サプライチェーン攻撃の起点は中小企業にある

1. はじめに — ランサムウェアの「カラクリ」は、サプライチェーン攻撃にある

結論から申し上げます。中小企業のサイバー被害は、自社の業務停止では終わらず、取引先の業務と情報管理に波及します。 そして、ランサムウェアを動かす犯罪の分業構造は、守りの弱い組織を「入り口」として選びます。だから、サプライチェーン攻撃の起点は中小企業にある。これが本稿の主張です。

私はWEB業界で26年、現在76,325サイト（2026年10月時点）を運用しています。その立場から見える景色は、報道とは少し違います。ニュースでは「大手企業の情報が漏えい」と報じられますが、公表資料で経路をたどると、「委託先」「取引先」「海外子会社」「利用していたクラウドサービス」という中小規模の組織に行き着く事案が目立ちます。

本稿の主張と、根拠の範囲

主張を支える根拠と、その根拠が示していないことを先に整理します。統計が示す範囲を超えて断定しないことが、本稿の方針です。

数字で見る「中小企業の被害」と「取引先への波及」

警察庁の割合は「報告された被害の構成比」であり、侵入の起点がどの組織かを示す統計ではありません。侵入経路の割合も、経路に有効回答があった件数を母数とするものです。ただし、IPA調査の「被害企業の約7割が取引先に影響」と合わせて読めば、中小企業の被害がそのままサプライチェーンの被害になる構造は明らかです。

2026年、公表された被害は158項目（企業・グループ単位）

当社が一次資料（各社の公表文書）だけを基に集計したところ、2026年1月1日から10月8日までに、日本発祥の企業とその国内外子会社で公表されたサイバー被害は158項目に達しました。企業・グループ単位の掲載項目数であり、独立した攻撃の件数でも、国内の全件数でもありません（全件の一覧と集計条件は「2026年 日系企業のサイバー被害事例一覧」）。注目すべきは、「委託先が攻撃され、複数の大企業の情報漏えいにつながった」事案が複数あることです。

• FAQシステム「i-ask」を提供するスカラコミュニケーションズへの不正プログラム設置（2026年10月2〜3日）→ 大和証券（約11万名・約22万件）、損害保険ジャパン（延べ約6万件）、シチズン時計へ波及。最大5社・最大713,126件（延べ問い合わせ件数）が対象。
• 採用管理クラウド「ApplyNow」が利用するBIツールの脆弱性悪用（2026年8月9日〜9月7日）→ 吉野家（応募者4,998件）、はなまる（368件）へ波及。マイナンバー・口座情報も対象となり得た。
• 両毛システムズのVPNアカウント悪用によるランサムウェア（2026年8月12日侵入）→ 広島ガス等の利用企業へ波及。
• 再委託先YCC情報システムのランサムウェア（2026年4月2日）→ 委託元AGSが漏えいの可能性を公表。

いずれも、大企業の情報が、委託先への侵入によって漏えいした構図です。「他社にも影響した」ことと「他社のネットワークへ侵入した」ことは別ですが、業務が止まり、顧客情報が漏れるという結果は同じです。ランサムウェアの裏側で動く分業構造が、サプライチェーンを経路として使う。これが本稿で言う「カラクリ」です。

なぜ中小企業が起点になるのか — 3つの根本原因

1. 脆弱性：古いVPN機器、更新されないWordPress、SSL未対応のページなど、技術的な穴が放置されている。IPA調査では不正アクセス被害の原因の1位（48.0%）。
2. 知識不足：「何を」「誰に」「いくらで」頼めばよいかが分からず、対策が止まっている。投資しない理由の2位は「費用対効果が不明」24.2%。
3. 意識不足：自社が対象になる想定がなく、対策の優先順位が決まらない。投資しない理由の1位は「必要性を感じない」44.3%（IPA）。攻撃者は会社の規模ではなく「公開された弱点の有無」で選ぶ。

本稿では、この3つを具体的な事例と対策で解き明かし、当社が提供する「SCAN DOG」「SCSC Dog」がどの範囲を支援でき、どの範囲は自社で行う必要があるかを、国のSCS評価制度との関係を含めて、私の判断としてお伝えします。

