協力会社への被害拡大とサイバー保険｜建設会社が確認すべき注意点

「自社のパソコンがサイバー攻撃を受け、その影響が協力会社にも広がったら、損害賠償はどうなるのでしょうか」。建設会社の経営者にとって、確認しておきたい問題です。

建設業では、元請、下請、専門工事会社、資材業者など、複数の会社が同じ工事に関わります。図面、工程表、請求書、担当者情報などをメールやクラウドで共有するため、一社で発生した事故が別の会社の業務に影響する可能性があります。

ただし、協力会社に被害が生じたからといって、自社に必ず損害賠償責任が発生するわけではありません。また、サイバー保険に加入していても、協力会社の損害がすべて補償されるわけではありません。

1．建設業で協力会社への被害拡大が問題になる理由

建設業では、一つの工事に複数の会社が関わることが一般的です。元請、下請、専門工事会社、資材業者などが、それぞれの役割に応じて情報を共有しています。

そのため、自社のメールアカウントや共有システムが不正利用された場合、取引先にも影響が及ぶ可能性があります。特に、日常的にやり取りしている相手から届いたように見えるメールは、受信者が不審に思いにくい場合があります。

2．サイバー被害が波及する主な経路

サイバー事故の影響が協力会社へ広がる経路は一つではありません。メールアカウントの乗っ取り、共有ファイルへの不正アクセス、偽の請求書、悪意ある添付ファイルなどが想定されます。

ただし、自社で事故が発生したことだけで、協力会社への感染や情報流出が確認されたことにはなりません。実際に何が起きたのかを調査し、確認済みの事実と可能性を分けることが重要です。

代表的な波及経路

• 自社のメールアカウントから協力会社へ不審なメールが送信される
• 共有クラウドの権限が不正に変更される
• 図面や工程表の共有リンクが第三者に利用される
• 正規の取引を装った偽請求書が送られる
• 不正な添付ファイルやリンクが取引先に届く

3．メール乗っ取りと偽請求書

建設会社では、請求書、見積書、工程表などをメールで送ることがあります。自社のメールアカウントが不正利用されると、正規の取引先から送られたように見える偽メールが協力会社へ届く可能性があります。

例えば、振込先の変更を求めるメールが送られた場合、協力会社が誤った口座へ送金する危険があります。ただし、送金損失が発生した場合の法律上の責任や保険の補償可否は、具体的な事実と契約条件によって異なります。

4．共有クラウド・図面データの不正利用

元請や協力会社と図面、工程表、施工写真などを共有する際、クラウドサービスを利用する建設会社もあります。共有アカウントの不正利用や権限設定の誤りによって、必要以上の情報が閲覧される可能性があります。

また、共有ファイルの変更が疑われる場合は、最新版の確認や更新履歴の調査が必要になることがあります。施工に関係する情報は、現場責任者と確認し、未確認の変更内容をそのまま現場へ反映しないことが重要です。

5．協力会社への損害賠償責任はいつ問題になるか

自社のサイバー事故によって協力会社に損害が発生した場合、損害賠償を求められる可能性があります。しかし、請求を受けたことと、法律上の賠償責任が確定したことは異なります。

実際には、事故の原因、自社の行為や管理状況、契約上の義務、損害の内容、因果関係などを確認する必要があります。協力会社側の管理状況などが問題になる場合もあり、個別の事情に応じた判断が必要です。

確認したい事項

• 自社で発生した事故の内容
• 協力会社に実際に生じた損害
• 事故と損害の因果関係
• 契約書に定められた情報管理・通知義務
• 法律上の賠償責任の有無と範囲

6．サイバー保険の第三者賠償補償

サイバー保険には、所定のサイバー事故に起因する第三者への法律上の損害賠償責任などを補償する商品があります。協力会社からの請求も、契約内容と事故状況によっては検討対象になる可能性があります。

ただし、すべての請求が対象になるわけではありません。対象事故、損害の種類、法律上の責任、免責事項、補償限度額、保険期間との関係などを確認する必要があります。

7．協力会社の調査・復旧費用は対象になるか

協力会社にサイバー被害が発生すると、その会社でも原因調査やシステム復旧に費用がかかる場合があります。しかし、自社のサイバー保険が協力会社自身の費用を直接補償するとは限りません。

