中小企業・町工場の情報セキュリティ実態レポート 第2号 (2026年5月〜6月)
- ⏱ 約6分で読めます - 👁 … views今月のトレンド分析
① デンソーへの攻撃が示す「サプライチェーン型攻撃」の本質
4月30日にデンソーのイタリア・モロッコ拠点への不正アクセスが判明し、ランサムウェアグループ「Qilin」が160GB超のデータをダークウェブに掲載したと確認されています。東証プライム上場の大手部品メーカーが標的になること自体が衝撃ですが、より重大なのは「デンソーの取引先情報・図面が含まれている可能性がある」という点です。下請け・委託先の中小企業は直接攻撃されていなくても、取引先大手経由で自社の情報が流出するリスクがあります。
② Qilin はなぜ日本の製造業を繰り返し狙うのか
Qilin（キリン）は2022年頃から活動するランサムウェアグループで、2026年に入り活動が急拡大しています。製造業を好んで標的にする傾向があり、デンソー以外にも国内製造業への攻撃が複数確認されています。なぜ製造業か。理由は単純で、「停止コストが高い」からです。工場が止まると損害が可視化されやすく、身代金を払う動機が強い。加えて、設計図や顧客情報という「二重恐喝の材料」が豊富です。
③ SCS 評価制度の10月スタートまであと4か月
前号でも触れたサプライチェーン強化セキュリティ評価制度（SCS）の運用開始まで、残り4か月を切りました。大手取引先が委託先のセキュリティ水準を★評価するこの仕組みは、「対策をやっていないと取引から外れる」という圧力を制度化したものです。Qilin のようなグループが製造業サプライチェーンを狙い続けている現状では、評価制度の意味がより鮮明になっています。
5月の主な被害事例
デンソー、Qilin によるイタリア・モロッコ拠点への不正アクセスを公表（4月30日）
トヨタグループの部品大手・デンソーが、グループ会社2拠点での不正アクセスを確認したと発表。ランサムウェアグループ Qilin がダークウェブに「Denso」として160GB以上のアーカイブを掲載していることが確認されています。取引先情報・技術情報への影響が懸念されており、トヨタグループ全体のサプライチェーンリスクとして注目されています。
YCC情報システム、ランサムウェア攻撃の第五報を公表（5月20日）
4月2日に発生したランサムウェア攻撃について第五報を公表。感染したランサムウェアの種類は特定済みですが、セキュリティ上の理由から非公表。4月の発生から1か月以上経過しても対応が続いている状況は、ランサムウェア被害の長期化・深刻化を示しています。
IPA「情報セキュリティ10大脅威2026」でランサムウェアが5年連続1位
IPA（情報処理推進機構）が発表した「情報セキュリティ10大脅威2026」では、ランサムウェアによる被害が組織向け脅威で5年連続1位を維持。企業IT利活用動向調査2026では、ランサムウェア感染割合が45.8%に上り、企業規模に関わらず中小企業もターゲットになっていることが確認されています。
Qilin の攻撃手口：なぜ製造業が狙われ続けるのか
Qilin は「二重恐喝」型のランサムウェアグループです。ファイルを暗号化して「元に戻したければ身代金を払え」と脅すのと同時に、盗み出したデータを「払わなければ公開する」と脅す二段構えです。
製造業が標的になりやすい理由は3つあります。
① 停止コストが高い - 工場が止まると損害が1日単位で可視化される。身代金を払う動機が強い。
② 機密情報が豊富 - 設計図、顧客情報、製造プロセス、仕様書など「公開されると困る情報」が多い。二重恐喝の材料として価値が高い。
③ セキュリティ投資が手薄 - 中小の製造業は本業優先でIT投資が後回しになりやすく、パッチ未適用・VPN設定不備が残りやすい。攻撃コストが低い。
グローバルに拠点を持つ大手に海外子会社経由で侵入するパターンも増えています。「本社は対策済みでも海外拠点が弱い」という構造的な穴を突かれているのが、デンソーの事案の本質です。
SCS 評価制度：10月スタートまでに何をすべきか
2026年度下期（10月以降）から段階的に運用が始まるサプライチェーン強化セキュリティ評価制度（SCS）。大手企業が委託先のセキュリティ水準を★評価し、取引条件に影響してくる仕組みです。
評価の軸になるのは、以下のような基本的な対策の実施状況です。
| 確認項目 | 現状の未実施率 |
|---|---|
| セキュリティパッチの定期適用 | 約50% |
| 従業員向けセキュリティ教育 | 約64% |
| 24時間ログ監視・分析 | 約73% |
| バックアップの定期取得・復元確認 | 約40% |
前号のデータを引用すると、約70%の中小企業が組織的なセキュリティ対策を行っていない状態です。SCS 評価が始まると、「対策をしていない」が可視化される。取引先から問われたときに答えられる状態を作っておくことが、今できる最善手です。
今すぐできる追加アクション
前号の「情報セキュリティ6か条チェック」「お助け隊相談」「SECURITY ACTION 取得」に加えて、今月の事例から追加で取り組むべきことをまとめます。
④ VPN 機器・リモートアクセス環境のパッチ確認
Qilin を含む多くのランサムウェアグループは、VPN やリモートデスクトップの脆弱性を入口として使います。使っている VPN 機器のファームウェアが最新かどうか、今週中に確認してください。
⑤ 取引先が大手企業の場合、サプライチェーン経由の情報漏洩リスクを把握する
デンソーのケースのように、直接攻撃されていなくても取引先大手のデータ流出で自社情報が含まれる可能性があります。取引先でインシデントが起きた際の連絡体制・確認手順を決めておくことが必要です。
⑥ バックアップの「復元テスト」を実施する
バックアップを取っていても、いざというときに復元できなければ意味がありません。月に1度、実際に復元できるかのテストを行う運用を習慣化してください。
「取引先からのプレッシャーが意識を変える最大のきっかけになっている」——このデータは今も変わっていません。SCS 評価制度の10月スタートが近づいた今、大手取引先から「セキュリティ水準を確認させてほしい」という話が来る前に、自社で動き始めることが重要です。
自社の現状を確認したい方は、当社の情報セキュリティ診断 を活用してください。