2. サイバー攻撃のカテゴリと種類と特徴

サイバー攻撃は「目的」で4つに分類すると全体像がつかめます。IPA「情報セキュリティ10大脅威2026」（2026年1月29日公開）の組織編では、1位「ランサム攻撃による被害」、2位「サプライチェーンや委託先を狙った攻撃」、3位「AIの利用をめぐるサイバーリスク（初選出）」、4位「システムの脆弱性を悪用した攻撃」が上位を占めました（出典：IPA 10大脅威2026解説）。重要なのは、上位4つがすべて、中小企業の弱点と結びついている点です。

カテゴリ別の全体像

攻撃の種類と特徴（2026年の国内事例つき）

出典：警察庁 令和7年上半期 サイバー空間をめぐる脅威の情勢、警察庁 令和8年上半期（2026年9月公表）、令和8年警察白書 解説、Check Point Japan Threat Landscape 2025、「2026年 日系企業のサイバー被害事例一覧」（各社公表資料に基づく）

3. 狙いは大企業ではない — 知名度の低い中小企業こそ「立派な標的」である理由

企業の規模や知名度にかかわらず、公開された機器やアカウントの弱点は悪用され得ます。 ハッカー集団にはレベル（階層）があり、下の階層ほど「破りやすい相手」を自動で探しています。会社の知名度は選定基準に入っていません。 専任担当者を置けない企業でも、対象と優先順位を決めれば対策は進められます。本章は、そのために知っておきたい「相手の仕組み」の説明です。

ハッカー集団の4つのレベル

出典：Sophos「Ransomware as a Service」解説、Check Point Japan Threat Landscape 2025、警察庁 令和7年上半期資料、警察庁 令和8年上半期資料

分業化が「中小企業＝標的」を生む3つの理由

1. 標的選定は人間ではなく自動スキャナが行う。 レベル4のブローカーは、脆弱性のあるVPN機器やCMSをインターネット全体から自動収集します。警察庁の観測網（センサー）が検知した不審なアクセス（脆弱性探索行為等）は、2026年上半期に1日・1IPアドレスあたり13,687件（前年同期比＋50.7%）に達し、大部分が海外発です。これは観測網の平均値であり、個々の企業のサーバーでの実測値ではありませんが、公開サーバーが常時探索されている実態を示しています。
2. 侵入口は「商品」として売買される。 認証情報の売買で複数の関与者が役割分担する攻撃態様が確認されています（警察庁）。中小企業のVPNアカウントは、本人の知らないうちに値札を付けられて取引されています。
3. 脆弱性公開から悪用までの時間が極端に短い。 Patchstackの観測では、悪用が確認されたWordPress関連の脆弱性について、公開から悪用までの加重中央値が5時間で、影響の大きい脆弱性の約半数が24時間以内に悪用されていました。全脆弱性の平均ではなく、悪用が集中した脆弱性群の観測値です（Patchstack 2026）。「月に1回更新する」運用では間に合いません。

2026年の事例一覧が示す「名もなき標的」

2026年の事例一覧の158事例には、自転車小売、スキー場、歯ブラシ製造、食品卸、鞄店、仏壇店、地域情報サイトまで含まれます。いずれも全国的な知名度とは無縁の企業です。

• 食創（食品卸）：2026年6月2日、ランサムウェアで社内サーバー暗号化
• ガーラ湯沢（スキー場）：リフト券発券システム障害、最大1,518名の顔写真を含む情報が漏えいの可能性
• ファイン（歯ブラシ・介護用品）：通販サイトの脆弱性でカード情報912件が漏えいの可能性。警察からの連絡で発覚
• 村瀬鞄行（ランドセル製造小売）：オンラインショップへの不正アクセスでサイト一部停止
• まちあい徳山（地域情報・Web制作）：企業サイトと地域情報サイトに不正ファイルが置かれ検索結果を改ざん

攻撃者が企業を知名度で選んだ形跡は、これらの公表資料にはありません。公開された弱点が見つかった順に侵入されるのが、分業化した攻撃の実態です。これが「知名度の低い中小企業も立派な標的」である理由です。

4. 中小企業の3つの接点 — ①ホームページ、②メール、③ブラウザ

中小企業がホームページを運営し、メールやWebサービスを業務に使ううえで、攻撃が入り込む接点は「①ホームページ、②メール、③ブラウザ」の3つに整理できます。本稿はこの3つを軸に、攻撃が入り込む仕組みと具体的な対策を解説します。3つの接点は、経営者が日常業務を点検するための編集上の整理であり、侵入経路の統計分類でも、企業のサイバーリスク全体を網羅した分類でもありません。

