サプライチェーン攻撃とは何か（取引先経由のリスク）
この教材でわかること：自社が直接の標的でなくても、取引先や委託先とのつながりを経由して被害が広がる「サプライチェーン攻撃」とはどのようなものか、そして中小企業として何から取り組めばよいかです。
サプライチェーン攻撃とは
サプライチェーン攻撃とは、攻撃者が本来の標的（大企業など）を直接攻撃するのではなく、その企業と取引のある会社や、業務を委託している会社を先に攻撃し、そこを足がかりにして本来の標的に侵入する手口です。委託先として使っているシステムや、納品しているソフトウェアに不正なコードを混入させる手口も含まれます。IPA（情報処理推進機構）が毎年公表している「情報セキュリティ10大脅威」の2026年版では、「サプライチェーンや委託先を狙った攻撃」が組織向け脅威の第2位に選ばれています。
なぜ中小企業が狙われやすいのか
サプライチェーン攻撃において、中小企業は「踏み台」として狙われやすいとされています。大企業と取引関係があることが、逆に攻撃者にとっての侵入経路になり得るためです。一方で、中小企業は専任のセキュリティ担当者や予算が不足しがちで、対策が手薄になりやすいという事情もあります。IPAが2024年10月25日〜11月6日に全国の中小企業4,191社を対象に行ったウェブアンケートの速報版によると、直近過去3期において「情報セキュリティ対策投資をしていない」と答えた企業の割合は62.6％にのぼりました。
被害が出た場合の実際の規模
同じIPAの調査では、2023年度にサイバーインシデントの被害を受けたと回答した企業975社について、過去3期に発生した被害額の平均は73万円、100万円以上の被害額だった企業は9.4％で、最大の被害額は1億円だったと報告されています。さらに、被害を受けた企業のうち約7割が「サイバーインシデントにより取引先にも影響があった」と回答しています。自社だけの被害で済まず、取引先にまで影響が及ぶ可能性がある点が、サプライチェーン攻撃を考えるうえで特に重要です。
中小企業として何から取り組むか
IPAは、中小企業が段階的に取り組めるよう、次のようなステップを案内しています。
- 「情報セキュリティ5か条」の実践と「SECURITY ACTION」一つ星の宣言：まず取り組むべき基本的な対策をまとめたものです。
- 「5分でできる！情報セキュリティ自社診断」：自社の対策状況を簡単に把握できる診断です。二つ星の宣言を目指す位置づけとされています。
- 「サイバーセキュリティお助け隊サービス」の活用：IPAが要件を定め、登録・公表している中小企業向けの対策サービスです。
- 「中小企業の情報セキュリティ対策ガイドライン」の参照：より詳しい対策を知りたい場合の資料です。
自社のサイトの運営について取引先・委託先に確認すべきことは、教材「制作会社に確認すること」でも解説しています。委託先に対策を求められる場面が増えている今、自社が「委託先」の立場であっても求められる対策を把握しておくことが重要です。
何をすべきか（まとめ）
- IPAの「5分でできる！情報セキュリティ自社診断」で、自社の対策状況をまず把握する
- 取引先・委託先としてサイトの運営を頼んでいる会社がある場合は、その会社の対策状況も意識する
- 自社が取引先から対策水準を求められる立場でもあることを理解し、できるところから「情報セキュリティ5か条」を実践する
参考にした公開情報
この教材は公開情報をもとに、セキュリティ担当がいない方にも分かるよう編集部がまとめたものです。引用した調査結果は速報版の数値であり、確定版では数値が変わる可能性があります。個別の会社の安全を保証するものではありません。