経済産業省は2026年10月9日、国内企業で不正アクセスによる情報漏えい被害が相次いでいる事態を受け、事業者に対する注意喚起とインシデント発生時の情報提供への協力要請を発表した。本要請ではサプライチェーン全体での管理徹底やゼロトラストへの移行が求められており、2027年3月開始予定の「SCS評価制度」の活用も提示されている。
経済産業省ら主要4機関が連動した注意喚起の全容
2026年10月、国内の複数企業において外部からの不正アクセスによる個人情報や機密情報の漏えい事案が頻発したことを受け、政府およびセキュリティ関連機関が一斉に対策強化を呼びかけた。経済産業省単独の通達にとどまらず、内閣官房国家サイバー統括室（NCO）、一般社団法人JPCERTコーディネーションセンター（JPCERT/CC）、個人情報保護委員会の4機関が足並みを揃えて公表を行っている。
2026年10月に公表された各機関の要請内容
各機関が発表した要請および注意喚起の対象と主眼は以下の通りである。
| 発表機関 | 公表日 | 表題・文書名 | 要請・推奨の主眼 |
|---|---|---|---|
| 個人情報保護委員会 | 2026年10月7日 | 大規模な漏えい等事案を踏まえた対応について（注意喚起） | 個人データの漏えい防止に向けた安全管理措置の再点検と報告義務の履行 |
| JPCERT/CC | 2026年10月9日 | 直近で相次いでいる国内組織における不正アクセスに関する注意喚起 | API経由のアクセスに対する認証認可の厳格化および通信ログの監視強化 |
| 国家サイバー統括室（NCO） | 2026年10月9日 | 不正アクセスによる漏えい等の事案を踏まえた対応について | 経営層のリーダーシップによる予算・人員確保、ウェブシステムとサプライチェーンの防衛 |
| 経済産業省 | 2026年10月9日 | 不正アクセスによる情報漏えい等の事案を踏まえた注意喚起及び情報提供に係る協力依頼 | 経営トップ主導の対策徹底、ゼロトラスト移行、被害発生時の業所管課室への一報 |
IPA「情報セキュリティ10大脅威 2026」に見る脅威動向
独立行政法人情報処理推進機構（IPA）が公表した「情報セキュリティ10大脅威 2026（組織向け）」においても、サプライチェーンに関連する脅威が高水準で推移している。
- 1位：ランサムウェア攻撃による被害（11年連続選出）
- 2位：サプライチェーンや委託先を狙った攻撃（8年連続選出）
- 3位：AIの利用をめぐるサイバーリスク（初選出）
受託企業や委託先ベンダーを踏み台にしてターゲット組織へ侵入する手口は8年連続で上位を占めており、境界防御のみに依存する従来のセキュリティ設計が機能しなくなっている実態が裏付けられている。
経産省が提示した3つの重点対策項目
経済産業省商務情報政策局サイバーセキュリティ課は、今回の協力依頼の中で事業者が講ずべき具体的な防衛策として以下の3点を指定した。
組織トップ主導の対策推進
サイバーセキュリティ管理をシステム担当部門に一任せず、事業停止や取引停止を回避するための経営判断事項として位置づけることを定めた。国家サイバー統括室も同様に、顧客対応費用や復旧費用が企業財務に重大な損失を与える点を挙げ、経営陣が直接リソース配分を指揮する体制を求めている。
脆弱性情報の早期把握と修正パッチの即時適用
OS、ミドルウェア、ネットワーク機器の既知の脆弱性（CVE）について、公開情報を日次で収集・評価し、修正プログラムを即時適用する運用フローの確立を義務付けている。攻撃者が公開された脆弱性を突いて侵入を試みるまでのリードタイムが短縮しているため、週次や月次のパッチ運用では防ぎきれない事態への対処である。
ゼロトラストアーキテクチャへの移行推進
「社内ネットワークの内側は安全」という境界型の信頼モデルを破棄し、すべての通信、端末、ユーザーID、APIリクエストを都度認証・認可する「ゼロトラスト」モデルへの移行を求めている。社内システムとクラウドサービス、委託先環境がシームレスに接続される現在、アクセス権限の最小化と多要素認証（MFA）の導入が前提となる。
被害発生時における行政への情報提供スキーム
経済産業省は、万が一サイバー攻撃を受けた、あるいはその兆候となるインシデントを発見した事業者に対し、業所管課室への迅速な一報を要請している。通報対象となる主な項目は以下の3点である。
