サプライチェーン攻撃の事例と動向｜国内外の被害から学ぶ【2025年版】

2025年12月23日作成

コラム

サプライチェーン攻撃は、理論的な脅威ではありません。トヨタの全工場が1日停止した小島プレス事件、世界1万8千組織が影響を受けたSolarWinds事件——実際に起きた被害を学ぶことで、対策の必要性と具体的なポイントが見えてきます。このカテゴリでは、サプライチェーン攻撃の代表的な事例を国内・海外に分けて詳しく分析し、2025年時点の最新動向と統計データも紹介します。他社の失敗から学び、自社のセキュリティ対策に活かしましょう。

サプライチェーン攻撃の事例を学ぶ意義

サプライチェーン攻撃の被害事例を学ぶことは、自社のセキュリティ対策を考える上で非常に重要です。「うちは大丈夫」「狙われるような会社ではない」と考えている企業こそ、実際の被害事例を知ることで認識を改める必要があります。

事例を学ぶことで得られるメリットは多岐にわたります。まず、攻撃者がどのような手口で侵入し、どのように被害を拡大させるのかという攻撃パターンを理解できます。次に、被害企業がどこに弱点を抱えていたのかを分析することで、自社にも同様のリスクがないかを点検するきっかけになります。

また、事例から得られる教訓は、セキュリティ対策の優先順位を決める際の判断材料になります。限られた予算と人員の中で、どこから手をつけるべきかを考える際に、実際に被害が発生している攻撃経路を優先的に対策することは合理的なアプローチです。

経営層への説明においても、具体的な被害事例は説得力のある材料となります。「トヨタでさえ1日操業停止に追い込まれた」「病院で電子カルテが2ヶ月使えなくなった」といった事実は、サイバー攻撃のリスクを経営課題として認識してもらうための有効な情報です。

このカテゴリでは、国内外の代表的なサプライチェーン攻撃事例を詳しく分析し、そこから得られる教訓を整理しています。他社の失敗から学び、同じ轍を踏まないための知見を提供します。

サプライチェーン攻撃の事例と教訓【概要】

サプライチェーン攻撃の事例を横断的に分析すると、いくつかの共通パターンが見えてきます。ここでは代表的な事例の概要と、そこから得られる教訓を紹介します。

トヨタ・小島プレス工業事件（2022年）: サプライヤーへのランサムウェア攻撃により、トヨタ全14工場が1日停止。約1万3千台の生産に影響が出ました。
SolarWinds事件（2020年）: ネットワーク監視ソフトのアップデートに悪意あるコードが仕込まれ、米国政府機関を含む1万8千以上の組織が影響を受けました。
名古屋港コンテナターミナル事件（2023年）: 港湾システムへの攻撃により、約3日間コンテナの搬出入が停止。日本の物流に大きな影響を与えました。
Kaseya事件（2021年）: リモート管理ソフトの脆弱性を悪用し、MSP経由で1,500社以上にランサムウェアが配布されました。

これらの事例に共通する教訓として、取引先やサプライヤーのセキュリティ状況の確認、VPN機器の脆弱性管理、そしてインシデント発生時の対応計画の整備が挙げられます。

詳しい分析と教訓については、サプライチェーン攻撃の事例と教訓をご覧ください。

サプライチェーン攻撃の国内事例

日本国内でもサプライチェーン攻撃による被害が相次いでいます。特に2022年以降、製造業や医療機関、重要インフラへの攻撃が注目を集めています。

トヨタ・小島プレス工業（2022年2月）: 部品サプライヤーへの攻撃がトヨタの全工場停止につながった象徴的な事例です。マルウェア感染により受発注システムが停止し、サプライチェーン全体に影響が波及しました。
半田病院（2021年10月）: VPN機器の脆弱性を突いた不正アクセスにより電子カルテが暗号化され、約2ヶ月間の診療制限を余儀なくされました。
大阪急性期・総合医療センター（2022年10月）: 給食委託業者のVPN経由で侵入され、電子カルテシステムが停止。完全復旧まで約2ヶ月を要しました。
名古屋港コンテナターミナル（2023年7月）: 港湾の統一ターミナルシステムがランサムウェアに感染し、日本の輸出入の約10%を扱う港が約3日間機能停止しました。

これらの事例では、いずれも取引先や委託先を経由した攻撃、VPN機器の脆弱性悪用といった共通点が見られます。

国内事例の詳細な分析と教訓については、サプライチェーン攻撃の国内事例｜トヨタ・病院の詳細分析をご覧ください。

サプライチェーン攻撃の海外事例

海外では、国家支援型の攻撃グループによる大規模なサプライチェーン攻撃が発生しています。これらの事例は、攻撃の巧妙さと被害規模の両面で、日本企業にとっても重要な教訓を含んでいます。

