建設会社を狙う協力会社アカウントの悪用と不正アクセス防止対策

建設会社の社長、工事が終わった協力会社の担当者が、今も自社の図面や施工データを閲覧できる状態になっていませんか？

建設業では、元請、下請、専門工事会社、設計事務所など、多くの関係者が工事情報を共有します。クラウド型の施工管理システムや図面共有サービスを利用している会社もあるでしょう。

こうした仕組みは便利ですが、協力会社のアカウントが乗っ取られたり、不要なアクセス権限が残っていたりすると、自社の重要情報に不正アクセスされるおそれがあります。

特に注意したいのは、協力会社のアカウントだからといって、すべてのアクセスを信用できるわけではないことです。

この記事では、建設会社が注意したい協力会社アカウントの悪用、想定される被害、経営者が確認できる具体的な管理対策を解説します。

1. 協力会社のアカウントが狙われる理由

建設業では、一つの工事に複数の会社が参加し、施工図、工程表、施工写真、検査記録などを共有することがあります。

協力会社の担当者がクラウドサービスにログインし、必要な情報を閲覧・更新できる仕組みは、現場の作業効率を高めます。

一方、協力会社のアカウントが第三者に悪用されると、正規の利用者に見せかけて情報にアクセスされる可能性があります。

攻撃者は、偽メールによるパスワードの窃取、使い回された認証情報、端末の不正プログラム感染などを悪用する場合があります。

協力会社のセキュリティ管理状況を自社で完全に把握することは難しいため、自社側でもアクセス権限を適切に制限することが重要です。

中小企業の基本的な対策については、中小企業のサイバーリスクと実務対策の総合ガイドも参考にしてください。

2. 不正アクセスにつながる5つの管理上の問題

① 複数人で一つのIDを共有している

協力会社の担当者が共通IDを使っていると、誰がいつアクセスしたのか把握しにくくなります。

担当者が退職した場合にも、共通パスワードを知っていればアクセスできる状態が残るおそれがあります。

② 工事終了後もアクセス権限が残っている

工事が完了してもアカウントを停止せず、過去の協力会社が引き続き図面や顧客情報を閲覧できる状態になっている場合があります。

工事終了時に、不要なアカウントや共有リンクを削除・無効化する手順が必要です。

③ 必要以上の情報を閲覧できる

特定の工事だけに関わる協力会社が、別の工事の図面や顧客情報まで閲覧できる設定になっていないでしょうか。

業務に必要な情報だけを利用できるようにする「最小権限」の考え方が重要です。

④ パスワードだけでログインできる

パスワードが漏えいした場合、多要素認証が設定されていないと、第三者によるログインを防ぎにくくなることがあります。

利用するサービスが対応している場合は、多要素認証の導入を検討しましょう。

⑤ アクセス記録を確認していない

誰が、いつ、どの情報にアクセスしたのかを確認できないと、不審な操作が発生した場合に原因や影響範囲を調べにくくなります。

利用しているクラウドサービスのログ保存機能や、管理者が確認できる記録の範囲を把握しておきましょう。

3. 建設会社で想定される被害

協力会社のアカウントが悪用されると、アクセスできる情報や権限によって、次のような被害が生じる可能性があります。

• 工事図面の流出：施工図や設計情報が第三者に閲覧・取得される。
• 顧客情報の漏えい：施主の氏名、連絡先、工事内容などが外部に流出する。
• 施工データの改ざん：図面や工程表が不正に変更され、現場で誤った情報を利用するおそれがある。
• 業務停止：共有データの削除や暗号化などにより、工事管理が滞る場合がある。
• 取引先への影響：原因調査、説明、情報共有の見直しなどが必要になる可能性がある。

例えば、ある建設会社で、工事終了後も有効なままになっていた協力会社のアカウントが第三者に悪用されたと仮定します。

そのアカウントに複数現場の閲覧権限が残っていた場合、過去の工事図面だけでなく、現在進行中の工事情報まで閲覧されるおそれがあります。

これは想定例であり、実際の被害規模はアクセス権限やシステムの構成、攻撃内容によって異なります。

4. 協力会社アカウントを守る7つの対策

経営者が確認したいのは、協力会社を疑うことではなく、安心して情報を共有できる管理体制があるかどうかです。

1. 利用者ごとにIDを発行する：可能な限り共通IDを避け、誰が利用しているか分かる状態にする。
2. 工事単位で権限を設定する：担当する工事に必要な情報だけを閲覧・編集できるようにする。
3. 多要素認証を利用する：対応サービスでは、パスワードに加えて別の認証手段を設定する。
4. 利用期限を設定する：工事終了日や契約終了日を基準に、アクセス権限を見直す。
5. 不要な共有リンクを無効化する：期限のない公開リンクや、誰でも閲覧できる設定を見直す。
6. アクセス記録を確認する：不審なログインや大量ダウンロードなどを把握できる仕組みを確認する。
7. 管理責任者を決める：アカウントの発行、変更、停止を誰が承認するか明確にする。

