サプライチェーン攻撃の
被害対応実務

このページは、企業がサプライチェーン攻撃を受けた場合の被害対応について、企業法務、個人情報保護、危機管理、デジタルフォレンジック、契約実務、経営ガバナンスの観点から整理する一般的な解説です。個別案件では、業種、契約構造、情報の種類、海外拠点の有無、上場状況、監督官庁、被害規模、攻撃の継続性、証拠の状態によって判断が変わります。

実際の対応では、企業内弁護士、外部弁護士、CISO、CSIRT、個人情報保護担当、デジタルフォレンジック専門家、監査・会計専門家、広報・IR担当、必要に応じて所管官庁、警察、JPCERT/CC等と連携して検討する必要があります。

サプライチェーン攻撃の被害対応は、単なる自社システムの復旧作業ではありません。攻撃者は、委託先、再委託先、クラウド、マネージドサービスプロバイダ、ソフトウェア部品、更新配信機構、開発環境、API、ID管理基盤、物流・製造・保守網など、企業活動を支える外部依存関係を足場にします。

次の強調表示は、被害対応で同時に統合すべき考え方を表しています。読者にとって重要なのは、技術復旧だけを急ぐのではなく、証拠、通知、説明、契約協力、経営判断を同じ作業計画に乗せる必要があると読み取ることです。

初動から統合する八つの視点

1. 証拠を壊さず、端末、サーバ、クラウド、ID基盤、ログを保全しながら被害拡大を止めます。
2. 危機対策本部を設置し、法務、IT、広報、経営が同じ情報を見て動ける状態にします。
3. 委託元、委託先、再委託先、クラウド提供者、共同利用者などの関係を地図化します。
4. 個人情報保護委員会への報告、本人通知、契約通知、監督官庁報告、適時開示、海外通知期限を一覧化します。
5. 公表と技術情報共有を分け、被害拡大防止に必要な情報と顧客情報・営業秘密を区別します。
6. 初報で断定しすぎず、判明している事実、調査中の事項、実施済み措置、次回更新予定を明確にします。
7. 契約責任の議論と、ログ提供、接続停止、共同調査、顧客説明への協力を切り分けます。
8. 再発防止を調達、契約、監査、開発、アクセス権限、バックアップ、演習に戻します。

サプライチェーン攻撃では、侵入経路、攻撃者の操作ログ、漏えいしたデータ、再委託先の関与が複数組織に分散します。自社は攻撃者から見れば被害者ですが、顧客や委託元から見れば、損害発生の原因企業に見える場合があります。

技術班は、アカウント停止、ネットワーク遮断、パッチ適用、再構築を急ぎます。一方で法務班は、証拠保全、原因調査、通知義務、監督官庁報告、損害賠償、保険、訴訟リスクを考えます。ここで調整を誤ると、復旧を急いでログを消す、または証拠保全に固執して被害拡大を放置するという失敗が起こります。

次の一覧は、対応が難しくなる主な要因を四つに分けたものです。読者にとって重要なのは、各要因が単独ではなく連鎖するため、法務・技術・広報・経営の連携を初期から設計する必要があると読み取ることです。

次の比較表は、情報を伝える相手、目的、留意点を区別したものです。読者にとって重要なのは、公表、法令上の報告、契約上の通知、技術情報共有を混同せず、相手ごとに必要な情報だけを適切な粒度で出すことです。

初動では、人命・安全・社会インフラ・医療・金融・製造安全への影響、攻撃の継続性、止めるべき接続、保存すべき証拠、個人情報や営業秘密への影響、契約・法令・監督官庁・顧客通知期限、経営判断事項を順番に確認します。

次の判断の流れは、初動24時間で確認する順番を表しています。読者にとって重要なのは、いきなり全停止するのではなく、命や社会的影響、攻撃継続、証拠保全、通知期限を順に見て、止める対象と残す証拠を決めることです。

次の比較表は、対策本部で分ける役割と任務を整理したものです。読者にとって重要なのは、唯一の真実の情報源を作り、部署ごとに異なる説明をしない体制を最初の数時間で置くことです。

次の一覧は、初動で保存または保全要請を行う証拠を種類ごとに分けたものです。読者にとって重要なのは、消えやすいログやメモリ情報から優先し、外部組織にある証拠は具体的な対象を示して保全要請することです。

避けるべき初動

• 感染端末を通常の手順で再起動し、メモリ証拠を失う対応は避けます。
• 端末を初期化してからフォレンジック会社へ相談する対応は避けます。
• ログ保持期間を確認せず、クラウドログが自動削除される状態を放置しません。
• 侵害されたアカウントだけを停止し、同じ権限を持つ別アカウントを放置しません。
• 顧客向けに、漏えいはないと早期に断定しないようにします。

3日から30日の段階では、原因調査と事業復旧が進む一方で、顧客・委託元への説明、本人通知、公表、保険通知、損害算定、会計・税務・開示への影響を整理します。調査は犯人探しだけではなく、法務上の問いに答えるために設計します。