SolarWinds事件（2020年12月）: ネットワーク監視ソフト「Orion」のアップデートが改ざんされ、米国政府機関を含む1万8千以上の組織にバックドアが仕込まれました。ロシアの国家支援グループの関与が指摘されています。
Kaseya VSA事件（2021年7月）: リモート管理ソフトの脆弱性を悪用し、MSP（マネージドサービスプロバイダ）経由で1,500社以上にランサムウェアが配布されました。
3CX事件（2023年3月）: VoIPソフトウェアのアップデートが改ざんされ、60万以上の顧客企業が影響を受けた可能性があります。北朝鮮のLazarusグループの関与が指摘されています。
NotPetya（2017年6月）: ウクライナの会計ソフトのアップデート経由で世界中に拡散し、被害総額は100億ドル以上と推定されています。Maersk、FedExなど大企業が甚大な被害を受けました。
Codecov事件（2021年）: コードカバレッジツールのスクリプトが改ざんされ、CI/CD環境から認証情報が窃取されました。

海外事例の詳細な分析については、サプライチェーン攻撃の海外事例｜SolarWinds・Kaseya解説をご覧ください。

サプライチェーン攻撃の最新動向と統計

サプライチェーン攻撃は年々増加を続けており、2025年時点で企業が直面する最も深刻な脅威の一つとなっています。

指標	データ	出典
情報セキュリティ10大脅威（組織編）順位	2位（3年連続）	IPA（2025年版）
ソフトウェアサプライチェーン攻撃の増加率	前年比742%増（2019-2022年）	Sonatype
サプライチェーン経由のランサムウェア被害	増加傾向	警察庁

今後のトレンドとして、OSSパッケージを狙った攻撃の増加、AI開発パイプラインへの攻撃、そして規制強化によるSBOM（ソフトウェア部品表）の義務化が予測されています。

最新の統計データと詳細な分析については、サプライチェーン攻撃の最新動向と統計【2025年版】をご覧ください。

事例から学んだ後のステップ

事例を学んだ後は、その知見を自社の対策に活かすことが重要です。役割や立場に応じて、次のステップとして推奨するページを紹介します。

目的	推奨ページ	内容
自社の対策を始めたい	対策・自社向けガイド	多層防御、認証強化、脆弱性管理など自社で実施すべき対策を解説
経営視点で理解したい	経営者向けガイド	経営リスク、ガバナンス、投資判断について解説
取引先管理を強化したい	取引先管理ガイド	評価基準、契約条項、監査方法について解説
業種別の対策を知りたい	業種別対策ガイド	金融、医療、製造、自動車など業種特有の対策を解説

事例から得た危機感を、具体的なアクションにつなげることが大切です。まずは自社の現状を点検し、優先度の高い対策から着手することをお勧めします。

フィッシング詐欺やソーシャルエンジニアリングといった人の心理を狙う攻撃との複合パターンも増えているため、技術的対策と従業員教育の両面からのアプローチが求められます。

まとめ

サプライチェーン攻撃の事例と動向について、このカテゴリで学べる内容を整理します。

サプライチェーン攻撃は国内外で実際に甚大な被害を引き起こしている
トヨタ・小島プレス事件は、サプライヤー経由の攻撃が大企業の操業を止める象徴的な事例
SolarWinds事件は、ソフトウェアサプライチェーンの脆弱性を世界に知らしめた
医療機関や重要インフラへの攻撃も増加しており、社会的影響が拡大している
IPAの10大脅威で3年連続2位にランクインするなど、脅威は継続的に高まっている
事例から学んだ教訓を自社の対策に活かすことが重要

基礎知識をさらに深めたい方は、サプライチェーン攻撃の基礎知識をご覧ください。

サプライチェーン攻撃の全体像については、サプライチェーン攻撃とは｜総合ガイドで詳しく解説しています。

## 重要なお知らせ - 本記事は一般的な情報提供を目的としており、個別の状況に対する助言ではありません。 - 実際にサイバー攻撃の被害に遭われた場合は、警察（#9110）やIPA（03-5978-7509）などの公的機関にご相談ください。 - 法的な対応が必要な場合は、弁護士などの専門家にご相談ください。 - 記載内容は作成時点の情報であり、攻撃手法は日々進化している可能性があります。