コラム約16分で読めます

サプライチェーン攻撃とは｜土木の元請と協力会社が取る対策

2026年10月14日

サプライチェーン攻撃とは、本命の組織を直接狙うのではなく、取引先・委託先・協力会社など、つながりのある組織の弱いところを足がかりにして攻撃する手口です。 IPAの「情報セキュリティ10大脅威 2026」では、組織編の2位に「サプライチェーンや委託先を狙った攻撃」が入っています。土木工事は、発注者・元請・一次や二次の協力会社・測量会社・JVの構成員が、図面・3次元データ・作業員名簿をやり取りしながら進む仕事です。守りは「自社の対策」と「やり取りの仕方の対策」の両方で考える必要があります。

この記事では、土木工事でどんなデータが誰の間を行き来するか、実際にある攻撃の入口、元請と協力会社それぞれがやること、工事の開始時・完了時に点検する項目をまとめます。

IPAの10大脅威2026と、取引先から波及する被害

IPAの「情報セキュリティ10大脅威 2026」組織編の上位は次のとおりです。

順位	脅威
1位	ランサム攻撃による被害
2位	サプライチェーンや委託先を狙った攻撃
3位	AIの利用をめぐるサイバーリスク
4位	システムの脆弱性を悪用した攻撃
5位	機密情報を狙った標的型攻撃

IPAの「中小企業の情報セキュリティ対策ガイドライン」第4.0版は、サプライチェーンの弱点を突いたサイバー攻撃が増えており、対策が不十分だと取引先の事業活動にまで影響を及ぼす可能性があるため、サプライチェーンを構成する企業間で取り組むことが求められているとしています。実際に、取引先からセキュリティ対策の実施を求められることも少なくないとも書いています。

実在の例として、個人情報保護委員会の令和6年度年次報告は、社会保険・人事労務業務の支援システムを運営する事業者のサーバが不正アクセスを受け、ランサムウェアで個人データが暗号化された事案で、多数の委託元から漏えい等の報告が寄せられ、その件数が2,745件にのぼったことを記しています。自社が攻撃されていなくても、預けた先が攻撃されれば自社の情報が漏れるという形のサプライチェーンの被害です。

土木工事で行き来するデータ

工事1件の中でも、これだけのデータが社外とやり取りされます。

やり取りの相手	渡す・受け取るデータの例	気をつけること
発注者（国・自治体）	設計図書、打合せ簿、工事写真、電子成果品	発注者が指定する情報共有システムの利用ルールと、預かった資料の扱い
JVの構成員	工程、原価、施工計画、協議の記録	構成員ごとの社内ルールの違い。共有の場所とアカウントの発行元
一次・二次の協力会社	作業員名簿、資格証の写し、健康診断の結果、安全書類	個人情報（健康情報は要配慮個人情報にあたる場合がある）を含む
測量会社・ICT施工の協力会社	ドローン測量の点群、3次元設計データ、ICT建機に渡すデータ	容量が大きく、ファイル共有サービスやUSBメモリでの受け渡しが増える
資材・リース会社	注文書、請求書、振込先	お金に直結するので、なりすましの標的になる
会計・労務の委託先	給与、社会保険、作業員の個人情報	委託先の被害で自社の情報が漏れるおそれ

作業員名簿や安全書類の書き方はグリーンファイル(安全書類)全種類の書き方ガイド、協力会社の選定の考え方は協力会社の選び方を参照してください。

実際にある攻撃の入口

協力会社のメールが乗っ取られて振込先を変えられる

IPAの「企業組織を狙う攻撃メールの手口とその対策」（2026年8月）は、ビジネスメール詐欺（取引先や経営者になりすまして偽の口座へ送金させる詐欺）の典型として、取引先とのメールのやりとりを盗み見たうえで、途中から取引先になりすまし、送金先口座の変更を依頼するメールを送る手口を紹介しています。攻撃者が取引先のメールアカウントに不正ログインして正規のアカウントから送ってくる場合や、よく似たドメイン名を取って送ってくる場合があり、これまでのやりとりの途中で自然に割り込んでくるため気づきにくいとしています。

土木工事では、出来高払いの請求、資材の支払い、JVの精算など、メールで請求書を受け取る場面が多くあります。振込先の変更は、メール以外の方法（登録済みの電話番号への電話など）で必ず確かめることを社内のルールにします。

共有したままのアカウントやフォルダ

工事のために協力会社や測量会社に発行したクラウドのアカウントや共有リンクが、工事が終わっても残っていることがあります。相手の会社でパスワードが漏れれば、そこから自社のクラウドに入られます。

受け取ったファイルからの感染

点群や写真、図面などのデータを社外から受け取る機会が多いのも土木工事の特徴です。公共工事の電子納品では、国土交通省の要領で電子成果品のウイルスチェックが定められていますが、受け取った時点でのチェックも習慣にします。