- 発覚から現在までの経緯（発生日時、検知日時、初動対応の内容）
- 被害状況（漏えいしたデータの種類と件数、停止したシステム、物理的業務への影響）
- 攻撃の種類（ランサムウェア、不正アクセス、DDoS攻撃、設定不備の悪用など）
通報を行った企業に対しては、政府およびIPAを通じた専門対応機関の紹介や、フォレンジック調査・二次被害防止に向けた助言などの支援が提供される。提供された情報は非公開が原則であり、事業者の承諾なく外部公表されることはない。ただし、官民全体での脅威情報共有を進める観点から、事業者の同意を得た上で国家サイバー統括室（NCO）へ共有される場合がある。
参考記事: サイバーセキュリティとは？物流現場を守る基礎知識と最新対策完全ガイド
サプライチェーン構成企業に生じる実務上の影響
今回の経産省による要請および2027年3月に予定される「サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）」の導入は、荷主、物流事業者、ITベンダーの三者にそれぞれ固有の業務変更を強いる。
EC事業者：会員データ保護と外部API連携の認証強化
EC事業者は、自社通販サイトの顧客ID、住所、クレジットカード情報などの個人データを大量に保持しているため、攻撃者から標的として選ばれやすい。今回の注意喚起では、特にJPCERT/CCがAPI経由の不正アクセス対策を強く推奨している点が実務上の焦点となる。
カートシステム、決済代行サービス、倉庫管理システム（WMS）、受発注管理システム（OMS）の間で交わされるAPI連携において、認証トークンの不適切な管理や認可制御の不備があれば、正規通信を装った不正アクセスにより個人データが一括抽出される危険性がある。
EC事業者のシステム管理者は、エンドポイントの監視だけでなく、API通信における認可スコープの厳格化や、異常なデータ取得リクエストを即時遮断するWAF（Web Application Firewall）のルール改定が求められる。また、不正ログインを抑止するためのFIDO2規格に準拠したパスキーや多要素認証の導入が実装要件となる。
参考記事: API連携入門｜仕組みと導入メリット・ECやWMSをつなぐ実践フローを解説
倉庫事業者・3PL：荷主の監査基準厳格化とSCS評価制度への対応
倉庫事業者や3PL企業は、荷主の在庫データ、出荷指示データ、配送先顧客の個人情報を取り扱うインフラ拠点として位置づけられる。大手メーカーや大手小売電気通信事業者は、委託先からの情報流出を防ぐため、セキュリティ監査の基準を厳格化させている。
2026年8月28日にIPAが基本規程等を公表した「SCS評価制度」は、2027年3月頃に★3および★4の申請受付が開始される予定である。この制度が稼働すると、荷主企業は委託先選定の必須条件としてSCS評価の取得を提示するケースが増加する。
倉庫現場で使用されるハンディターミナル、自動倉庫設備（AS/RS）、AGV（無人搬送車）の制御用PC、監視カメラなどのOT機器に関しても、初期パスワードの変更やネットワークセグメンテーション（基幹系LANとの論理分離）が確認される。これらに対応できない3PL事業者は、新規コンペからの失注や既存契約の更新拒否に直面する。
SaaS・物流ITベンダー：セキュアバイデザインとAPI脆弱性の排除
TMS（輸配送管理システム）やWMS、送り状発行システムを提供するSaaSプロバイダーは、サプライチェーン全体の中核ハブとして機能しているため、単一障害点（SPOF）となるリスクを常に抱えている。
JPCERT/CCの注意喚起にもある通り、SaaS事業者が提供するAPIエンドポイントの設計ミス（オブジェクトレベルの認可不備であるBOLAなど）が存在する場合、1社のベンダーが侵害されるだけで数千社の荷主・運送会社・エンドユーザーのデータが連鎖流出する。
ベンダー側は、開発ライフサイクルの初期段階からセキュリティを組み込む「セキュアバイデザイン」を徹底し、外部セキュリティ企業による定期的なペネトレーションテスト（侵入テスト）の実施と、脆弱性診断結果の荷主向け開示が標準業務となる。また、経済産業省が推奨する「サイバーセキュリティお助け隊サービス」の新類型など、公的基準を満たす枠組みの活用も選定要因となる。
