建設業のサイバー攻撃｜元請・下請・協力会社に被害が広がる仕組み

建設業の社長、もし協力会社のパソコンがサイバー攻撃を受けたら、自社の工事には関係ないと言い切れますか？

建設業では、発注者、元請会社、下請会社、専門工事会社、設計事務所など、多くの企業が一つの工事に関わります。施工図、工程表、工事写真、見積書、発注情報などを、メールやクラウド、施工管理システムで共有することも一般的です。

こうした情報共有は工事を円滑に進めるために欠かせません。しかし、共有先のアカウントが乗っ取られたり、委託先のシステムが停止したりすると、自社の情報や工事にも影響が及ぶ可能性があります。

これは、企業間のつながりを通じてリスクが広がる「サプライチェーンリスク」の一つです。

ただし、取引先が感染したからといって、自社のシステムにも必ず感染するわけではありません。被害の広がりは、共有している情報、接続の仕組み、アクセス権限、セキュリティ対策などによって異なります。

この記事では、建設業で注意したい被害拡大の仕組みと、経営者が今日から確認できる具体的な対策を解説します。

建設業のサプライチェーンリスクとは

サプライチェーンリスクとは、取引先や委託先など、自社とつながる企業で発生した問題が、自社の業務にも影響するリスクを指します。

建設業では、一つの工事に複数の企業が参加するため、情報のやり取りも複雑になりやすい特徴があります。

• 発注者が元請会社へ設計・工事情報を提供する
• 元請会社が下請会社へ施工図や工程表を共有する
• 下請会社が専門工事会社へ作業内容を伝える
• 協力会社が施工写真や検査記録を共有システムへ登録する
• 設計変更や工程変更を複数の会社へ連絡する

このつながりの中で、どこか一社のシステムが停止すると、必要な情報の受け渡しができなくなる場合があります。

また、攻撃者が取引先のアカウントを悪用して偽のメールを送るなど、企業間の信頼関係を利用する攻撃にも注意が必要です。

社長が確認したいこと：自社の工事に関わる企業のうち、どの会社と重要な図面やシステムを共有していますか。

元請・下請・協力会社の情報共有で起こること

建設業の情報共有は、単に書類を送るだけではありません。工程管理、施工指示、品質確認、資材手配など、工事の進行そのものに関係しています。

例えば、元請会社が施工図を更新し、協力会社がクラウドから最新版を確認する運用をしている場合を考えてみましょう。

その共有サービスが使えなくなると、協力会社は変更後の施工内容を確認できない可能性があります。古い図面を使えば手戻りにつながり、最新版を確認できなければ作業を見合わせる判断が必要になる場合もあります。

反対に、協力会社から提出される検査記録や工事写真が届かなくなり、元請会社の品質確認や発注者への報告が遅れることも考えられます。

つまり、被害は「元請から下請へ」という一方向に限りません。情報を提供する側と受け取る側のどちらで事故が起きても、関係者に影響する可能性があります。

共有システムから被害が広がる仕組み

施工管理システムやクラウドストレージでは、複数の会社が同じ工事情報を閲覧・編集できることがあります。

利便性が高い一方、アカウント管理や共有権限に問題があると、意図しない情報閲覧や改ざんにつながる可能性があります。

例えば、協力会社の担当者のアカウントが第三者に乗っ取られた場合、そのアカウントに認められている範囲で、図面や工事情報を不正に閲覧・取得されるおそれがあります。

ただし、アカウントが乗っ取られたからといって、共有サービス全体が必ず感染するわけではありません。不正に利用できる範囲は、権限や認証の設定などによって変わります。

共有システムで確認したい設定

• 会社・工事・担当業務ごとにアクセス範囲を分けているか
• 多要素認証を利用できるか
• 共有リンクを誰でも開ける設定にしていないか
• 工事終了後のアカウントや権限を削除しているか
• 不審なログインや大量ダウンロードを確認できるか

