取引先のサイバー攻撃で建設会社はどうなる？影響と初動対応を解説

「取引先がサイバー攻撃を受けたそうですが、うちの工事にも影響するのでしょうか」。建設会社の経営者にとって、取引先のサイバー事故は決して他人事ではありません。

建設業では、元請、発注者、資材仕入先、協力会社など、複数の企業が連携して工事を進めています。そのため、自社のシステムが正常でも、取引先の図面共有や受発注システムが停止すれば、業務に支障が生じる可能性があります。

1．取引先のサイバー攻撃はなぜ自社に関係するのか

建設工事は、一社だけで完結しないことが少なくありません。元請が工程を管理し、協力会社が作業を分担し、資材仕入先が必要な製品を納入するなど、複数の企業が関係しています。

このため、取引先のシステム障害が、自社の業務に影響する場合があります。例えば、発注者の図面共有サービスが停止すれば、最新図面の確認が遅れる可能性があります。

ただし、取引先が攻撃されたという事実だけで、自社にも被害が発生したとは限りません。まずは接点となるシステムや業務を確認することが重要です。

2．元請・発注者が被害を受けた場合

元請や発注者がサイバー攻撃を受けた場合、工程調整、設計変更、図面の承認、請求処理などに影響が生じる可能性があります。特に、元請が管理するクラウドに複数の協力会社がアクセスしている場合は、利用制限の有無を確認する必要があります。

一方、すべての工事が自動的に停止するわけではありません。現場の安全、最新図面の確認状況、代替連絡手段、発注者の指示などを踏まえて、継続できる作業を判断します。

3．資材仕入先が被害を受けた場合

資材仕入先の受注管理や出荷システムが停止すると、納期回答や配送手配が遅れる可能性があります。必要な資材が届かなければ、関連する工程の調整が必要になる場合もあります。

ただし、システム障害があっても、代替の受注手段や在庫があれば納入を継続できることがあります。まずは納入予定、代替連絡先、発注済み商品の状況を確認してください。

資材仕入先に確認したいこと

• 発注済み資材の受注記録が確認できるか
• 予定していた納入日に変更があるか
• 代替の連絡・発注手段があるか
• 請求先や振込先の変更連絡がないか

4．協力会社が被害を受けた場合

協力会社がサイバー攻撃を受けた場合、作業員の手配、工程表の共有、施工写真の提出などに影響する可能性があります。自社と共通のクラウドを利用している場合は、共有アカウントやアクセス権限も確認対象になります。

協力会社の被害が確認されても、自社のシステムまで侵害されたとは限りません。接続状況や共有範囲を把握し、必要に応じて管理担当者とアクセス制限を検討してください。

5．図面・工程表・共有システムへの影響

建設会社では、図面、工程表、現場写真、見積書などをクラウドで共有することがあります。取引先が管理するサービスを利用している場合、そのサービスの停止や利用制限によって必要な情報を確認できなくなる可能性があります。

表は一般的な建設業務を想定した例です。実際の影響は、システム構成や代替手段の有無によって異なります。

6．自社情報の漏えいをどう確認するか

取引先の事故では、自社が提供した図面、顧客情報、従業員情報などが影響を受けていないか確認することが重要です。ただし、取引先が攻撃されたことと、自社情報が漏えいしたことは同じではありません。

まず、取引先に預けていた情報の種類と、事故の影響範囲を確認してください。漏えいが未確認の段階では、確認済みの事実と調査中の事項を分けて記録します。

個人情報の報告義務は個別に判断

個人データの漏えい等については、個人情報保護法に基づく報告や本人通知が必要になる場合があります。ただし、報告義務の有無は、対象となる個人データ、委託関係、事故の状況などによって異なります。

個人情報保護委員会のガイドラインでは、委託元と委託先の報告義務や例外についても説明されています。取引先の事故という理由だけで、自社の報告義務を一律に判断しないことが重要です。

出典：個人情報保護委員会｜個人情報保護法ガイドライン（通則編）

7．不審なメールや請求書の変更に注意

取引先の事故を知った後は、普段と異なるメールや連絡にも注意が必要です。例えば、取引先を名乗る相手から振込先変更の連絡が届いた場合、メールだけを根拠に支払先を変更しないことが重要です。