本稿が扱う範囲と、扱わない範囲

企業全体の対策では、この3つに加えて、VPN等の公開機器、認証基盤、端末、社内ネットワーク、委託先の管理を別途点検します。警察庁の統計では、ランサムウェアの侵入経路として有効回答があった36件のうち27件（75%）がVPN機器とリモートデスクトップでした（2026年上半期）。VPN機器の更新と多要素認証は、3つの接点の点検と並行して、最優先で確認してください。VPN機器の認証情報がメールやブラウザ経由で盗まれる事例はありますが、VPN機器そのものの脆弱性管理は、本稿の3つの接点とは別の対策項目です。

①ホームページ：24時間公開された「玄関」

ホームページは「名刺代わり」ではなく、社内ネットワークと顧客データにつながる「公開サーバー」です。特にホームページと基幹システム・メールサーバーが同じサーバーに同居している中小企業は、ホームページの脆弱性がそのまま全社停止に直結します。

②メール：人間の判断を突く「裏口」

生成AIの普及で、不自然な日本語で見抜ける時代は終わりました。Proofpointが観測した2025年の新種メール攻撃のうち、82.8%が日本を標的としていました（Proofpoint 2026年1月14日、同社の観測範囲における割合。上原哲太郎氏対談）。

③ブラウザ：パスワードが漏れる「窓」

3つの接点は「連鎖」する

実際の攻撃では、この3つが連鎖します。典型例は「メールでフィッシング→ブラウザで認証情報を入力→その認証情報でVPNやホームページ管理画面に正規ログイン→社内へ横展開→ランサムウェア」という流れです。一つの事案が複数の接点に関わることは珍しくなく、本稿の分類は重なりを許容しています。接点をひとつだけ塞いでも、残りが開いていれば意味がありません。

5. ケーススタディ① サイバーセキュリティ体制の「脆弱性」— 事例と具体的対策

脆弱性とは「直せるのに直していない穴」のことです。2026年の事例で侵入原因が公表されたものの多くは、未知の高度な攻撃ではなく、修正パッチが公開済みの既知の穴や、設定の不備を突かれたものです。

事例1：西山製作所（引抜鋼管製造）— VPN機器の脆弱性

2026年1月22日、ランサムウェア感染でサーバー内データにアクセス不能となりました。調査で、VPN機器の脆弱性と一部認証情報を起点とする侵入が判明し、情報流出も公表されました（同社公表資料）。同様のパターンは、精電舎電子工業（VPN経由で大半のサーバーと複数PCを暗号化）、東京鋪装工業（ネットワーク機器の脆弱性）、オリエンタルダイヤモンド、D&M、フェースでも繰り返されています。警察庁の統計でも「最多の入り口」です。

事例2：佐嘉平川屋（食品製造・通信販売）— 1年間気づかなかった決済ページ改ざん

ECサイトの決済アプリ（ペイメントアプリケーション）が改ざんされ、2025年3月21日から2026年3月10日までの約1年間に決済したお客様のカード情報6,303件が漏えいした可能性があります。2021年4月6日以降に入力された個人情報7万3,213件も、漏えいした可能性があると公表されています（同社公表）。ホームページの見た目は何も変わらないため、脆弱性診断をしていなければ発見できません。ファイン（歯ブラシ製造）は警察からの連絡で初めて気づきました。

事例3：学研メディカルサポート — WordPressの脆弱性

2026年8月3日、WordPressの脆弱性を悪用され、不正なアカウント作成と既存アカウントのパスワード上書きが確認されました（同社公表）。管理者権限を奪われれば、改ざん・バックドア設置・サーバー内部への侵入は時間の問題です。

事例4：フィーチャ（AIソフトウェア）— 7か月間の潜伏

最初の侵入痕跡は2025年7月9日、ランサムウェア被害の判明は2026年2月9日。32台のサーバーに不正アクセスされ、13台が感染、144個のGitHubリポジトリが外部コピーされました。攻撃者は侵入後すぐに暗号化しません。最も価値のあるデータを探し、持ち出してから暗号化します。

具体的対策（優先順）

出典：金融庁「金融分野におけるサイバーセキュリティに関するガイドライン」（2024年10月）、Patchstack State of WordPress Security 2026、「2026年 日系企業のサイバー被害事例一覧」