特に、過去の工事で利用した協力会社のアカウントが残っていないかは、確認しやすい項目の一つです。

図面・ファイル交換を通じた被害

建設業では、CADデータ、BIMデータ、PDFの施工図、工程表、見積書、工事写真など、多くのファイルを企業間で交換します。

こうしたファイルのやり取りでは、取引先を装ったメールや、不正なダウンロード先への誘導に注意が必要です。

例えば、普段から図面を送ってくる協力会社の担当者名で「施工図を更新しました」というメールが届いたとします。

しかし、実際には担当者のメールアカウントが乗っ取られており、添付ファイルやリンクが不正なものである可能性もあります。

これは説明のための想定例ですが、日常的に図面を交換している相手ほど、不審な連絡を見逃してしまうおそれがあります。

また、ファイルの種類や利用するソフトウェアの脆弱性などによっては、悪意あるファイルの処理が端末への被害につながる場合があります。すべての添付ファイルが危険という意味ではありません。

ファイル交換の実践対策

• 突然届いた共有リンクや添付ファイルは慎重に確認する
• 不審な変更依頼は登録済みの連絡先へ別途確認する
• CAD・BIMソフトやPDF閲覧ソフトを適切に更新する
• 会社が承認した共有サービスを利用する
• 重要な図面の送付先と共有権限を確認する

社長が確認したいこと：取引先から普段と異なるファイル共有の依頼が届いた場合、担当者が確認できる手順はありますか。

委託先の感染やアカウント乗っ取り

協力会社や委託先でサイバー事故が発生した場合、影響の広がり方には複数の種類があります。

重要なのは、これらをすべて「感染が連鎖する事故」と考えないことです。

取引先のシステム停止による業務への影響と、不正なファイルやアカウントを通じた自社への攻撃は、異なる仕組みです。それぞれに応じた対策が必要になります。

工事中断・情報漏えい・信用への影響

サプライチェーンを通じたサイバー事故では、直接の被害を受けた会社だけでなく、工事に関わる別の会社にも影響する可能性があります。

例えば、重要な施工図を保管する委託先のシステムが停止し、最新版の図面を確認できなくなった場合、工事の一部を見合わせる必要が生じることがあります。

また、共有していた発注者情報が流出した場合、どの会社がどの情報を管理していたのかを調査し、発注者への説明や契約上の対応を検討する必要があります。

• 工事への影響：施工図の確認遅れ、工程変更、作業待機
• 経済的影響：追加外注費、重機・足場の延長費用、利益減少
• 情報への影響：図面、施工情報、発注者情報の漏えい
• 取引への影響：発注者や元請会社からの説明・調査要求
• 信用への影響：管理体制への不安や取引条件の見直し

ただし、これらの影響がすべての事故で発生するわけではありません。被害範囲、工事の進捗、契約内容、代替手段の有無などによって異なります。

経営者は、事故の技術的な原因だけでなく、どの現場、どの取引先、どの工程に影響しているかを早期に把握することが重要です。

元請・下請それぞれの責任と契約確認

サイバー事故が協力会社で発生した場合でも、元請会社や発注者との契約に基づく対応が必要になることがあります。

一方、元請会社のシステム障害によって下請会社の作業が止まった場合には、工程変更や追加費用の扱いについて協議が必要になる可能性があります。

ただし、元請会社だから必ず全責任を負う、下請会社だから責任がない、といった一律の判断はできません。

責任の範囲は、契約条件、情報の管理主体、事故の原因、具体的な損害、因果関係などによって異なります。

契約書で確認したい6項目

1. 機密情報として管理すべき資料の範囲
2. 再委託先や協力会社への情報提供条件
3. 情報漏えい・不正アクセス時の通知義務と期限
4. 事故調査への協力や記録提出の条件
5. 工事中断・工程変更・追加費用の取り扱い
6. 損害賠償、責任分担、契約終了時のデータ管理

特に、事故が起きた場合の連絡先と通知期限は、平常時に確認しておきたい項目です。必要に応じて契約や法律の専門家へ相談してください。

経営者が確認したい7つの対策

サプライチェーンリスクへの備えは、協力会社に高額なセキュリティ設備を求めることだけではありません。まず、どの会社と何を共有し、事故時にどう連絡するかを明確にすることが重要です。

