建設業のサイバー攻撃｜狙われる理由と6つの侵入経路・具体的対策

建設業の社長、取引先から届いた請求書や現場監督が使うスマートフォンが、サイバー攻撃の入口になることをご存じでしょうか。

建設業では、元請会社、下請会社、専門工事業者、資材業者、設計事務所など、多くの企業が関わりながら一つの工事を進めます。工程表、施工図、工事写真、見積書、請求書などを、メールやクラウドでやり取りすることも珍しくありません。

こうした業務は効率的である一方、情報の受け渡しが多いほど、偽メールや不正アクセスなどに注意すべき場面も増えます。

サイバー攻撃によって重要な情報が使えなくなれば、現場の工程調整、資材発注、協力会社への作業指示などに支障が出る可能性があります。

今回は、建設業の実務で特に確認しておきたい6つの侵入経路と、費用を大きくかけずに始められる対策を解説します。

建設業でサイバーリスクが広がる背景

建設業では、一つの工事に複数の企業や担当者が関わります。元請会社と協力会社の間で工程表を共有し、設計事務所から施工図を受け取り、資材業者から見積書や請求書が届きます。

現場監督は事務所だけでなく、建設現場や移動中にもスマートフォンやタブレットで情報を確認します。クラウド型の施工管理サービスを利用している企業もあります。

つまり、重要な情報を扱う場所が本社の事務所だけに限られないことが、建設業の特徴です。

攻撃者がこうした業務のやり取りを悪用すると、次のような問題が発生する可能性があります。

• 施工図や設計図面が外部へ流出する
• 施工管理システムが使用できなくなる
• 工程表や工事写真を確認できなくなる
• 偽請求書によって誤った口座へ送金する
• 協力会社のアカウントを経由して情報が漏れる
• 工事の進行や発注者への報告に支障が出る

ただし、建設業だけが特別に攻撃されると断定できるわけではありません。重要なのは、建設業特有の情報共有や取引の仕組みを踏まえて、自社の弱点を把握することです。

入口① 取引先を装った偽メール

建設業では、発注者、協力会社、資材業者などから日常的に多くのメールが届きます。

攻撃者が取引先を装い、「施工図の修正版を送ります」「工程表を確認してください」などのメールを送り、不正なリンクや添付ファイルを開かせようとする可能性があります。

例えば、普段やり取りしている会社名が表示されていても、送信元のメールアドレスが微妙に異なる場合があります。また、正規の取引先アカウントが乗っ取られ、実際のメールのやり取りに紛れて不正な案内が届くことも考えられます。

現場でできる確認

• 表示名だけでなく送信元アドレスを確認する
• 不自然な日本語や急ぎの指示に注意する
• 予期していない添付ファイルやリンクを安易に開かない
• 不審な依頼は、以前から把握している連絡先へ電話で確認する
• 不審なメールを受け取った際の社内報告先を決める

社長が確認したいこと：現場監督や事務担当者が、不審なメールを受け取ったときに誰へ相談するか決まっていますか。

入口② 偽請求書と振込先変更の連絡

建設業では、工事の進行に応じて協力会社や資材業者から請求書が届きます。取引先の数が多い企業では、毎月さまざまな請求内容を確認する必要があります。

この業務を悪用し、取引先になりすまして振込先口座の変更を依頼する手口があります。

例えば、次のようなメールが届いたとします。

「今月分から振込先口座が変更になりました。添付の請求書に記載された新口座へお振り込みください。」

これは説明のための架空の例ですが、こうした連絡をメールだけで信用すると、攻撃者の口座へ送金してしまう危険があります。

なお、偽請求書による送金被害は、必ずしもマルウェア感染を伴いません。メールのなりすましやアカウントの乗っ取りだけで発生することもあります。

振込先変更には別経路での確認を

• 口座変更の連絡はメールだけで確定しない
• 従来から登録されている電話番号へ確認する
• 確認担当者と承認担当者を分ける
• 変更履歴と確認日時を残す
• 通常と異なる緊急送金の依頼を慎重に扱う