6. ケーススタディ② サイバーセキュリティ体制の「知識不足」— 事例と具体的対策

知識不足とは「安全なつもりで危険な設定・運用をしている」状態です。製品に脆弱性がなくても、設定と運用を誤れば穴は開きます。2026年の事例では、「リモート接続の構成」「個人の環境に置かれた認証情報」「盗まれたアカウント情報」「補助的に使っていたシステム」が、繰り返し入り口になっています。

事例1：エイテックプロ（建材補修）— リモート接続機能からの侵入と、ログの欠損

在宅勤務のために使っていたリモート接続機能の、構成上の脆弱性を悪用されて侵入され、ランサムウェアで一部サーバーが暗号化されました。約7万件の個人情報の漏えいを否定できず、「一部のログ欠損（攻撃者による削除含む）」により、調査で痕跡を完全には特定できなかったと公表されています（同社公表）。ログを別の場所に保全していないと、被害範囲を特定できず、最大想定で通知するしかなくなります。

事例2：CAMPFIRE — 従業員の個人開発用サーバーに置かれた認証トークン

従業員が個人開発で利用していたサーバーに置かれたGitHubトークン等が悪用され、社内クラウドへ侵入されました。対象者22万5,846件（ユニーク件数）の個人情報等が漏えいのおそれとなりました（同社公表）。認証情報の置き場所に関するルールがない、あるいはあっても周知されていないと、従業員一人の便宜が全社の穴になります。

事例3：いえらぶGROUP — 利用企業から盗まれたアカウント情報

悪意ある第三者による不正アクセスと、システムの脆弱性が発端となり、データが流出しました。攻撃者はインフォスティーラー（情報を盗むマルウェア）等を使い、同社のクライアント企業のアカウント情報を盗んでいた可能性が高いとされています。流出した可能性がある情報は、氏名・メールアドレス・電話番号・住所・物件の希望条件など、物件を探す人と不動産会社とのやり取り履歴の一部です（同社公表）。自社のシステムを固めても、利用企業の端末からログイン情報が盗まれれば、攻撃者は正規の利用者として入ってきます。

事例4：山田ボデー工業所・ホソカワミクロン・扶桑電通 — 「補助的に使っていた」システム

山田ボデー工業所では、同じサーバーに残っていた旧ECサイトの顧客データベースが閲覧されました。ホソカワミクロンでは「補助的に使うクラウドストレージの1アカウント」から1,728件の個人データが漏えい。扶桑電通ではクラウド共有フォルダーの認証情報悪用で26,489件。いずれも「主要システムではない」と思われていた場所が入り口でした。

事例5：風の旅行社 — 委託先の被害でデータを失う

利用していた外部メール配信サービスが不正アクセスを受け、登録データを復旧できず、個別連絡ができないままメールマガジンを停止しました。委託先に預けたデータのバックアップを自社で持っていないと、委託先の被害がそのまま自社の資産喪失になります。

具体的対策（知識を「仕組み」に変える）

知識は属人化します。担当者が辞めた瞬間に失われます。だからこそ「知っている人を雇う」より「知らなくても回る仕組み」が中小企業の現実解です。

7. ケーススタディ③ サイバーセキュリティ体制の「意識不足」— 事例と具体的対策

意識不足とは「自社が標的になり得ること、そして自社の被害が取引先の被害になり得ることが、経営の判断材料に入っていない」状態です。IPAの2024年度調査では、セキュリティ投資をしない理由の1位が「必要性を感じない」44.3%でした（IPA）。当社の約11万社調査でも、中小企業の63.4%がセキュリティ対策を一切実施していませんでした。誰も「やらないと決めた」わけではありません。多くの場合、「自分の会社が対象になる」という想定が、判断の材料に入っていないだけです。知識・人材・予算に制約がある企業ほど、対象と優先順位を決めることが出発点になります。

以下の事例は、各社の公表資料で確認できる事実のみを記載しています。当該企業の教育状況や組織文化を推測して評価するものではありません。経営者が自社で確認すべき「想定場面」としてお読みください。

事例1：小田原エンジニアリング — 5か月間のメール閲覧と、顧客に生じた金銭被害

ドイツ子会社への出向社員のメールアカウントが2026年3月27日から8月31日まで侵害され、約3,500件のメールが閲覧されました。なりすましによる支払先変更依頼で、金銭被害を受けたのは顧客です（同社公表）。メールの閲覧だけでは被害が小さく見えますが、取引の文脈を知られることが、取引先の金銭被害につながる典型例です。