施工計画書や入札書類の作成に、毎回時間を取られていませんか？

施工計画書・入札書類・積算（実行予算/見積）の作成にかかる時間を、PattoAI で大幅に短縮できます。

詳しく見る無料体験について見る

元請がやること・協力会社がやること

土木工事業務改善Naviとして、公的機関の資料の考え方を土木工事のやり取りに当てはめたものです。

立場	やること	具体例
元請	共有する範囲を工事ごとに絞る	協力会社には担当工事のフォルダだけを見せる
元請	アカウントを会社・個人ごとに発行し、工事完了で止める	共用IDを配らない。完了日をアカウント台帳に書く
元請	個人情報の受け渡し方法を決める	作業員名簿・健康診断の結果をメール添付で回さず、権限を絞った共有の場所で受け取る
元請	協力会社に最低限の対策をお願いする	ウイルス対策ソフト、OSの更新、パスワードの強化、二段階認証
元請	事故のときの連絡先を交換しておく	「おかしいと思ったら元請の誰に連絡するか」を新規入場時に伝える
協力会社	情報セキュリティ6か条に取り組む	SECURITY ACTIONの一つ星の宣言から始める
協力会社	メールアカウントを守る	多要素認証を設定し、パスワードを使い回さない
協力会社	元請から預かったデータを工事後に整理する	元請の指示に沿って削除・返却する

協力会社にお願いする対策の目安として、IPAのSECURITY ACTIONの宣言が使えます。メールアカウントを守る方法は二段階認証の記事、メールの見分け方はメール誤送信・標的型攻撃対策の記事で扱います。

工事の開始時・完了時のチェックリスト

時期	No.	確認すること	できていれば
開始時	1	協力会社・測量会社ごとに共有の範囲を決めた	☐
開始時	2	アカウントを会社・個人ごとに発行し、台帳に完了予定日を書いた	☐
開始時	3	作業員名簿・健康情報の受け渡し方法を決めた	☐
開始時	4	振込先の変更はメール以外で確かめる、と経理と現場で共有した	☐
開始時	5	事故のときの連絡先を交換した	☐
工期中	6	社外から受け取ったデータをウイルスチェックしている	☐
完了時	7	協力会社のアカウントと共有リンクを止めた	☐
完了時	8	預けた・預かったデータの返却・削除を確かめた	☐
完了時	9	発注者の情報共有システムのアカウントの扱いを確かめた	☐

SCS評価制度の動き

経済産業省と内閣官房国家サイバー統括室が推進する「サプライチェーン強化に向けたセキュリティ対策評価制度」（SCS評価制度）は、企業のセキュリティ対策の水準を★3（専門家確認付き自己評価）と★4（第三者評価）で示す仕組みです。IPAのガイドライン第4.0版は、2026年度下期の制度開始を目指して整備が進められているとしています。

段階	考え方（IPAのガイドラインより）
★3	全てのサプライチェーン企業が最低限実装すべき対策として、基礎的な組織的対策とシステム防御策を中心に実施
★4	サプライチェーン企業等が標準的に目指すべき対策として、組織ガバナンス・取引先管理、システム防御・検知、インシデント対応等の包括的な対策を実施

制度の開始時期や手続きは今後の公表で変わる可能性があるため、IPAのSCS評価制度のページで最新の情報を確かめてください。

よくある質問

Q. 小さな協力会社でも狙われますか。 A. サプライチェーン攻撃は、対策の弱いところを足がかりにする手口です。会社の規模にかかわらず、取引先とつながっていること自体が狙われる理由になります。

Q. 協力会社に対策を求めるのは負担になりませんか。 A. いきなり高い水準を求めると続きません。ウイルス対策ソフト、OSの更新、パスワードの強化、メールの多要素認証といった基本から始め、SECURITY ACTIONの宣言を目安にするのが現実的です。

Q. JVで情報共有するときの注意点は何ですか。 A. 共有の場所とアカウントをどの構成員が管理するかを最初に決めます。工事の完了時にアカウントと共有を止める担当も決めておきます。

まとめ

サプライチェーン攻撃は、取引先・委託先・協力会社の弱いところを足がかりにする手口で、IPAの10大脅威2026の組織編2位
土木工事では、設計図書、点群・3次元データ、作業員名簿、請求書が多くの会社の間を行き来する
振込先の変更はメール以外で確かめ、協力会社のアカウントは工事完了で止める
協力会社への依頼は基本の対策から。SECURITY ACTIONの宣言が目安になる

出典・参考

独立行政法人情報処理推進機構（IPA）「情報セキュリティ10大脅威 2026」2026年1月29日（組織編）
https://www.ipa.go.jp/security/10threats/10threats2026.html
IPA「中小企業の情報セキュリティ対策ガイドライン第4.0版」2026年3月（サプライチェーンの考え方、SCS評価制度★3、★4を見据えた準備）
https://www.ipa.go.jp/security/guide/sme/about.html
IPA「企業組織を狙う攻撃メールの手口とその対策」2026年8月3日（ビジネスメール詐欺の手口）
https://www.ipa.go.jp/security/support/rcu1hd0000019vmo-att/20260803_1.pdf
IPA「サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）」
https://www.ipa.go.jp/security/scs/index.html
個人情報保護委員会「令和6年度年次報告」（漏えい等事案に関する報告の処理状況等）
https://www.ppc.go.jp/files/pdf/070610_annual_report.pdf
国土交通省「工事完成図書の電子納品等要領」令和8年2月（8-1 ウイルス対策）
https://www.cals-ed.go.jp/mg/wp-content/uploads/const_R8.2_1.pdf