製造業の標的型メール訓練：サプライチェーンを意識した進め方

製造業界の現状

製造業は、サイバー攻撃の被害が特に多い業界です。警察庁によると、令和8年上半期に報告されたランサムウェア（データを暗号化して身代金を求める不正プログラム）の被害123件のうち、製造業は37件で、業種別で最も多くなりました。令和7年の1年間でも、226件のうち91件が製造業です。また同じ資料は、令和8年上半期に大手製造業者などを狙った、情報を盗む目的とみられる攻撃があったとしています。

IPAの「情報セキュリティ10大脅威 2026［組織］」では、1位が「ランサム攻撃による被害」、2位が「サプライチェーンや委託先を狙った攻撃」です。IPAは、攻撃者は対策の固い組織を直接狙わず、取引先や委託先など弱い部分を足がかりにすると説明しています。部品の調達から出荷まで多くの会社がつながる製造業では、自社が「足がかり」にされるおそれもあります。

ガイドラインでの教育・訓練の位置づけ

経済産業省の「工場システムにおけるサイバー・フィジカル・セキュリティ対策ガイドライン」（Ver 1.1、2025年4月）は、教育・訓練について次のように述べています（要旨）。

• 工場システムに関わる人へのセキュリティ教育は、事務系の教育（メールによる周知など）以外は行っていない場合が多い
• 人のスキルを保つ取り組みの例として、従業員への「ウイルスメール対応訓練」が挙げられている
• 経営層の取組宣言の例に、社員とサプライチェーンの関係者への周知と教育・訓練が含まれている
• 業務を委託するときは、委託先の従事者にセキュリティ教育が行われているかを確認する

なぜ訓練が必要か

メールと侵入経路の関係

警察庁によると、ランサムウェアの侵入経路はVPN機器（外から社内ネットワークにつなぐ装置）が約5割を占め、メールの添付ファイルによる感染は少なくなっています。一方でIPAは、フィッシングメールでVPNやメールのIDとパスワードを盗まれると、社内への侵入や取引先へのなりすましにつながるとしています。メール訓練は、こうした入口を減らすための対策の一つです。

装われやすい相手と被害の例

• 取引先：IPAは、ビジネスメール詐欺（取引先や経営者を装って送金させる詐欺）の相談では、海外の取引先になりすます型が多くを占めるとしています。やりとりの途中に割り込み、支払口座の変更を依頼する手口です
• 経営者：警察庁によると、経営者になりすまして公開されている会社のアドレスにメールを送り、SNSグループへ誘導して送金させる詐欺が、令和8年1〜6月に127件、被害額約38億8,000万円確認されました
• 委託先・ソフトウェアの提供元：IPAは、2025年に業務委託先がランサムウェアの被害を受け、委託元の複数の企業の個人情報が漏えいした事例を紹介しています

訓練の進め方のポイント

対象者

• 事務所の部門：購買・経理・営業・設計は、取引先とのメールや添付ファイルが多い部署です。重点的に対象にします
• 工場の現場：共用のパソコンを使う人や、メールをほとんど使わない人もいます。個人のアドレスがある人は対象に含め、ない人は朝礼や動画での教育で補います
• 海外拠点：現地の言語で文面と教育を用意し、報告の窓口も決めておきます
• グループ会社・委託先：訓練メールを送る場合は、先に合意を取ります。送らない場合も、教育の実施状況を確認します

頻度

交代勤務や繁忙期があるため、実施月を年間計画で決め、配信は数日〜1週間に分けます。結果は部門別・拠点別に比べ、報告率の変化を見ていきます。考え方は「報告率とは」で解説しています。

文面の作り方

想定する相手	件名の型	本文の要素
取引先（購買・経理向け）	「お振込先口座変更のご案内」	取引先らしい社名、変更の理由、急ぎの期限
取引先（設計・営業向け）	「図面・仕様書送付の件」	案件名、添付ファイルやダウンロードリンク
経営者	「新規プロジェクトの件で至急」	役員の名前、SNSグループの作成依頼
設備・ソフトウェアの提供元	「ソフトウェア更新のお知らせ」	更新の期限、ダウンロードリンク

文面の型の考え方は「訓練メールの文例・件名の作り方」、添付ファイルを使う手口は「Emotetとは」も参考にしてください。

多言語の文面や拠点別の集計に対応しているかは、サービスによって違います。比較表で確認してください。

まとめ

• 警察庁の統計では、ランサムウェアの被害は製造業が最も多く、令和8年上半期は123件中37件でした
• IPAの10大脅威では、サプライチェーンや委託先を狙った攻撃が2位です。自社が足がかりにされない備えが求められます
• 経済産業省の工場向けガイドラインは、ウイルスメール対応訓練や、委託先の教育の確認を例に挙げています
• 取引先・経営者・提供元を装う文面を用意し、事務所・現場・海外拠点・委託先に合わせて対象と教育の方法を決めましょう