事例2：東洋紡せんい→東洋紡エムシー — グループ内で被害が連鎖

従業員のメールアカウントが侵害され、約1,500件のフィッシング誘導メールが送信されました。受信した関連会社の従業員2名も不正アクセス被害を受けました（東洋紡エムシー公表）。送信元が知っている相手であっても安全とは限らない、という前提が、サプライチェーン全体で必要になります。

事例3：カインドオル（ブランド古着小売）— 従業員1名のアカウント侵害から136,464人

フィッシングで従業員アカウントを奪われ、顧客データを2回不正エクスポートされました。対象は136,464人（同社公表）。巧妙な日本語のフィッシングを個人の注意力だけで見抜くことは困難で、アカウント侵害を前提にした多要素認証と、大量エクスポートの検知が必要になります。

事例4：マリモホールディングス — 役員を装った業務依頼のフィッシング

公表資料から確認できるのは、グループ役員を名乗る業務依頼のフィッシングにより、退職者を含む従業員約1,360名分の情報が不正取得されたことです（同社公表）。同様の被害を減らすには、役職や差出人にかかわらず、機密情報の提供依頼を別経路（電話や社内チャット）で確認する手順が有効です。

具体的対策（経営者が行うべき5つ）

1. 経営者が責任者だと宣言する。経済産業省「サイバーセキュリティ経営ガイドラインVer3.0」の3原則は、①経営者がリーダーシップを発揮する、②自社のみならずサプライチェーン全体の対策を行う、③関係者とのコミュニケーションをとる、です（経産省・IPA）。担当者任せにした瞬間、対策は止まります。
2. 「自社の被害＝取引先への被害」と数字で認識する。2026年上半期に調査・復旧費用を回答した35件のうち21件（60%）が1,000万円以上でした（警察庁）。これに取引停止・損害賠償・信用失墜が加わります。年間数万円からの対策費と比較してください。
3. 年に2回の標的型メール訓練と「報告した人を褒める」文化。開封率より報告率を評価する。怒られる組織では被害が隠されます。
4. 支払先変更は必ず電話で確認するルール。メールだけで振込先を変えない。この1行のルールでBECの多くは防げます。
5. 第三者の目で定期的に「健康診断」を受ける。佐嘉平川屋は約1年、フィーチャは約7か月、小田原エンジニアリングは約5か月、被害に気づけませんでした。自社で気づけないものは、外から見てもらうしかありません。

出典：経済産業省「サイバーセキュリティ経営ガイドライン」、警察庁 令和8年上半期資料、株式会社ガーディアン 独自調査（2025年8月）、「2026年 日系企業のサイバー被害事例一覧」

8. WordPressの脆弱性と、CMSの選び方

WordPress は「世界で最も使われ、世界で最も攻撃されているCMS」です。

問題は「オープンソースかどうか」ではなく「誰が、どの頻度で、どう直すか」です。

WordPressの脆弱性の7つのポイント、被害実績が多い理由、自治体・公的機関が調達仕様書で「WordPress」を排除する理由と公正取引委員会の見解は、「WordPressの脆弱性と、CMSの選び方」で詳しく解説しています。

9. 世界的に見て、なぜ今、日本企業が世界のハッカー集団から狙い撃ちされているのか

日本は「身代金を払わない国」にもかかわらず、攻撃が増え続けています。Proofpointの2024年調査では、身代金支払率は日本32%に対し世界平均54%。それでも、Proofpointが観測した2025年の新種メール攻撃の82.8%が日本を標的としていました（Proofpoint 2026年1月14日、同社の観測範囲における割合。上原哲太郎氏対談）。「払わないのに狙われる」には理由があります。

理由1：地政学的に「最前線」にいる

Check Pointは、日本が標的になる理由として、NATO・米国・イスラエルとの安全保障上の連携、台湾情勢、北朝鮮の活動を挙げています（Check Point Japan Threat Landscape 2025）。警察庁は、中国の関与が疑われるMirrorFaceによる政府・シンクタンク・マスコミへの攻撃、北朝鮮を背景とするTraderTraitorによる約482億円相当の暗号資産窃取を公表し、Salt Typhoonについては2025年8月に国際アドバイザリーを発出しました（警察庁 令和7年上半期）。2025年6～10月には親ロシア派ハックティビストによる＃OpJapanのDDoSキャンペーンが続きました。IPA 10大脅威2026でも「地政学的リスクに起因するサイバー攻撃」が6位に入っています。