参考記事: サイバー攻撃が生む連鎖リスク、株式会社ニチレイ7月13日障害と防衛の必須対応
LogiShiftの視点：制度化されるセキュリティ評価と物流企業の生き残り条件
今回の経済産業省による注意喚起は、従来の「注意を促す」レベルを超え、官民連携による通報制度と2027年3月開始の「SCS評価制度」を直結させた点に構造的な変化がある。物流業界におけるセキュリティ対策は、単なる社内ITの防御壁から、商取引を継続するための「共通ライセンス」へと移行している。
SCS評価制度（2027年3月運用開始予定）がもたらす取引選別の加速
SCS評価制度は、サプライチェーンを構成する企業のセキュリティ対策状況を共通基準で可視化する仕組みである。従来、荷主企業は数十ページに及ぶ独自のセキュリティチェックシートを委託先へ送付し、受託側も個別回答に膨大な工数を割いていた。
SCS評価制度が導入されることで、この確認作業は共通スコアへと一本化される。評価基準には、ネットワークアクセス制御、ログの保管期間、インシデント発生時の連絡体制などが含まれる。
物流事業者が★3などの公的基準を取得できなければ、荷主の調達方針（サプライヤー選定要件）から自動的に除外される環境が整いつつある。セキュリティ投資を先送りにしてきた企業は、運賃や保管料の競争力に関わらず、サプライチェーンから排除されるリスクを負うことになる。
過去のインシデントに見る「連鎖型リスク」への防波堤
2026年7月に発生した株式会社ニチレイのインシデントでは、基幹システムへのサイバー攻撃によって冷蔵倉庫の入出庫が一時停止し、日本ケンタッキー・フライド・チキンなどの取引先で店舗の販売制限や時短営業が発生した。また、2025年10月のアスクルにおけるランサムウェア感染では、自社販売サイトのみならず配送受託先のサプライチェーン全体が麻痺した。
これらの事例が証明しているのは、自社のセキュリティが堅牢であっても、業務を委託しているサードパーティが撃ち抜かれれば物理的な配送や入出荷が即座に停止するという現実である。
経産省が通報窓口への早期連絡を求め、NCOとの連携を明記した背景には、1社の障害が産業インフラ全体へ波及するのを防ぐ狙いがある。物流企業が講ずべき実務対応は、外部攻撃を100%防ぐことではなく、侵入を前提としてシステム障害時でも紙伝票やスタンドアロン環境で最低限の出庫を継続できる「オフラインBCP」の事前策定である。
明日から着手すべきサプライチェーン防衛の初動
自社の防衛体制を検証し、行政要請に応じた体制を整備するために、現場管理者が直ちに着手すべき事項は以下の3点である。
- 外部接続機器およびAPI通信の棚卸しと認証設定の再確認
社外ネットワークに開放されているVPNルーター、リモートデスクトップゲートウェイ、APIエンドポイントの一覧を作成し、既知の脆弱性パッチが適用されているかを確認する。管理コンソールへのアクセスには例外なく多要素認証（MFA）を適用し、不要なポートや利用されていないテスト用APIキーは即座に削除する。
- 業所管課室および専門機関への緊急エスカレーション手順の策定
ランサムウェア感染やデータ流出を検知した際、誰が・どの基準で・どの窓口へ連絡するかを定めたインシデント対応マニュアルを更新する。システム障害発生から自社の事業所管課室（経産省流通政策課や物流企画室、国交省自動車局など）へ一報を入れるまでの報告ルートを明文化し、連絡先リストをオフラインでも閲覧できる紙媒体で保管しておく。
- SCS評価制度（2027年3月開始）に向けた「SECURITY ACTION」等の受審準備
自社の情報セキュリティ水準を客観的に把握するため、まずはIPAが提供する「SECURITY ACTION」の自己宣言や「中小企業の情報セキュリティ対策ガイドライン」付属のチェックシートを用いたセルフアセスメントを実施する。荷主からの要請を待つのではなく、2027年3月の制度開始時に★3水準を申請できるロードマップを作成し、セキュリティ対策費を次年度の事業予算に組み込む。
出典: ネットショップ担当者フォーラム
出典: 経済産業省
出典: 内閣官房 国家サイバー統括室
出典: JPCERT/CC
出典: IPA 独立行政法人 情報処理推進機構
