこから社内に入られるおそれがあります。
- 機器の脆弱性：Wi-Fiルーターやアクセスポイントにも脆弱性が見つかり、修正版が出ます。更新しないまま使い続けると、VPN機器と同じように悪用されかねません。
- 共有のパスワード：全員で同じWi-Fiのパスワードを使い、退職者・来訪者・業者に知られたまま変えていない。
- 電波は建物の外にも届く：駐車場や隣の建物からでも、パスワードが分かればつながります。WEPなど古い暗号化方式は短時間で解読されます。
VPNから入られても、Wi-Fiから入られても、その先の社内のPC・サーバーがパスワードだけで入れる状態なら、被害は広がります。入口の対策とあわせて、全PC・サーバーのログイン記録を1か所で見られるようにしておくと、見覚えのない接続にすぐ気づけます。さらにPC・サーバーへのログインを2要素認証にしておくと、パスワードだけでは入れなくなります。
社内Wi-Fiから入られる形と確認リストを見るVPN機器の対策はVPN機器の脆弱性対策で解説していますが、機器の対策と並行して委託先アカウントへの認証強化も欠かせません。
中小企業も経路になりうる理由
攻撃者にとって重要なのは、規模ではなく「どこにつながっているか」です。
大企業と取引がある中小企業は、それだけで経路として使われることがあります。そのため取引先は、委託先の管理状況をチェックシートなどで確かめるようになっています。聞かれたときに、自社のアカウントとログインの状況を記録で説明できることが、取引を続けるうえでの安心材料になります。
立場別の対策
発注する側と受注する側で、整えることが少し違います。
委託元（発注する側）としての対策
- 貸与するアカウントを委託先ごと・担当者ごとに分け、共有させない
- 外部からのリモートアクセスには必ず多要素認証を適用する
- アクセス範囲を業務に必要な最小限に限定する
- 契約終了・担当者変更のときに、確実にアカウントを無効化する
- 委託先のアクセスログを記録し、定期的に確認する
委託先（受注する側）としての対策
- 自社が「弱い輪」になっていないか、認証まわりを点検する
- 取引先システムへの接続用アカウントを、担当者ごとに管理する
- 取引先から聞かれたときに説明できる状態にしておく
- 自社のサーバー・重要PCの認証をID・パスワードだけに頼らない
日々の運用はID管理・アカウント管理の基本、優先順位は中小企業がやるべき不正アクセス対策チェックリストで解説しています。
「委託先のアクセスログを記録し、定期的に確認する」「説明できる状態にしておく」は、PCを1台ずつ開いて行うと手間がかかります。全PC・サーバーのログイン記録を1か所に集めておけば、委託先のアカウントで誰がいつどこから入ったかを画面1つで確かめられ、取引先に聞かれたらCSVですぐ出せます（アプリップリキー）。契約が終わった委託先の担当者も、席まで行かずにスマホの登録を外せます（ローカルアカウントなら無効化も同じ画面からできます）。さらに、自社のサーバー・重要PCのログインを本人のスマホを鍵にしたワンタッチログインにできます（PC版・サーバー版）。毎回の操作はワンタッチなので、委託先の担当者の手間もほとんど増えません。
侵入経路として特に多いVPN
委託先経由の侵入で頻繁に使われるのがVPNです。機器の脆弱性やVPNアカウントの認証情報窃取は、近年の大型被害に共通する起点です（VPN脆弱性対策）。
侵入後にランサムウェアへ発展する例が目立つため、ランサムウェア対策は入口対策だけでは不十分な理由もあわせて確認してください。
SCS評価制度との関係
国がこの問題に取り組み始めたのが、経済産業省と内閣官房が主導するSCS評価制度（サプライチェーン強化に向けたセキュリティ対策評価制度）です。
制度では、委託元が委託先に適切な★の段階を提示し、実施状況を確認することが想定されています。「外部委託先によるリモートアクセス時の認証管理」も評価項目に含まれ、本記事の対策の多くは多要素認証（MFA）の導入でまとめて改善できます。
全PC・サーバーを1か所で管理して1台ずつ見て回る手間をなくす方法はADなしで社内のPC・サーバーをまとめて管理する方法にまとめています。さらに、社内のPC・サーバーのログインを2要素認証にする方法はOSログイン・PCログインの二要素認証、Active Directoryがない会社が1台から始める手順はADなしでPCログインに2要素認証を入れる方法にまとめています。
普段の管理が楽になると何が変わるか
取引先のチェックシートや監査は、毎年のように届きます。そのたびに各PCを見て回って答えを作るのは、兼任の担当者には大きな負担です。全PC・サーバーの台帳とログイン記録を普段から1か所で見られるようにしておくと、聞かれたその日に、台数・OS・ログイン記録をCSVで出して添付できます。経営層への報告も、同じ画面を見せるだけで済みます。対策を「やっています」と書くだけでなく、記録で示せる状態が、委託元と委託先の両方にとっての安心になります。
よくある質問
Q. 取引先のセキュリティ対策まで、こちらで確認する必要がありますか？
A. 委託元の立場では、少なくとも自社システムへアクセスさせるアカウントの管理は自社の責任範囲です。アカウントの分離、多要素認証の適用、契約終了時の無効化は、相手の対策状況に関わらず実施できます。
Q. 取引先からセキュリティのチェックシートを求められました。どう対応すべきですか？
A. まず自社の現状を正確に把握することが先決です。特にID・パスワード関連は回答を求められやすい項目でありながら、比較的短期間で改善できる領域でもあります。
Q. サプライチェーン攻撃とは何ですか？
A. 直接の標的ではなく、その取引先・委託先・グループ会社など、セキュリティ対策が手薄になりがちな組織を経由して本来の標的に侵入する攻撃手法です。
Q. 中小企業は狙われないのではないですか？
A. そうとは限りません。攻撃者にとって重要なのはその企業自体の規模ではなく「どこにつながっているか」であり、大企業と取引がある中小企業は、それだけで攻撃価値のある標的になります。
委託先や再委託先に何を確認すれば実態が分かるかは 委託先のセキュリティを確認する項目で整理しています。
いまの運用を棚卸ししてみる
取引先の一員として自社の足元を書き出しておくことは、もう大企業だけの課題ではありません。
applippliの無料棚卸しなら、10問・約3分で、外部からのアクセスを含めて何が手つかずかを項目ごとの一覧にできます。
自社の不正アクセス対策をどこから進めるかは、不正アクセス対策とは 侵入経路別の優先順位で、2026年の統計と事例をもとに整理しています。