自社の事故対応費用と、協力会社が負担した費用は分けて確認する必要があります。協力会社の費用について自社に法律上の賠償責任がある場合でも、その責任が保険の補償対象となるかは別途判断されます。

8．振込詐欺・工事遅延・業務停止の注意点

協力会社へ被害が広がった場合、発生する損失は一種類とは限りません。偽請求書による送金損失、システム停止による利益減少、工事遅延に関する請求など、それぞれ性質が異なります。

特に、金銭詐欺による直接的な送金損失は、一般的な第三者賠償や業務停止損失と同じ扱いとは限りません。サイバー保険のほかに詐欺損失を対象とする補償が用意されている場合でも、対象事故や条件を確認する必要があります。

9．被害拡大が疑われる場合の初動対応

協力会社から不審なメールや共有ファイルについて連絡を受けた場合は、まず社内の事故対応責任者へ報告しましょう。メールアカウントの不正利用が疑われるときは、専門家と相談しながらアカウントの保護や不正アクセスの遮断などを進めます。

同時に、送信履歴、ログイン履歴、共有ファイルの操作記録などを保全します。被害拡大防止を優先しつつ、原因調査に必要な情報を失わないよう注意することが重要です。

基本的な初動

1. 不審な連絡を受けた日時と内容を記録する
2. 社内の事故対応責任者へ連絡する
3. 不正利用が疑われるアカウントを保護する
4. 専門家と被害拡大防止を進める
5. メール・アクセスログ・共有履歴を保全する
6. 影響が疑われる協力会社を整理する
7. 保険会社・代理店へ速やかに連絡する

10．元請・協力会社への連絡と証拠保全

協力会社へ連絡する際は、確認できている事実と、調査中の事項を分けて伝えることが重要です。例えば、不審なメールの送信が確認された場合でも、添付ファイルの開封や被害発生まで確認できているとは限りません。

元請との契約に事故通知の条件がある場合は、通知先や期限も確認しましょう。また、連絡した相手、日時、伝えた内容を記録しておくことが、後の事実確認に役立ちます。

11．契約前・更新時の保険確認ポイント

サイバー保険を比較する際は、自社の事故対応費用だけでなく、協力会社への第三者賠償の補償条件も確認しましょう。建設会社では、元請や協力会社との情報共有が日常業務に組み込まれているため、想定する事故を具体的に示して確認することが重要です。

また、被保険者の範囲、対象となる損害、免責事項、補償限度額、自己負担額、事故通知条件なども確認が必要です。協力会社が自社の保険の被保険者に含まれるとは限りません。

保険会社に確認したい3つの質問

1. 自社のメールアカウントが乗っ取られ、協力会社へ被害が生じた場合、第三者賠償の対象になりますか。
2. 協力会社が負担した調査・復旧費用や送金損失は、どのように判断されますか。
3. 元請・協力会社への通知や専門家の手配について、事前承認などの条件はありますか。

12．協力会社への被害拡大10項目チェックリスト

事故時の対応だけでなく、平常時の情報共有と保険の確認にも使えるチェックリストです。まずは、自社の状況が分かる項目から確認しましょう。

13．まとめ｜取引先との信頼を守るために

建設会社のサイバー事故は、自社の業務だけでなく、元請や協力会社との情報共有にも影響する可能性があります。特にメール乗っ取り、偽請求書、共有クラウドの不正利用などは、取引先への連絡と事実確認が重要です。

一方、協力会社に損害が発生したことと、自社に法律上の賠償責任があることは同じではありません。さらに、賠償責任が認められる場合でも、サイバー保険の補償対象となるかは契約内容によって異なります。

参考資料

• IPA｜中小企業の情報セキュリティ対策ガイドライン
• IPA｜情報セキュリティ
• JPCERT/CC｜インシデント対応関連情報
• 個人情報保護委員会｜法令・ガイドライン等

建設業のサイバーリスクと実務対策は、パキラのサイバーリスク情報サイトでも紹介しています。

※本記事は一般的な情報提供を目的としています。記載した事故は想定例です。法律上の損害賠償責任やサイバー保険の補償可否は、個別の事実関係、契約内容、約款・特約などによって異なります。具体的な対応は専門家や保険会社へ確認してください。