次の比較表は、法務上の問いと技術調査で確認すべき事項の対応関係を表しています。読者にとって重要なのは、調査依頼を抽象的に出すのではなく、通知・公表・損害評価に必要な答えを技術調査の項目へ落とし込むことです。

次の一覧は、ランサムウェアを伴う場合の判断要素を整理したものです。読者にとって重要なのは、身代金支払を単なる復旧手段として扱わず、技術、法務、保険、警察、経営、社会的影響を含む重大な経営判断として扱うことです。

顧客・委託元への説明

説明では、自社データへの影響、個人情報・営業秘密・未公表情報の有無、二次被害防止策、サービス停止・復旧見込み、当局報告・本人通知の分担、追加調査結果の共有時期、再発防止策に答える必要があります。初報は、判明済み事実、調査中事項、相手方にお願いしたい事項を分け、断定しすぎない形にします。

公表文・保険・会計

公表文では、発覚日、発覚経緯、影響システム、影響情報、対象人数や顧客数、実施済み措置、二次被害防止策、今後の対応、問い合わせ窓口、役員コメントの要否、関係者へのお詫びを整理します。保険では、通知期限、事前承認、対象費用、免責事由、制裁条項、外部専門家指定を確認します。会計・税務では、復旧費用、専門家費用、通知費用、訴訟費用、損害賠償引当金、保険金収入、事業停止による売上減、内部統制報告制度への影響を確認します。

サプライチェーン攻撃後の法的論点は、一つの法律だけでは整理できません。個人情報保護法、委託契約・クラウド契約、不法行為・債務不履行、会社法、労務、営業秘密、知的財産、クロスボーダー規制が重なります。

次の一覧は、主要な法的論点を分野別に整理したものです。読者にとって重要なのは、各分野で確認すべき資料と判断主体が異なるため、対策本部内で担当を分けつつ、対外説明は整合させることです。

紛争時に重要となる証拠

後日の訴訟、行政調査、第三者委員会、監査では、平時のリスク評価、契約交渉記録、セキュリティ基準、監査結果、例外承認、脆弱性対応履歴、ログ設定、バックアップテスト、演習記録、取締役会報告、事故時の意思決定記録が重要になります。

チェックリストは、対策本部の作業漏れを減らすための確認表です。読者にとって重要なのは、同じ項目を一度だけ確認するのではなく、事実が更新されるたびに初動、法務、技術の観点から再確認することです。

Q1. サプライチェーン攻撃を受けたら、まずネットワークを全部止めるべきですか。

一般的には、一律に全停止するのではなく、攻撃継続性、事業影響、証拠保全、拡大防止を踏まえて判断するとされています。侵害された接続、管理者アカウント、VPN、APIキー、SaaS連携などは直ちに停止・ローテーションする場面があります。ただし、医療、製造、物流、顧客サービスに重大影響が出る可能性もあるため、具体的な封じ込め範囲は専門家と確認する必要があります。

Q2. 委託先から漏えいは確認されていないと言われたら、安心してよいですか。

一般的には、確認されていないという説明だけで安全と判断するのは慎重であるべきとされています。ログがあるうえで痕跡がないのか、ログがないため確認できないのか、まだ調査していないのかで意味が変わります。ログの有無、調査範囲、専門家の関与、当社データへのアクセス可能性を確認する必要があります。

Q3. 攻撃されたのが委託先なら、公表や本人通知は委託先に任せればよいですか。

一般的には、委託先任せにせず、本人との関係、個人データの管理主体、契約上の役割、顧客期待、当局報告義務を踏まえて委託元自身の義務を検討する必要があります。委託先が文案作成を支援することはありますが、委託元としての説明責任が残る可能性があります。

Q4. データ持ち出しの証拠がない場合、漏えい等報告は不要ですか。

一般的には、不要と直ちに判断できるとは限りません。個人情報保護法上は、漏えい等のおそれも問題になります。サーバへの不正アクセス、マルウェア通信、専門家からの漏えい可能性指摘、ランサムウェアによる個人データの利用不能などがある場合、報告対象かを慎重に検討する必要があります。

Q5. 身代金を支払えば解決しますか。

一般的には、解決は保証されないとされています。復号鍵が機能しない、データが既に流出している、再攻撃される、制裁・犯罪収益・反社会的勢力対応の問題がある、保険の対象外となる可能性があります。支払判断は、技術、法務、保険、警察、経営、社会的影響を踏まえて検討する必要があります。

Q6. 調査が終わるまで公表しない方がよいですか。

一般的には、事案によって結論が変わります。全容解明を待つと、本人の二次被害防止、顧客の対策、投資家判断、社会的混乱防止に遅れが出る場合があります。一方、未確定情報を断定的に公表すると、誤情報、風評、責任認定、追加訂正のリスクがあります。判明済み事実と調査中事項を分け、段階的に公表・更新する方法が検討されます。

Q7. 中小企業でも高度な対応が必要ですか。

一般的には、規模に応じた対応が必要とされています。ただし、すべてを自社で抱える必要はありません。緊急連絡先、バックアップ、重要委託先台帳、契約通知先、外部専門家候補、警察・JPCERT/CC・IPA相談窓口、パスワード・MFA管理、ログ保存を最低限整備することが重要です。