中小企業がサプライチェーン攻撃の標的になる理由
「うちのような小さな会社が狙われるはずがない」——この認識は、今やサイバーセキュリティにおいて最も危険な思い込みの一つです。攻撃者は、セキュリティ対策が手薄な中小企業を意図的に標的にしています。その目的は、中小企業を「踏み台」にして、より大きな取引先企業のネットワークに侵入することです。
- 踏み台攻撃のメカニズム
- 攻撃者はまず、セキュリティ対策の弱い中小企業のシステムに侵入します。その後、取引先との接続ネットワークや、盗んだ認証情報を利用して、本来の標的である大企業のシステムへアクセスします。大企業がいくら自社のセキュリティを強化しても、取引先経由での侵入は防ぎにくいという弱点を突いた攻撃手法です。
なぜ攻撃者は中小企業を狙うのか
攻撃者が中小企業を標的とする理由は、明確なコスト対効果の計算に基づいています。
| 観点 | 大企業への直接攻撃 | 中小企業経由の攻撃 |
|---|---|---|
| 侵入の難易度 | 高い（多層防御、SOC監視） | 低い（対策が限定的） |
| 発覚リスク | 高い（常時監視体制） | 低い（監視が不十分な場合も） |
| 攻撃コスト | 高い（高度な技術が必要） | 低い（既知の脆弱性で侵入可能） |
| 成功確率 | 低い | 比較的高い |
実際の被害事例から学ぶ
トヨタ・小島プレス事件（2022年2月）は、サプライチェーン攻撃の脅威を日本中に知らしめた事例です。トヨタの部品サプライヤーである小島プレス工業がランサムウェアに感染し、部品供給が停止。その結果、トヨタは国内全14工場28ラインの稼働を1日停止せざるを得なくなりました。
この事件では、小島プレス工業の子会社が使用していたリモート接続機器の脆弱性が侵入経路となりました。VPN機器のファームウェア更新が行われていなかったことが、攻撃を許す原因となったと報告されています。
— 各種報道・調査報告を基に作成
また、半田病院事件（2021年10月）では、徳島県の町立病院がランサムウェアに感染し、電子カルテが暗号化されて約2か月間通常診療ができなくなりました。この事件でも、VPN機器の脆弱性が侵入経路でした。
詳しい事例分析は国内事例（トヨタ・病院・名古屋港）をご覧ください。
中小企業特有のリスク要因
中小企業がサプライチェーン攻撃に対して脆弱になりやすい要因は、以下のように整理できます。
- 専任IT担当者の不在：セキュリティを専門的に管理する人材がいない
- 予算の制約：セキュリティ投資に割ける予算が限られている
- 認識不足：「自社は標的にならない」という思い込み
- 古いシステムの継続使用：更新されていないOSやソフトウェア
- リモートアクセス管理の甘さ：VPN機器等の管理が不十分
しかし、これらの課題があっても、優先順位をつけて対策を実施すればリスクを大幅に低減できます。以下では、中小企業でも実践できる具体的な対策を解説します。
最低限やるべき対策TOP5
中小企業のセキュリティ対策は、完璧を目指すのではなく、効果の高い対策から優先的に取り組むことが重要です。以下に、費用対効果が高く、すぐに実践できる対策をTOP5として紹介します。
- 優先順位1：パスワード・アカウント管理
- すべてのセキュリティの基盤です。脆弱なパスワードは、不正アクセスの最大の原因となります。強固なパスワードの設定と多要素認証（MFA）の導入で、不正ログインのリスクを大幅に下げられます。対策コスト：無料〜
- 優先順位2：OSアップデートの徹底
- Windows Updateを含む各種ソフトウェアの更新を怠らないことで、既知の脆弱性を悪用した攻撃を防げます。多くのサイバー攻撃は、パッチが公開済みの脆弱性を悪用しています。対策コスト：無料
- 優先順位3：バックアップの実施
- ランサムウェア被害に備え、重要データのバックアップを定期的に取得します。身代金を支払わなくてもデータを復旧できる状態を維持することが重要です。対策コスト：無料〜低コスト
- 優先順位4：不審メールへの対応（社員教育）
- フィッシング詐欺やマルウェア感染の多くはメール経由です。添付ファイルを安易に開かない、URLを安易にクリックしないなど、基本的な教育が被害を防ぎます。対策コスト：無料〜低コスト
- 優先順位5：VPN・リモートアクセスの管理
- リモートワークで使用するVPN機器等の管理を徹底します。特にファームウェアの更新は重要で、多くの侵入事例でVPN機器の脆弱性が悪用されています。対策コスト：無料〜
| 優先順位 | 対策項目 | 主な効果 | 実施難易度 |
|---|---|---|---|
| 1 | パスワード・アカウント管理 | 不正アクセス防止 | 低 |
| 2 | OSアップデート | 脆弱性対策 | 低 |
| 3 | バックアップ | ランサムウェア対策 | 低〜中 |
| 4 | 社員教育 | フィッシング対策 | 低 |