請求書の送付元が正しい会社でも、振込先の変更が正当とは限りません。経理担当者だけに判断を任せず、社内の確認手順を決めておくことが重要です。

入口③ 現場のスマホ・パソコン

現場監督が使用するスマートフォンやタブレットには、工程表、工事写真、連絡先、施工管理サービスのログイン情報などが保存されている場合があります。

こうした端末を紛失したり、不正なアプリを導入したり、古いソフトウェアを使い続けたりすると、情報漏えいやアカウントの不正利用につながる可能性があります。

特に注意したいのは、個人所有のスマートフォンを業務に使用している場合です。

会社が端末の管理状況を把握できなければ、退職時の情報削除や紛失時の対応が難しくなることがあります。

• 端末の画面ロックを設定する
• OSやアプリを更新する
• 業務用サービスには多要素認証を設定する
• 紛失した場合の連絡先を決める
• 退職者のアカウントを速やかに停止する
• 私物端末の業務利用ルールを明確にする

社長が確認したいこと：現場で使用しているスマートフォンやタブレットの台数と管理責任者を把握していますか。

入口④ クラウド共有の不正アクセス

施工管理サービスやクラウドストレージは、離れた現場と事務所、元請会社と協力会社の間で情報を共有するために便利です。

しかし、共有リンクの設定やアカウント管理が不十分な場合、許可していない第三者が施工図、工程表、工事写真などへアクセスする可能性があります。

例えば、特定の協力会社だけに共有するつもりだった資料が、リンクを知っていれば誰でも閲覧できる設定になっているケースが考えられます。

また、退職した担当者や契約が終了した協力会社のアカウントが残っていると、不要なアクセス権限が維持されてしまいます。

共有設定の確認ポイント

• 共有先を必要な担当者に限定する
• 公開リンクの利用を必要最小限にする
• 閲覧・編集・ダウンロードの権限を区別する
• 多要素認証を設定する
• 退職者や契約終了先の権限を削除する
• 重要な図面のアクセス履歴を確認できるようにする

特に、建物の詳細な構造や設備配置などを含む資料は、公開範囲を慎重に管理する必要があります。

入口⑤ VPNとリモート接続

本社と現場事務所を接続したり、外出先から社内システムへアクセスしたりするために、VPNなどのリモート接続を使用する企業があります。

VPNは安全な通信を実現するための手段ですが、機器やソフトウェアに脆弱性が残っていたり、認証情報が盗まれたりすると、不正アクセスの入口になる可能性があります。

特に、導入後に設定や更新状況を確認していない場合は注意が必要です。

• 使用しているVPN機器と管理担当者を把握する
• メーカーのセキュリティ情報を確認する
• 必要な更新プログラムを適用する
• 多要素認証を導入する
• 使用していないアカウントを停止する
• 外部からの接続履歴や不審なログインを確認する

VPNを利用しているか分からない場合は、社内ネットワークを管理している業者へ確認することから始められます。

入口⑥ 元請・下請・協力会社との接続

建設業では、元請会社と複数の協力会社が同じ資料やシステムを利用する場合があります。

例えば、協力会社のメールアカウントが乗っ取られ、元請会社へ不正なファイルが送られるケースが考えられます。また、共有サービスに不要な権限が残っていれば、協力会社側のアカウントから重要資料へアクセスされる可能性もあります。

ただし、協力会社が被害を受けたからといって、必ず自社にも感染が広がるわけではありません。共有しているシステム、認証情報、接続範囲などによってリスクは異なります。

重要なのは、協力会社のセキュリティを一方的に責めることではなく、互いに被害を広げないための仕組みを整えることです。

• 協力会社ごとに必要なアクセス権限を設定する
• 複数の企業で共通アカウントを使い回さない
• 工事終了後は不要なアクセス権限を削除する
• 不審なメールやアカウントの異常を連絡できる窓口を設ける
• 事故発生時の連絡責任者と情報共有手順を決める

元請・下請の関係にかかわらず、関係する企業が早期に異常を共有できる体制は、被害拡大の防止につなが