ただし、事故後のメールがすべて不正というわけではありません。普段から把握している電話番号など、別の連絡手段で本人確認を行うことが役立ちます。

8．工事遅延や追加費用は誰の負担になるのか

取引先のサイバー事故によって工程が変更された場合でも、追加費用や損害賠償の負担が自動的に決まるわけではありません。契約内容、事故との因果関係、各当事者の対応、適用法令などを踏まえた確認が必要です。

まずは、影響が出た作業、発生した費用、元請や発注者からの指示を記録してください。費用負担や工期変更については、事実を整理したうえで契約担当者や必要に応じて専門家へ確認します。

9．事故を知った直後の初動対応

取引先のサイバー事故を知った際は、まず情報源と影響範囲を確認してください。報道や噂だけで判断せず、取引先の正式な連絡や公表情報を確認することが大切です。

そのうえで、自社が利用する共有サービスやアカウントに影響がないかを調べます。不審なアクセスなどが確認された場合は、社内の管理担当者と必要な対策を検討してください。

初動の5ステップ

1. 事故情報の発信元と確認済みの事実を整理する
2. 自社が利用する共有システムや業務への影響を確認する
3. 図面、工程、資材、支払情報などの優先事項を確認する
4. 必要な元請・発注者・協力会社へ連絡する
5. 判断、指示、追加費用などの記録を残す

自社にも侵害の疑いがある場合は、取引先の復旧を待つだけでなく、自社の事故対応手順に従って確認を進める必要があります。

10．取引先へ確認したい質問事項

取引先に問い合わせる際は、相手が調査中であることも考慮し、必要な事項を簡潔に確認することが大切です。未確認の情報について断定的な回答を求めるのではなく、現時点で分かっている範囲と次回の連絡予定を確認します。

回答が未確定の場合は「調査中」として記録し、確認できた時点で更新する運用が役立ちます。

11．平常時に準備したい取引先対策

取引先の事故に備えるには、日頃から依存している業務を把握することが重要です。図面共有、資材発注、工程管理など、特定の取引先やサービスが使えなくなった場合の影響を整理してください。

IPAのサイバーセキュリティ経営に関する資料でも、取引先や委託先を含むサプライチェーンの状況把握と、役割・責任範囲の明確化が重視されています。建設会社でも、取引契約や事故時の連絡手順を確認することが役立ちます。

• 重要な取引先と依存する業務を一覧にする
• 図面や工程表の代替確認手段を決める
• 緊急連絡先を通常のメール以外にも確保する
• 共有アカウントとアクセス権限を管理する
• 契約上の事故連絡条件を確認する

出典：IPA｜サプライチェーン全体の状況把握及び対策

12．社長のための10項目チェックリスト

取引先のサイバー事故に備えて、次の10項目を確認してください。

1. 重要な元請・発注者・仕入先・協力会社を把握している
2. 取引先が管理する共有システムを把握している
3. 最新図面を確認できる代替手段がある
4. 資材納入の緊急連絡先を把握している
5. 協力会社のアクセス権限を管理している
6. 取引先へ提供した重要情報を把握している
7. 振込先変更を別経路で確認する手順がある
8. 工事への影響と追加費用を記録できる
9. 契約上の事故連絡条件を確認している
10. 取引先の事故を知った際の社内責任者を決めている

13．まとめ｜取引先の事故を自社の備えにつなげる

建設会社は、元請、発注者、資材仕入先、協力会社などとの連携によって工事を進めています。そのため、取引先のサイバー事故が自社の業務に影響する可能性があります。

ただし、取引先が被害を受けたという事実だけで、自社情報の漏えいや工事停止、費用負担が確定するわけではありません。影響範囲を確認し、工事の安全、情報管理、契約上の対応を分けて判断することが大切です。

まずは、重要な取引先を3社選び、どの業務をその会社に依存しているか確認してみてください。取引先の事故に備える第一歩になります。

公的な一次情報

• IPA｜サプライチェーン全体の状況把握及び対策
• IPA｜サプライチェーン強化に向けたセキュリティ対策評価制度
• 個人情報保護委員会｜漏えい等の対応
• 個人情報保護委員会｜個人情報保護法ガイドライン（通則編）

※2026年10月27日時点の公表情報に基づく解説です。建設会社の業務への影響は一般的な想定例です。実際の事故では、確認済みの事実、契約内容、適用法令を個別に確認してください。