| 5 | VPN・リモートアクセス管理 | 侵入経路遮断 | 中 |
パスワード・アカウント管理の基本
不正アクセスを防ぐ最も基本的な対策が、パスワードとアカウントの適切な管理です。攻撃者は、脆弱なパスワードや使い回しされたパスワードを悪用して、システムに侵入します。
パスワードポリシーの設定
すべての従業員が守るべきパスワードのルールを定めましょう。
- パスワードの長さと複雑さ
- 最低12文字以上で、英大文字・小文字・数字・記号を組み合わせることを推奨します。短く単純なパスワードは、総当たり攻撃（ブルートフォース攻撃）で容易に破られます。「password123」「company2024」のような推測しやすいパスワードは避けてください。
- パスワードの使い回し禁止
- 同じパスワードを複数のサービスで使い回すことは、極めて危険です。一つのサービスでパスワードが漏洩すると、他のサービスもすべて不正アクセスの対象となります（パスワードリスト攻撃）。サービスごとに異なるパスワードを設定してください。
- パスワードマネージャーの活用
- 複数の複雑なパスワードを記憶するのは困難です。パスワードマネージャー（1Password、Bitwarden等）を活用すれば、安全にパスワードを管理できます。無料版でも基本機能は十分です。
MFA（多要素認証）の導入
MFA（Multi-Factor Authentication：多要素認証）は、パスワードに加えて別の認証要素を組み合わせる仕組みです。パスワードが漏洩しても、MFAが設定されていれば不正ログインを防げます。
| 認証要素 | 具体例 |
|---|---|
| 知識情報（知っているもの） | パスワード、PIN、秘密の質問 |
| 所持情報（持っているもの） | スマートフォン、認証トークン |
| 生体情報（自分自身） | 指紋、顔認証、虹彩 |
無料で使えるMFAアプリとして、Google AuthenticatorやMicrosoft Authenticatorがあります。これらをスマートフォンにインストールし、重要なサービス（メール、クラウドストレージ、業務システム等）に設定しましょう。
- 優先的にMFAを設定すべきサービス
- メール（Gmail、Microsoft 365等）、クラウドストレージ（Google Drive、OneDrive等）、業務システム、会計ソフト、ネットバンキングなど、重要な情報にアクセスできるサービスから優先的に設定します。
退職者アカウントの管理
退職者のアカウントを適切に削除・停止することは、内部不正や不正アクセスを防ぐ上で重要です。
- 退職日当日にアカウントを停止する
- 共有アカウントのパスワードを変更する
- 退職者がアクセスしていたサービスを洗い出し、すべてのアクセス権を削除する
- 退職時のアカウント停止をチェックリスト化し、抜け漏れを防ぐ
OSアップデートの徹底
多くのサイバー攻撃は、すでにパッチが公開されている既知の脆弱性を悪用しています。OSやソフトウェアを最新の状態に保つだけで、多くの攻撃を防ぐことができます。
Windows Updateの自動更新設定
Windowsパソコンでは、Windows Updateを有効にし、セキュリティ更新プログラムを自動的に適用する設定にしておきましょう。
- 設定確認の手順（Windows 10/11）
- 「設定」→「更新とセキュリティ」（Windows 11では「Windows Update」）を開き、自動更新が有効になっていることを確認します。「更新プログラムのチェック」ボタンをクリックして、未適用の更新がないか定期的に確認する習慣をつけましょう。
業務の都合で自動更新が難しい場合でも、最低でも月1回は手動で更新状況を確認してください。特に「重要な更新」「セキュリティ更新」は速やかに適用することが重要です。
業務ソフトのアップデート
OSだけでなく、業務で使用するソフトウェアも更新が必要です。
- Microsoft Office：Word、Excel、PowerPoint等も定期的に更新されています
- Adobe製品：Acrobat Reader、Photoshop等
- ブラウザ：Chrome、Firefox、Edge等は自動更新が基本ですが、確認しましょう
- 業務システム：会計ソフト、顧客管理システム等
使用しているソフトウェアの一覧を作成し、更新状況を定期的にチェックする仕組みを作りましょう。
ネットワーク機器のアップデート
見落とされがちなのがネットワーク機器のファームウェア更新です。ルーター、VPN機器、NAS（ネットワーク接続ストレージ）などは、脆弱性が発見されてもユーザーが気づかないことが多く、攻撃者の格好の標的となっています。
- 重点的に確認すべき機器
