経営・DX約13分で読めます

サプライチェーン攻撃とは｜空調の保守会社が入口にされる経路

公開日：2026年10月14日最終更新日：2026年10月14日

結論: 保守会社は「攻撃される側」であり「入口にされる側」でもある

サプライチェーン攻撃とは、本命の組織を直接狙う代わりに、その取引先や委託先など対策の手薄なところに先に入り込み、そこを足がかりに本命へ侵入する攻撃です。IPA（情報処理推進機構）の「情報セキュリティ10大脅威 2026」では、組織向けの2位に「サプライチェーンや委託先を狙った攻撃」が選ばれています。

空調工事会社、とくにビルや施設の空調・熱源・中央監視を保守している会社は、顧客の設備に「正規の業者として」触れる立場にあります。保守で持ち込むパソコンやUSBメモリ、遠隔保守のための回線、工事中に置いた仮設の通信機器が、顧客のビルへの入口になり得ます。自社を守ることと、自社が入口にならないことの両方が対策の対象です。

中小企業が狙われる理由

IPAの「中小企業の情報セキュリティ対策ガイドライン」第4.0版は、近年サプライチェーンの弱点を突いたサイバー攻撃が増加しており、対策が不十分な場合は取引先の事業活動にまで影響を及ぼす可能性があると説明しています。実際に、取引先からセキュリティ対策の実施を求められることも少なくないとしています。

同じガイドラインは、経営者が守る原則の1つとして「委託先の情報セキュリティ対策まで考慮する」を挙げ、委託先に提供した情報が漏えいした場合、それが委託先の不備だったとしても、委託元としての管理責任を問われると書いています。そして、受託している場合には委託元の要求に応じる必要があるとしています。

空調工事会社は、元請から見れば協力会社、ビルの持ち主や管理会社から見れば保守の委託先です。取引先から「セキュリティ対策の状況を教えてほしい」と聞かれたときに答えられるかどうかは、今後の取引条件にも関わってきます。

ビルの空調設備が狙われる背景

経済産業省の「ビルシステムにおけるサイバー・フィジカル・セキュリティ対策ガイドライン」第2版は、ビルの制御システムについて、かつてはインターネットと切り離されていることや独自の通信手順を使っていることを理由に対策が遅れる傾向があったものの、利便性の向上のためにインターネットにつながるケースが増え、外部からの接続を前提にした設計も増えていると指摘しています。インターネット経由のリモート監視やリモートメンテナンスの例も増えています。

同ガイドラインは、空調が健康の維持や時には生命の維持にも欠かせないものになっており、夏の暑さの中で空調がサイバー攻撃で止まれば、業務効率の低下だけでなく体調不良者を出す可能性もあると書いています。なお、経済産業省は2022年10月に、空調システム（熱供給・空調制御・給排水制御）を対象にした個別編の第1版も策定しています。

保守会社が入口にされる4つの経路

同ガイドラインは、「インターネットにつながっていないから安全」とは言えない状況として、次のような例を挙げています。空調の保守に当てはめて整理します。

経路	ガイドラインが示す状況	空調保守の場面	対策
持ち込み端末	保守作業のために持ち込まれる外部端末が、別の場所で感染していて、ビルのシステムにつながれる	中央監視や熱源の制御設定を確認するノートパソコン	保守専用のパソコンを決め、私用や事務作業と兼用しない。OSとウイルス対策を最新にする
USBメモリ	保守情報を入れたUSBメモリが感染している	運転データの取り出し、設定ファイルの受け渡し	事前に検査した会社支給の媒体だけを使う。使い回さない
外部回線の引き込み	現場の担当者や保守ベンダが、利便性のために勝手に外部回線を引き込み、十分な対策がないまま侵入される	遠隔監視のためのモバイルルーターを独断で設置	回線の追加は必ず顧客の承認を取り、設置した機器を台帳に記録する
撤去し忘れ	建設段階で一時的に設置したIPゲートウェイが引き渡し後も残り、そこから侵入された（ドイツの事例）	試運転調整のために置いた仮設の通信機器	引き渡し前に仮設機器の撤去を確認し、竣工書類に残す

最後のドイツの事例では、オフィスビルの制御機器の4分の3が制御を失い、照明スイッチなど数百の機器が操作できなくなったと紹介されています。ガイドラインは、この事例を竣工検査時の確認や図面管理、ネットワーク管理の重要性を示す事例としています。新築・改修工事で試運転調整（TAB）を担う空調工事会社にとって、他人事ではない話です。

施工計画書の作成や配管の拾い出しに、毎回時間を取られていませんか？

施工計画書の作成や図面からの配管長の拾い出しにかかる時間を、PattoAI で大幅に短縮できます。

詳しく見る無料デモで確認する

工事の引き渡し時のチェックリスト

試運転調整のために置いた仮設のルーター・ゲートウェイ・ノートパソコンを撤去した
中央監視・集中コントローラー・遠隔監視機器の管理用パスワードを初期値から変えた（パスワード管理の記事参照）
外部とつながる回線の有無と、その経路を図面または引き渡し書類に記載した
保守用に残す接続口（リモート保守の回線など）がある場合は、顧客の承認と管理者を書面で確認した
設定値のバックアップを顧客に引き渡し、自社の控えの保管場所を決めた

試運転調整（TAB）の記事で紹介している報告書の項目に、上の確認欄を1行ずつ足しておくと漏れを防げます。

保守訪問時のチェックリスト

持ち込むのは保守専用のパソコンだけ。OSとウイルス対策ソフトは訪問前に更新済み
USBメモリは会社支給の検査済みのものだけ。私物は使わない
顧客の機器の空いた差込口に、許可なく機器をつながない
作業後、接続したケーブルや機器を外したことを確認し、作業記録に残す
顧客の設備のパスワードは顧客別に保管し、担当者が替わったら変更を申し出る

自社の対策状況を説明できるようにする

取引先から対策状況を聞かれたとき、何も示せないと信頼を失います。最低限、次の3つを用意しておくと説明がしやすくなります。

IPAのSECURITY ACTION（中小企業が情報セキュリティ対策に取り組むことを自己宣言する制度）の宣言
上の引き渡し・保守訪問のチェックリストを、社内ルールとして文書にしたもの
保守に使う端末と媒体の一覧

IPAのガイドラインは、取引先からの要請に対して限られた予算で対策するには、企業間でパートナーシップを構築し、必要な対策の実施とともに価格交渉を行い、円満に合意することが大事だとしています。対策にかかる費用は、保守契約の更新時に根拠を示して相談する対象です。下請単価の交渉と同じく、根拠を出して話すのが基本です。

自社のパソコンを守る具体的な道具（ウイルス対策ソフト・UTM・EDR）の違いはEDRとUTMの記事で、侵入された後の初動はランサムウェア対策の記事で解説しています。