理由2：世界のサプライチェーンの「中心」にいる

先端製造、半導体、ロボティクス、自動車、精密機器。日本企業は世界のサプライチェーンの中心におり、産業スパイと知財窃取の標的になります（Check Point）。しかもそのサプライチェーンは、世界でも稀な「多層の中小企業」で構成されています。大企業を直接破るより、Tier2・Tier3の取引先を破る方が圧倒的に安上がりです。

理由3：「日本語の壁」が生成AIで消えた

かつて不自然な日本語は、海外の攻撃者を遠ざける防壁でした。生成AIは正しい敬語と文脈に沿ったフィッシングを量産し、特定地域の中小企業や地方銀行の顧客をリストアップすることさえ可能にしました（Proofpoint）。日本は「言語の防壁が消えた直後の、対策が追いついていない市場」です。

理由4：基本対策の不徹底が「数字で」見えている

• 日経225企業の92%がDMARCを導入しているが、なりすましを拒否する「Reject」設定は15%。有効に阻止できる設定の割合は36%で18か国中最下位（Proofpoint）。
• ランサムウェアの侵入口は、2026年上半期も有効回答36件中27件（75%）がVPN機器とリモートデスクトップ。つまり「パッチ未適用」と「多要素認証なし」で破られている（警察庁）。
• 中小企業の約7割に組織的なセキュリティ体制がなく、62.6%が直近3期に投資していない（IPA 2024年度調査）。当社調査では63.4%が対策を一切実施していない。
• 国内のサイバーセキュリティ人材は約11万人不足（当社SCAN DOG正規版ページ）。従業員300～500人規模でも「ひとり情シス」が常態。

攻撃者から見れば、日本は「豊かで、重要で、言語の壁がなくなり、そして穴が多い」市場です。身代金を払わなくても、盗んだデータは売れ、大企業への侵入口は売れ、破壊そのものが目的の攻撃もあります。「払わないから狙われない」は成立しません。

10. サイバー攻撃に対する国の所感と対策方針、具体的な対策

国はすでに「企業の自助努力」から「国が積極的に関与する」段階に軸足を移しています。2025年12月23日に閣議決定された新「サイバーセキュリティ戦略」は、「深刻化するサイバー脅威」と「厳しさを増す安全保障環境」を踏まえ、今後5年で「世界最高水準の強靭さを持つ国家」を目指すと宣言しました（内閣官房 国家サイバー統括室 戦略本文、解説記事）。

国の所感（脅威認識）

• 警察庁：ランサムウェア被害は「規模や業種にかかわらずターゲット」。2026年上半期は123件で半期過去最多、うち中小企業79件。サイバー警察局便りで「ランサムウェア被害拡大中」と注意喚起（警察庁 便り2026 Vol.16、2026年9月18日）。
• 警察庁・旧NISC：MirrorFaceによる国内組織への攻撃を「日本の安全保障や先端技術の情報窃取を目的とする、中国の関与が疑われる組織的な攻撃」と評価（注意喚起2025年1月8日）。
• IPA：サプライチェーン・委託先を狙った攻撃が8年連続で上位、AIリスクが初選出で3位（専門家の審議・投票による順位で、件数の順位ではない）。
• 政府戦略：「サプライチェーン全体のレジリエンス確保」を明記し、供給者の責務の制度化、取引先への対策要請に関する法令適用関係の明確化を計画。

対策方針と具体的対策（2026年10月8日時点の法制度・制度一覧）

国の方針が中小企業に突きつけること

国の施策は、すべて同じ方向を向いています。「大企業は取引先の対策水準を確認せよ」「取引先は対策水準を証明せよ」。これまでは努力義務でしたが、SCS評価制度の運用開始で、2社間の取引契約で「取引条件」として示されるようになります。IPAの2024年度調査では、取引先のセキュリティ要求に応えたことが受注・維持の大きな要因になったと答えた中小企業が42.1%（投資企業では49.8%）に達しています。対策していない中小企業は、攻撃される前に、取引から外される可能性があります。なお、SCS評価制度は任意の制度で、個社間の商取引に関し規制措置を講じるものではありません（経済産業省・内閣官房「SCS評価制度に係る不適切な勧誘に御注意ください」2026年4月27日）。

ただし、国の制度は「何をすべきか」を示すもので、「どうやって、いくらで」は示しません。次章からは、当社がその空白を埋めるために用意した3つのサービスと、それがSCS評価制度にどこまで対応できるかをお伝えします。