- VPN機器（FortiGate、Pulse Secure等）、ルーター、無線LANアクセスポイント、NAS、複合機（ネットワーク接続型）などです。これらの機器のメーカーサイトで、ファームウェアの更新情報を定期的に確認してください。
トヨタ・小島プレス事件、半田病院事件など、多くの被害事例でVPN機器の脆弱性が侵入経路となっています。ネットワーク機器の更新は、最優先で取り組むべき対策の一つです。
— 各種被害報告を基に作成
バックアップの基本
ランサムウェアに感染すると、データが暗号化され、身代金を要求されます。しかし、適切なバックアップがあれば、身代金を支払わずにデータを復旧できます。バックアップは、ランサムウェア対策の最後の砦です。
3-2-1ルール
バックアップの基本原則として、3-2-1ルールがあります。
- 3-2-1ルールとは
- データのコピーを3つ保持し、2種類の異なる媒体に保存し、そのうち1つはオフサイト（別の場所）に保管するという原則です。これにより、一つの障害でデータを失うリスクを最小化できます。
| ルール | 内容 | 中小企業での実現例 |
|---|---|---|
| 3つのコピー | オリジナル＋2つのバックアップ | パソコン本体＋外付けHDD＋クラウド |
| 2種類の媒体 | 異なる種類の記憶媒体を使用 | HDD＋クラウドストレージ |
| 1つはオフサイト | 物理的に離れた場所に保管 | クラウドまたは別拠点 |
低コストでのバックアップ方法
- 外付けHDDの活用
- 2〜4TBの外付けHDDは1万円前後で購入できます。定期的に（週1回など）重要データをコピーする習慣をつけましょう。バックアップ完了後は、パソコンから取り外して保管することで、ランサムウェアによる暗号化を防げます。
- クラウドストレージの活用
- Google Drive、OneDrive、Dropboxなどのクラウドストレージは、無料枠でも15GB程度利用できます。重要な書類を自動同期する設定にしておけば、パソコンが故障してもデータを復旧できます。有料プランでも月額数百円〜千円程度です。
バックアップの復元テスト
バックアップを取っているだけでは不十分です。いざという時に復元できなければ意味がありません。
- 四半期に1回程度、バックアップからの復元テストを実施する
- 復元手順を文書化しておく
- バックアップデータが破損していないか確認する
「バックアップは取っていたが、復元できなかった」という事態を防ぐため、定期的なテストを習慣化しましょう。
社員教育の基本
サイバー攻撃の多くは、従業員の「うっかりミス」から始まります。フィッシング詐欺メールの添付ファイルを開いてしまった、偽サイトにパスワードを入力してしまった——このような人的ミスを減らすには、継続的な社員教育が不可欠です。
最低限の教育内容
専門的な研修を行う余裕がなくても、以下の基本事項だけは全従業員に周知しましょう。
- 不審メールの見分け方
- 差出人のメールアドレスが正規のものか確認する、不自然な日本語や緊急性を煽る文面に注意する、安易に添付ファイルを開かない、URLをクリックする前にリンク先を確認する、といった基本を徹底します。
- パスワードの重要性
- パスワードは「会社の鍵」と同じであること、使い回しの危険性、他人に教えてはいけないこと、メモを見えるところに貼らないことなどを周知します。
- 異常時の報告先
- 不審なメールを受信した、おかしな画面が表示された、パソコンの動作がおかしい——このような異常を感じたら、すぐに報告する先（社長、総務担当など）を明確にしておきます。「報告したら怒られる」という雰囲気があると、被害の発覚が遅れます。
無料で使える教育教材
- IPA（情報処理推進機構）：「映像で知る情報セキュリティ」として、無料の教育動画を多数公開しています
- 警察庁：サイバーセキュリティに関する啓発資料を公開しています
- JPCERT/CC：インシデント対応に関する資料を公開しています
これらの無料教材を活用すれば、費用をかけずに社員教育を実施できます。
朝礼・会議での注意喚起
正式な研修を行う時間がなくても、朝礼や定例会議で5分程度の注意喚起を行うだけでも効果があります。
- 「最近、○○を装った詐欺メールが増えています」と具体例を共有
- 「不審なメールを見かけたら、開かずに報告してください」と繰り返し伝える
- ニュースで報道されたサイバー攻撃事例を共有する
継続的に注意喚起を行うことで、セキュリティ意識が組織に定着していきます。
関連する攻撃手法
中小企業が注意すべきサイバー攻撃は、サプライチェーン攻撃だけではありません。以下の攻撃手法についても理解し、対策を講じることが重要です。
| 攻撃手法 | 概要 | 中小企業への影響 |
|---|---|---|
| ランサムウェア | データを暗号化して身代金を要求 | 業務停止、データ喪失 |
| フィッシング詐欺 | 偽サイトで認証情報を窃取 | 不正アクセス、情報漏洩 |