最初からすべての対策を導入する必要はありません。まずは、現在有効な協力会社のアカウント一覧を確認し、不要な権限が残っていないか調べることから始めましょう。

5. 工事開始・変更・終了時の管理手順

協力会社のアカウント管理は、工事の進行に合わせて見直すことが重要です。

工事開始時

• 利用する協力会社と担当者を確認する。
• 閲覧・編集が必要な工事情報を決める。
• アカウントの管理責任者と利用期限を設定する。
• 多要素認証など、必要な認証設定を確認する。

工事途中で担当者が変更されたとき

• 前任者のアクセス権限を見直す。
• 新しい担当者に必要な権限だけを付与する。
• 共有リンクやパスワードの取扱いを確認する。

工事終了時

• 不要になったアカウントを停止する。
• 外部共有リンクを無効化する。
• 工事情報の保存先と保管期間を確認する。
• 必要な記録を残したうえで、権限の終了を管理台帳に記録する。

工事終了後も保証対応や点検などで情報共有が必要な場合は、必要な範囲と期限を定めてアクセスを継続するなど、実務に合わせた管理が必要です。

6. 協力会社と決めておきたい連絡ルール

不正アクセスを防ぐには、自社だけでなく、協力会社との連絡体制も重要です。

例えば、次のような内容を事前に共有しておくと、事故が疑われた場合に対応しやすくなります。

• 担当者の退職・異動があった場合の連絡先
• アカウントの紛失・不正利用が疑われた場合の報告先
• 共有データの取扱いと再共有のルール
• 工事終了時のアクセス権限の停止手順
• 不審なログインや情報流出が疑われた場合の連絡手順

重要なのは、事故が発生したときに責任を押し付け合うことではなく、速やかに情報を共有し、被害拡大を防ぐことです。

協力会社との契約や情報管理ルールに、事故時の連絡義務や必要な協力内容を定めておくことも検討できます。

7. 不正アクセスが疑われた場合の初動対応

協力会社のアカウントから不審なログインや大量のデータ取得が確認された場合は、事実関係を整理しながら被害拡大を防ぎます。

1. 社内責任者へ報告する：対象アカウント、発見時刻、不審な操作の内容を整理する。
2. 管理者と連携する：必要に応じてアカウントの一時停止やセッションの失効を行う。
3. ログを保全する：アクセス日時、接続元、閲覧・ダウンロード履歴などを保存する。
4. 協力会社へ確認する：普段から使用している連絡先を通じて、正規の操作だったか確認する。
5. 被害範囲を調査する：他のアカウントや共有情報への影響を確認する。
6. 必要な連絡・報告を判断する：取引先への通知や、法令上の報告義務を確認する。

個人データの漏えいが疑われる場合は、個人情報保護委員会の案内を参考に、報告・本人通知の要否を確認してください。

事故時の業務継続については、サイバーBCPと事業継続・復旧訓練でも解説しています。

8. サイバー保険で確認したい補償

協力会社のアカウントを通じた不正アクセスでは、事故の発生場所や管理主体によって、保険の適用条件が異なる場合があります。

サイバー保険を確認する際は、次の点に注意しましょう。

• 協力会社のアカウントを悪用した事故が対象となる条件
• 自社が管理するクラウドサービスでの不正アクセスの取扱い
• 原因調査、データ復旧、情報漏えい対応にかかる費用
• 第三者への賠償責任や通知対応費用
• 協力会社自身に生じた損害と自社の損害の区別
• 事故発生時の連絡期限、自己負担額、支払限度額

協力会社が関係する事故だからといって、必ず補償対象外になるわけではありません。一方、協力会社の損害まで自社の保険で補償されるとも限りません。

実際の補償範囲は、保険会社、商品、特約、契約条件によって異なります。

詳しくは、サイバー保険の比較と確認ポイントも参考にしてください。

9. まとめ｜今日からできる3つの確認

協力会社との情報共有は、建設業の工事を円滑に進めるうえで欠かせません。

しかし、共有するアカウントやアクセス権限を適切に管理しなければ、第三者による不正アクセスの入口になる可能性があります。

まず、次の3つを確認してください。

1. 現在利用できる協力会社のアカウント一覧を把握しているか。
2. 工事終了後も不要なアクセス権限が残っていないか。
3. 協力会社のアカウントに多要素認証と必要最小限の権限が設定されているか。

最初の一歩として、現在利用している施工管理システムの管理画面を開き、協力会社の利用者一覧を確認してみてください。

協力会社を信頼することと、アカウントを適切に管理することは両立できます。小さな管理の見直しが、工事情報と取引先からの信頼を守ることにつながります。