建設業のサプライチェーン攻撃｜取引先を守る実践対策と確認事項

「うちの会社はセキュリティ対策をしているから、取引先のサイバー事故は関係ない」

そう考えていませんか。

建設業では、元請会社、下請会社、専門工事会社、資材会社などが連携して、一つの工事を進めています。

その間では、設計図面、見積書、工程表、工事写真、請求書などが日常的に共有されます。

もし、そのうちの一社がサイバー攻撃を受けたら、どうなるでしょうか。

取引先を装ったメールが届く。共有していた図面が閲覧される。工程管理システムが使えなくなる。こうした影響が、別の会社にも及ぶ可能性があります。

これが、建設業で考えておきたいサプライチェーンのサイバーリスクです。

この記事では、特定の建設会社で発生した事故ではなく、想定されるリスクと実務上の対策を解説します。

1．サプライチェーン攻撃とは何か

サプライチェーン攻撃とは、企業と取引先、委託先、ソフトウェア提供元などのつながりを悪用するサイバー攻撃の総称です。

例えば、攻撃者が直接元請会社を狙うのではなく、元請と取引する協力会社のアカウントやシステムを悪用するケースが考えられます。

また、複数の会社が利用している外部サービスに障害が発生し、業務へ影響が及ぶこともあります。

ただし、外部サービスの障害がすべてサイバー攻撃によるものとは限りません。原因が未確認の段階では、攻撃と障害を区別する必要があります。

大切なのは、自社の外にあるシステムや取引先との接点も、自社の事業継続に関係していると理解することです。

2．なぜ建設業で影響が広がるのか

建設業の特徴は、多くの会社が一つの工事に関わることです。

元請が施工図を共有し、専門工事会社が内容を確認する。資材会社へ発注し、工程表を更新する。工事写真をまとめ、請求書を送る。

このように、会社をまたいで情報が行き来します。

一社のメールアカウントが不正利用されると、取引先へなりすましメールが届く可能性があります。

一社の共有フォルダの設定が不適切であれば、別会社から預かった資料が意図しない相手に閲覧されるおそれがあります。

また、共通の工程管理サービスが利用できなくなると、複数の現場で情報確認に時間がかかる場合もあります。

だからこそ、会社ごとの対策だけでなく、取引先と接する部分の管理が重要です。

3．被害が広がる4つの経路

建設業で注意したい主な経路を整理します。

これらは想定されるリスクであり、特定の事故で実際に確認された被害ではありません。

まず自社がどの経路で取引先とつながっているかを把握することが出発点です。

4．協力会社のメール乗っ取りへの対策

いつも連絡を取っている協力会社から、不審なメールが届く場合があります。

例えば、普段と同じメールアドレスから「至急、このリンクで請求書を確認してください」と連絡が来たとします。

もし協力会社のメールアカウントが不正利用されていれば、正規のアドレスから不審なメールが送られる可能性があります。

ただし、送信元アドレスの偽装という別の手口もあるため、不審メールだけでアカウントの乗っ取りを断定することはできません。

社員には、次のルールを共有しましょう。

• 不審なリンクや添付ファイルを安易に開かない
• 重要な変更はメールだけで判断しない
• 取引先の既知の電話番号で内容を確認する
• 不審メールを受けたら社内の担当者へ報告する

取引先を疑うためではなく、双方の被害を防ぐための確認です。

5．偽請求書と振込先変更を防ぐ手順

建設会社では、協力会社や資材会社への支払いが定期的に発生します。

そのため、振込先変更を装った連絡は、特に慎重に確認したい内容です。

例えば、協力会社から「今月から銀行口座が変わりました」とメールが届いた場合、メールに返信するだけでは本人確認にならないことがあります。

メールアカウントが不正利用されていれば、返信も第三者に届く可能性があるからです。

振込先変更の確認手順

1. 過去の請求書や登録済みの取引先情報と照合する
2. 事前に登録してある電話番号へ連絡する
3. 変更の事実、担当者、確認日時を記録する
4. 社内の承認手順を経て口座情報を変更する

「いつもの取引先だから大丈夫」ではなく、「いつもの取引先だからこそ確実に確認する」という運用が大切です。

6．図面・見積書・顧客情報の共有管理

建設会社では、設計図面、CAD・BIMデータ、見積書、工程表、工事写真など、多くの資料を取引先と共有します。

しかし、共有リンクの設定によっては、必要のない相手まで閲覧できる状態になる可能性があります。

例えば、工事が終わった協力会社の担当者が、今も共有フォルダを閲覧できる場合です。

こうした状態を防ぐため、次の点を確認しましょう。

• 重要資料の正式な保存先が決まっているか
• 共有先を必要な担当者に限定しているか
• 共有リンクに適切な権限や期限を設定しているか
• 工事終了後にアクセス権限を見直しているか
• 元請から預かった資料の再共有条件を確認しているか

クラウドを使うこと自体が問題なのではありません。必要な相手へ、安全に共有できる仕組みが重要です。

外部サービスを利用する際の確認事項は、クラウドサービス・外部事業者のリスクでも解説しています。

7．工程管理システムが止まった場合

サプライチェーンのリスクは、情報漏えいだけではありません。

例えば、複数の会社が利用する工程管理システムが使えなくなった場合、最新の工程表や施工指示を確認できなくなる可能性があります。

ただし、システム停止の原因はサイバー攻撃とは限らず、機器故障や通信障害なども考えられます。

原因にかかわらず、現場を安全に運営するための代替手順を決めておくことが重要です。

事前に確認したいこと

• 最新の工程表を別の手段で確認できるか
• 緊急時に元請・協力会社へ連絡できるか
• 施工変更の内容を誰が承認するか
• 重要な図面を安全に参照できる代替手段があるか
• 復旧後に情報の食い違いを確認する手順があるか