1. 共有先の一覧化：主要工事について、図面や施工情報を共有する会社を整理する
2. 権限の限定：工事・会社・担当業務ごとに閲覧や編集の権限を分ける
3. 認証の強化：重要な共有サービスで多要素認証を利用する
4. ファイル交換の確認：不審なリンクや変更依頼を別の連絡手段で確認する
5. 工事終了時の見直し：不要な共有リンクやアカウントを削除する
6. 緊急連絡体制：協力会社で事故が発生した場合の報告先と連絡手順を決める
7. 代替手段の準備：共有システム停止時にも重要な工程・図面を安全に確認できる仕組みを整える

すべてを一度に実施する必要はありません。まずは現在進行中の重要工事を一つ選び、図面の共有先とアクセス権限を確認してみましょう。

なお、共有先一覧には担当会社、担当者、利用サービス、閲覧できる資料、権限の終了予定日を記載すると、見直しやすくなります。

協力会社で事故が起きた場合の初動対応

協力会社から「サイバー攻撃を受けた可能性がある」と連絡が入った場合、まず確認したいのは、自社との接点です。

相手の会社で事故が発生したという理由だけで、自社のシステムにも感染していると決めつける必要はありません。一方、共有アカウントやファイル交換を通じて影響している可能性は確認する必要があります。

1. 情報収集：発生日時、影響を受けたサービス、共有情報、判明している事実を確認する
2. 社内報告：情報管理責任者と工事責任者へ連絡する
3. 接点の確認：共有アカウント、メール、ファイル、外部接続の有無を調べる
4. 拡大防止：必要に応じて共有権限や接続を一時的に制限する
5. 証拠保全：関連メールやアクセスログを保存し、安易に削除しない
6. 業務継続：安全・品質を確認したうえで、代替の連絡手段や工程調整を検討する
7. 通知判断：発注者との契約や法令に基づく報告・通知の要否を確認する

個人データの漏えい等が疑われる場合には、個人情報保護法に基づく報告対象事態に該当するかも確認が必要です。報告対象の場合、法令上の期限があるため、初動段階から確認しておくことが重要です。

また、原因調査やアカウントの停止は、必要な証拠を保全しながら、情報システム担当者や専門家と連携して実施してください。

サイバー保険と事業継続の確認ポイント

協力会社や委託先を通じてサイバー事故が発生した場合、原因調査、情報漏えい対応、システム復旧、工事中断などに費用が発生する可能性があります。

サイバー保険は経済的損失に備える手段の一つですが、委託先で起きた事故や、他社のシステム停止による損失まで必ず補償するわけではありません。

加入している場合は、次の点を確認してみてください。

• 委託先や協力会社を通じた情報漏えいは補償対象か
• 共有アカウントの不正利用による事故は対象か
• 外部クラウドサービスの停止による事業中断は対象か
• 発注者や取引先への法律上の賠償責任は対象か
• 工事遅延、追加外注費、違約金は対象か
• 自己負担額、待機期間、補償限度額はどうなっているか
• 事故通知、専門家への依頼、事前承認にはどのような条件があるか

特に、委託先のシステム停止による損失と、自社システムへのサイバー攻撃による損失は、約款上の扱いが異なる場合があります。

また、保険に加入していても、工事に必要な情報がすぐに復旧するわけではありません。共有先の管理、代替連絡手段、バックアップ、復旧手順を組み合わせて備えることが重要です。

補償内容や支払可否は商品・約款・特約・事故状況によって異なります。実際の契約資料で確認してください。

まとめ｜まずは図面を共有する会社を確認する

建設業のサイバーリスクは、自社のパソコンやシステムだけで完結するとは限りません。

元請会社、下請会社、協力会社が図面や工程情報を共有するため、一社の事故が別の会社の工事や情報管理にも影響する可能性があります。

重要なのは、取引先を疑うことではなく、情報を安全に共有できる仕組みと、事故時に連絡し合える関係を整えることです。

まずは工事責任者に「この現場の施工図は、どの協力会社まで共有されていますか？」と聞いてみてください。

その答えを確認することが、サプライチェーンを通じた被害拡大を防ぐ第一歩になります。

関連記事

• 中小企業のサイバー保険｜補償と実務の確認ガイド
• サイバー保険の比較｜補償内容を確認するポイント
• サイバーBCP｜事業継続と復旧訓練の考え方

※本記事は一般的な情報提供を目的としています。事故の影響、契約上・法令上の責任、保険金の支払可否は個別の状況によって異なります。