11. 中小企業のサイバーセキュリティ現状を把握する「SCAN DOG簡易版」

対策の第一歩は「今、自社に穴が開いているか」を知ることです。 SCAN DOG簡易版（セキュリティ・チェック・サービス）は、中小企業のホームページを外部から「健康診断」し、攻撃者の自動スキャナに引っかかる状態かどうかを短期間で判定します（SCAN DOGサービスページ）。

何を調べるのか

こんな方に

• 「制作会社に任せっきりで、今のホームページが安全かどうか分からない」中小企業の経営者
• 「取引先からセキュリティ対策の状況を聞かれたが、答えられない」総務責任者
• 「数千社の取引先のうち、どこから手をつければいいか分からない」大企業の調達・情報システム担当者

提供条件

簡易版は「治療」ではなく「診断」です。ただし、診断なしに治療は始まりません。 決済ページ改ざんや潜伏型の侵入は、外部からの定期診断がなければ気づきにくい被害です。簡易版は、その「気づく機会」を作ります。なお、簡易版は外部から確認できる項目に限られ、ログイン後の機能、VPN機器、社内ネットワークは対象外です。

出典：株式会社ガーディアン プレスリリース（2025年8月7日）

12. 中小企業のサイバーセキュリティを守る「SCSC Dog」

診断で穴が見つかったとき、中小企業に必要なのは「毎回自分で塞ぐ作業」ではなく、「攻撃される面を減らし、更新と監視を任せられる構造」に移ることです。 SCSC Dog（スクスクドッグ）は、当社のサブスクリプション型ホームページサービス「SCSC」のセキュリティ重視型です（SCSC Dogサービスページ）。

WordPressの7つの弱点に対する、SCSC Dogの設計

標準装備と条件

機能・実績・診断結果は、別のもの

ここで正直に範囲を示します。SCSC Dogが守るのは「ホームページと、自社ドメインのなりすまし」です。 従業員のメールアカウントそのものの侵害、従業員端末のブラウザやOSの更新、VPN機器、社内ネットワークは対象外です。3つの接点のうち「ホームページ」を構造的に守り、「メール」のうち自社ドメインのなりすましを防ぎ、「ブラウザ」に対してはサイト側のヘッダーとCookie設定で訪問者を守る。それがSCSC Dogの守備範囲です（当社解説「3大侵入口を守る防衛戦略」）。

なぜ「セキュリティだけ」のサービスにしなかったのか

中小企業にとって、セキュリティは「売上を生まないコスト」です。だから後回しにされます。当社は26年間、「儲かるホームページ」を作ることを生業にしてきました。SCSC Dogは、集客・SEO・成果計測を備えたホームページの「土台」をセキュアにするという発想です。セキュリティのために月額を払うのではなく、儲かるホームページにセキュリティが「ついてくる」。これが中小企業が対策を続けられる現実的な形だと考えています。

出典：株式会社ガーディアン プレスリリース（2025年8月7日）、ガーディアン 公式サイト

13. 大企業と中小企業のサプライチェーンを守る「SCAN DOG（正規版）× SCSC Dog」

（図14の中に「300項目の診断」の文字がある）

取引先の公開Web資産の弱点を「継続的に、一元的に」把握することが、発注側ができる現実的な第一歩です。 SCAN DOG正規版は、大企業が取引先・委託先・グループ会社を一括契約するWEBアプリケーション脆弱性自動診断プラットフォームです（SCAN DOG正規版 サービスページ）。診断の対象は公開Webアプリケーションであり、VPN機器・端末・社内ネットワークは対象外です。

大企業が取引先対策を進められない「四重のジレンマ」

SCAN DOG正規版の仕様

「簡易版 → 正規版 → SCSC Dog」の流れ

1. 探査（SCAN DOG簡易版）：大企業の取引先リストを基に、早急な対策が必要な中小企業を約10営業日で洗い出す。初回1～100社無料。
2. 継続診断（SCAN DOG正規版）：全取引先を300項目で定期診断。ダッシュボードで大企業が一元管理。新しい脆弱性が出たら次の診断で検出。
3. 構造転換（SCSC Dog）：修正しても指摘が繰り返される取引先は、更新と監視を当社が担う構成へ移行。以降の診断で指摘が減少・解消したことを確認する（指摘ゼロは、診断時点・診断項目の範囲における結果）。
4. 証跡化（SCS評価制度への接続）：診断レポートと対応履歴が、取引先が★3・★4の評価を受ける際の、脆弱性管理に関する証跡の一部になる。

