サプライチェーン攻撃 ― 提供元を侵して利用企業に波及

2026年秋の日本を襲った情報漏洩ラッシュの主役は、サプライチェーン(委託先・共有サービス経由)型でした。予約システム・EC 構築サービス・クラウドといった「複数の企業・自治体が共有するサービス」の提供元が攻撃され、そこにデータを預けていた数百の利用者企業が一度に被害を受けます。当サイトの集計でも、2026年10月はサプライチェーン型が前月の約7倍に急増しました。

実例を挙げると、EC 構築サービス「ショップサーブ」では対象7,858店・約2,336万人分、カラオケのビッグエコー等では約863万人分、SoftBank 系クラウド IDC Frontier のランサムウェア被害では495の企業・自治体にシステム障害が波及しました。いずれも「攻撃されたのは1社、被害を受けたのはその顧客数百社」という構図です。

この構図は利用企業側の努力だけでは防げない部分があります。「預けたデータが提供元でどう守られているか」の確認と、「提供元が侵されても自社の被害を小さくする」設計(データの最小化・暗号化・分段)が、利用企業にできる本質的な対策です。

サプライチェーン型は「1事案=多数の公表」という点で、公表件数統計を押し上げます。2026年10月に当サイトが収集した公表の急増も、この型の連鎖が一因です。利用企業は自社システムに異常がなくても公表・通知義務(個人情報保護法)が発生するため、提供元との連絡体制と通知文面の準備が実務上重要になります。

クラウド・SaaS の利用は今後も増えるため、「預けたデータの見える化」(どのサービスに何を預けているかの棚卸し)が出発点です。契約時のセキュリティ要件(暗号化・テナント分離・監査証跡・通知義務)を確認し、重要度の高いデータだけは自社管理に残すといったデータ分類も有効です。