特に、古い図面や未承認の施工変更を誤って使わないよう、代替運用時の責任者を明確にしておきましょう。

8．元請が協力会社へ確認したいこと

元請会社が協力会社の情報管理状況を確認する場合、最初から難しい専門用語を並べる必要はありません。

まずは、工事で共有する情報と利用するシステムを整理します。

必要な対策は、取り扱う情報、工事内容、契約条件によって異なります。

確認票を使う場合も、実際の管理状況を正確に回答してもらうことが重要です。

9．下請会社が元請へ確認したいこと

下請会社も、元請から求められる情報管理ルールを理解しておく必要があります。

例えば、図面の再共有が許されている範囲、利用してよいクラウドサービス、工事終了後のデータの取り扱いなどです。

また、事故時の報告条件が契約書や仕様書に定められている場合があります。

下請会社が確認したいのは、次の事項です。

• 預かった情報の利用目的と共有できる相手
• 利用が認められている保存・共有サービス
• 工事終了時のデータ返却・削除条件
• 不正アクセスや誤送信が疑われた場合の連絡先
• 事故時の報告期限と必要な情報

元請ごとに要求が異なる場合もあるため、曖昧な点は事前に確認しましょう。

実施していない対策を「実施済み」と回答しないことも大切です。

10．自社で整えるアカウントと端末の管理

取引先を守るためには、自社の基本的な情報管理も欠かせません。

例えば、社員のメールアカウントが不正利用されると、取引先へ不審な連絡が送られる可能性があります。

また、更新されていない端末や不要な外部接続が残っていると、リスクにつながる場合があります。

次の項目を確認してください。

• 重要なメール・クラウドサービスに多要素認証を設定する
• パスワードの使い回しを避ける
• パソコンや業務ソフトを適切に更新する
• 退職者・異動者のアカウントを見直す
• 管理者権限を必要な担当者に限定する
• 重要データのバックアップを取り、復元を確認する

すべてを一度に整えるのが難しい場合は、メール、図面共有、工程管理など、取引先との接点が大きいサービスから優先すると取り組みやすくなります。

11．事故発生時の連絡と被害拡大防止

サイバー事故が疑われたとき、最初に困るのは「誰に連絡すればよいか分からない」という状況です。

例えば、協力会社から「不審なメールが送られた可能性がある」と連絡が来た場合、自社でも受信状況やリンクの操作有無を確認する必要があります。

一方、自社のアカウントが不正利用された疑いがある場合は、管理担当者やメールサービスの管理会社へ速やかに連絡します。

状況に応じて、不審な接続の無効化、認証情報の保護、ログの保全、関係先への注意喚起などを検討します。

取引先への連絡では、次の内容を分けて伝えることが重要です。

• 確認できた事実
• 現在調査している事項
• 相手に確認・注意してほしいこと
• 今後の連絡窓口

原因が確定していない段階で、攻撃の内容や被害範囲を断定しないようにします。

元請への報告義務や期限がある場合は、契約内容を確認してください。

連絡先の整備には、サイバー事故に備える緊急連絡体制の準備も参考になります。

12．小さな会社でも始められる3つの対策

専任の情報システム担当者がいない建設会社でも、取り組めることがあります。

① 重要な変更は別経路で確認する

振込先変更や不審なファイル共有の依頼は、メールだけで判断せず、登録済みの連絡先で確認します。

② 共有資料のアクセス権限を見直す

図面や見積書の保存先を確認し、工事終了後も閲覧できる外部アカウントが残っていないか点検します。

③ 事故時の連絡先を取引先と共有する

自社の責任者、システム管理会社、主要な元請・協力会社の連絡窓口を整理します。

この三つは、サプライチェーン攻撃だけでなく、誤送信やシステム障害への備えにも役立ちます。

対策と事故時の費用負担を整理する際には、中小企業のサイバー保険と実務対策も参考になります。

ただし、保険への加入は情報セキュリティ対策の代わりにはなりません。補償の有無は契約条件や事故状況によって異なります。

13．経営者向けチェックリストと今日の一歩

最後に、自社と取引先の接点を確認しましょう。

• □ 主要な元請・協力会社との情報共有方法が分かる
• □ 重要な変更はメール以外の手段で確認している
• □ 振込先変更の承認手順が決まっている
• □ 図面・見積書の保存先と共有先を把握している
• □ 工事終了後のアクセス権限を見直している
• □ 重要なメールアカウントに多要素認証を設定している
• □ 退職者や異動者のアカウントを管理している
• □ 工程管理システム停止時の代替手順がある
• □ 重要データのバックアップを復元できる
• □ 不審メールを受けた社員の報告先が決まっている
• □ 事故時の元請・協力会社への連絡先が分かる
• □ 契約上の事故報告条件を確認している

建設業のサプライチェーン攻撃は、自社だけの対策では十分に備えられない場合があります。

しかし、取引先を疑ったり、過度な負担を求めたりすることが目的ではありません。

必要な情報を安全に共有し、不審な連絡を確認し、事故が起きたら速やかに知らせ合う。

その仕組みが、自社と取引先の双方を守ることにつながります。