| ビジネスメール詐欺（BEC） | 取引先を装い送金を指示 | 金銭被害 |
| マルウェア感染 | 悪意あるソフトウェアの感染 | 情報窃取、システム破壊 |
| 不正アクセス | 認証を突破してシステムに侵入 | 情報漏洩、改ざん |
| 情報漏洩 | 機密情報や個人情報の流出 | 信用失墜、損害賠償 |
| ソーシャルエンジニアリング | 人間の心理を悪用した攻撃 | 認証情報の窃取 |
これらの攻撃は複合的に行われることが多い点に注意が必要です。例えば、フィッシングメールでマルウェアに感染させ、そこからランサムウェアを展開するといった攻撃パターンが一般的です。
よくある質問
- Q: IT担当がいませんが、誰が対策すればよいですか？
- A: 専任のIT担当がいない場合、社長や総務担当が兼務で対策を進めることになります。すべてを一人で行う必要はなく、IPAの「5分でできる！情報セキュリティ自社診断」で現状を把握し、優先度の高い対策から着手しましょう。技術的に難しい部分は、「サイバーセキュリティお助け隊サービス」などの外部サービスを活用することも検討してください。
- Q: セキュリティソフトを入れていれば安全ですか？
- A: セキュリティソフト（ウイルス対策ソフト）は重要な対策の一つですが、それだけでは不十分です。最新のマルウェアはセキュリティソフトを回避するものも多く、パスワード管理、OSアップデート、バックアップ、社員教育など、多層的な対策が必要です。「セキュリティソフトを入れているから安心」という油断が、被害を招くことがあります。
- Q: 対策にはどのくらいの費用がかかりますか？
- A: 基本的な対策は無料〜低コストで実施できます。Windows Defender（Windows標準搭載）、無料の認証アプリ（Google Authenticator等）、クラウドストレージの無料枠などを活用すれば、追加費用なしでも対策を始められます。詳しくは低コストで始めるサプライチェーン攻撃対策をご覧ください。
- Q: 何から始めればよいですか？
- A: まずはIPAの「5分でできる！情報セキュリティ自社診断」で自社の現状を把握することをお勧めします。その後、本記事で紹介した優先順位TOP5（パスワード管理、OSアップデート、バックアップ、社員教育、VPN管理）の順に対策を進めてください。一度にすべてを行う必要はなく、できることから始めましょう。
- Q: 取引先から対策を求められていますが、どうすればよいですか？
- A: 大企業との取引がある場合、セキュリティに関する質問票への回答や対策状況の報告を求められることがあります。正直に現状を報告し、対策が不十分な部分は改善計画を示すことが重要です。詳しくは取引先要件に対応するサプライチェーン攻撃対策をご覧ください。
- Q: 被害に遭ってしまった場合、どこに相談すればよいですか？
- A: サイバー攻撃の被害に遭った場合は、警察（サイバー犯罪相談窓口：#9110）、IPA（情報セキュリティ安心相談窓口：03-5978-7509）に相談してください。また、取引先への影響がある場合は、速やかに連絡することが重要です。被害を隠そうとすると、問題がさらに大きくなる可能性があります。
まとめ
中小企業のサプライチェーン攻撃対策について、最低限やるべきことと優先順位を解説しました。
- 中小企業は「狙われない」のではなく、大企業への「踏み台」として積極的に狙われている
- 限られたリソースでも、優先順位をつけて対策すればリスクを大幅に低減できる
- 最優先は「パスワード・アカウント管理」「OSアップデート」「バックアップ」
- MFA（多要素認証）は無料で導入でき、効果が高い
- 社員教育は朝礼での注意喚起など、小さな取り組みから始められる
- IPAの無料ツール・ガイドラインを活用すれば、費用をかけずに対策を進められる
次のステップとして、低コストで始めるサプライチェーン攻撃対策で、無料ツールや補助金の活用方法を確認してください。
中小企業向けカテゴリの全体像は中小企業のサプライチェーン攻撃対策｜最低限から始める防御をご覧ください。サプライチェーン攻撃の総合的な解説はサプライチェーン攻撃とは｜仕組み・事例・対策を初心者にもわかりやすく解説で紹介しています。
サプライチェーン攻撃 完全ガイド ナビゲーション
総合ガイド
目的別に探す
役職・立場別に探す
業種別に探す
人気のページ
重要なお知らせ
- 本記事は一般的な情報提供を目的としており、個別の状況に対する助言ではありません。
- 実際にサイバー攻撃の被害に遭われた場合は、警察（#9110）やIPA（03-5978-7509）などの公的機関にご相談ください。
- 法的な対応が必要な場合は、弁護士などの専門家にご相談ください。
- 記載内容は作成時点の情報であり、攻撃手法は日々進化している可能性があります。
更新履歴
- 初稿公開
