【2022年】小島プレス工業の被害でトヨタ全工場が停止 14工場28ライン

何が起きたのか

小島プレス工業は愛知県豊田市の会社で、トヨタ自動車の国内の仕入先です。創業は1938年、資本金は4億5,000万円、社員は1,625人（2026年4月時点）、2025年の売上は2,346億円です。

2022年2月26日の20時過ぎ、サーバーやパソコンが攻撃を受けた痕跡が確認されました。ランサムウェアで一部のデータが暗号化され、会社は被害の拡大を防ぐために全システムを止めて、取引先や外部とのネットワークを遮断しました。

入口は子会社の機器でした。子会社が特定の外部企業との専用通信に独自に使っていたリモート接続機器に脆弱性があり、攻撃者はそこから子会社のネットワークに入って、さらに小島プレス工業のネットワークへ進みました。調査報告書（第1報）は判明した事実の一部を二次的な影響を考えて非公表としています。

会社に何が起きたのか

• 2022年3月1日：トヨタの国内全14工場28ラインが停止
• 2022年3月2日：トヨタが全工場の稼働を再開。小島プレス工業も全得意先への納入を再開
• 3月7日時点：受発注のデータのやりとりは代わりの手段で可能。メールを含むほかの社内システムはグループの全工場で障害が続く
• 2022年3月22日：メールの送受信を再開し、ホームページを暫定的に復旧。小島グループの社員を装うなりすましメールへの注意も呼びかける
• 2022年8月3日：閉鎖していた自社とグループ会社のホームページの全面復旧を段階的に進めると案内
• 身代金：脅迫文に金額の記載なし。攻撃者への連絡はしていない
• 情報流出：3月31日時点で持ち出しの形跡は確認されていない
• 損害額：公表なし

なぜそこまで広がったのか

攻撃そのものは1社とその子会社に対するものでした。それでも、トヨタの発表によると、仕入先のシステム障害の影響で全工場の稼働を止める判断になりました。止めたのは3月1日の1直と2直で、決定を公表したのは2月28日です。

会社は受発注のデータを代わりの手段でやりとりできるようにして、3月2日から納入を再開しました。一方で、社内のシステムの全面復旧には時間がかかりました。メールの再開までに3週間以上かかり、ホームページの全面復旧の案内が出たのは5か月あまり後です。

入口になった機器は子会社が独自に使っていたものでした。

再発防止と業界の動き

第1報は今後の対策として、ネットワークやサーバー、パソコンへの不正アクセス防止の強化、監視の拡大、社員の教育を挙げました。子会社とサプライチェーンの各社にも再発防止策を共有するとしています。2022年のお知らせの一覧に、続きの調査報告書は見当たりません。

自動車業界全体では、日本自動車工業会と日本自動車部品工業会が2020年3月に出した「自動車産業サイバーセキュリティガイドライン」を改訂し続けています。企業の規模を問わず必要な最低限の対策から上位の項目まで、153の達成条件を自己評価する形です。2022年3月に上位の項目を足した第2版を出し、2026年4月には工場の領域の版も公開しました。

2025年度の自己評価の回答は4,032社で、前年度の3,134社から増えて過去最高でした。規模の大きい会社ほど対策が進む傾向も示されています。

取引先に対策を求める動きについては、経済産業省と公正取引委員会が2022年10月に考え方を示しました。発注側が対策の実施を要請すること自体は直ちに独占禁止法上の問題にはなりません。一方で、取引上の立場が強い発注側が費用の上昇を考慮せず、協議もしないまま価格を据え置くことなどは問題になり得るとしています。

中小企業が学ぶこと

大手の取引先を持つ会社では、自社の停止が取引先の停止につながることがあります。小さな会社でも、大手の仕入先であれば同じことが起こり得ます。

子会社や関連会社、取引先との専用回線の機器も更新の対象に入れましょう。誰が管理している機器かが分からないものは、まず担当を決めるところからです。

受発注が止まったときの代わりの手段は、事故の前に取引先と決めておきたいところです。メールも止まる前提で、連絡先は紙に残しておきましょう。

取引先から対策を求められたら、内容と費用の負担について話し合えます。自動車業界のチェックシートは公開されているので、業界が違っても自己点検の題材に使えます。国の評価制度の動きはSCS評価制度、自己評価ガイドなどを公開 申請受付は27年3月予定を見てください。