費用対効果の考え方（当社試算の前提）

取引先1,000社・売上3,000億円規模の企業を想定し、サプライチェーン経由の事故による損失を8～30億円、年間の発生確率を5%と置くと、年間期待損失は4,000万～1.5億円です。SCAN DOG正規版の年間費用1,200万～1,800万円は、この年間期待損失の約8～45%に相当します。

ROI（投資利益率）の倍率は示しません。ROIを計算するには、対策によって減らせる損失の割合（低減率）が必要ですが、公開Web領域の診断はVPN・端末・基幹システムを起点とする事故を直接は減らさないため、低減率を事例ごとに裏づけられる段階にないからです。損失規模の参考として、小島プレス工業を起点とした2022年の大手自動車メーカー全工場停止（約13,000台の生産影響）、給食委託業者のVPNを起点とした2022年の大阪急性期・総合医療センター（復旧72日）、2024年の大手出版グループ（被害総額100億円超）があります。いずれもサプライチェーン経由または公開機器起点の事故で、損失規模の目安であって、本サービスで防げたことを示すものではありません。

※料金・試算は当社の提示条件と仮定に基づきます。第三者検証を経たものではなく、実際の条件は契約時にご確認ください。

出典：株式会社ガーディアン プレスリリース（2026年4月21日）、SCAN DOG正規版 サービスページ

14. SCS評価制度に「SCAN DOG（正規版）× SCSC Dog」はどこまで対応できるか

結論：SCAN DOG正規版とSCSC Dogは、★3の要求事項のうち公開Web領域に関わるものについて、対策の実施と証跡の作成を支援し得ます。適合の判断は、組織の適用範囲全体の運用状況と証跡で行われるため、サービス導入で「〇項目が完了する」とは言えません。

★3の要求事項ごとの「寄与」と「利用企業に残る対応」は、「SCS評価制度への対応 — Web領域でできること」に一覧でまとめています。

15. よくある質問（FAQ）

16. 2026年 日系企業のサイバー被害事例一覧

2026年1月1日から10月8日までに公表された、日本発祥の企業とその国内外子会社のサイバー被害は158項目です。 企業・グループ単位の掲載項目数であり、同じ委託先への攻撃が複数社に波及した事案（スカラコミュニケーションズ→大和証券・損保ジャパン・シチズン時計、ApplyNow→吉野家・はなまる、YCC情報システム→AGS）を含むため、独立した攻撃の件数ではありません。各行の一次資料は各社の公表文書で、当社が一件ずつ確認しています。

158項目の一覧（企業・業種・公表日・被害と影響・判明状況・一次資料）と、この一覧の読み方、分類集計は、「2026年 日系企業のサイバー被害事例一覧」に掲載しています。各事例の解説記事は、このページの下の「関連記事」に順次追加します。

17. まとめ — 「最も弱い環」を「最も強い環」に

ランサムウェアを動かす分業構造は、守りの弱い組織を入り口に選びます。中小企業の被害は取引先に波及し、2026年の公表事例では委託先への侵入が複数の大企業の情報漏えいにつながりました。だからサプライチェーン攻撃の起点は中小企業にある。対策は「現状把握→修復・構造転換→継続監視」の順で行う。これが本稿の結論です。

中小企業の経営者へ

御社は、御社だけを守っているのではありません。御社のホームページとメールは、取引先の玄関につながっています。まずは無料のSCAN DOG簡易版で「今、穴が開いているか」を確かめてください。穴があれば、SCSC Dogで「更新と監視を任せられる構造」に移ることができます。VPN機器の更新と多要素認証、支払先変更の電話確認は、それと並行して今日から始められます。

大企業の調達・情報システム責任者へ

取引先の対策を「お願い」する時代は終わりました。SCS評価制度の運用開始を前に、数千社の取引先の公開Web資産の弱点を「見える」状態にすることが、調達部門の新しい責務になります。SCAN DOG正規版は、50社のパイロットから始められます。

あわせて読みたい

• 
  事例一覧

  2026年 日系企業のサイバー被害事例一覧
• 
  CMSの選び方

  WordPressの脆弱性と、CMSの選び方
• 
  SCS評価制度

  SCS評価制度への対応