◆監修・編集責任者
B2B EC-COLUMN
この記事のポイント
- 最初に確かめるのは、自社のBtoB ECが抱える情報と、その情報が外に出る入口の二点。
- 入口は取引先のログイン、システムの脆弱性、社内と委託先の三つに分けて洗い出す。
- IPAの2026年の一覧では、ランサム攻撃による被害が1位、サプライチェーンや委託先を狙った攻撃が2位に挙がっており、狙われる理由は規模ではなく取引網での位置にある。
- 卸売業のBtoB EC化率は40.3％に達しており、受発注が画面の上で動くことを前提に守りを考える段階にある。
- 着手は棚卸し・認証・権限・監視の四段階の順に置き、点検の項目と担当、記録の残し方まで決めて運用に落とす。
目次
BtoB ECにはどんなリスクがあるか
取引先からEC化を求められた時点でまず確かめるのは、自社のBtoB ECが「どの情報を抱えているか」と「その情報がどの入口から外に出るか」の二点です。BtoB ECは取引先ごとの掛け率、与信の枠、担当者の連絡先といった、消費者向けのECにはない情報を一つの画面の内側に集めています。この二点を書き出さないまま製品の機能表を見比べても、費用をかけた先に穴が残ります。そのうえで認証の強化、権限の絞り込み、ログの監視という順に手を入れれば、専任の担当者を置けない体制でも、上司と取引先の双方に説明できる形になります。
取引先アカウントの乗っ取りとなりすまし
BtoB ECのログイン情報は、消費者向けのECと違って一つのIDの背後に会社が一社立っています。乗っ取られれば、攻撃者は正規の取引先として発注できます。注文が通れば商品は実際に出荷され、請求は正規の取引先に回ります。金銭の損失と取引先からの信用の失墜が同時に起きるところが、BtoB ECにおける乗っ取りの厄介さです。
入口になりやすいのは、パスワードの使い回し、退職者のIDの放置、取引先の担当者が異動した後も生きたままのアカウントです。どれも設定の一行で塞げる話ですが、取引先の数だけアカウントがある以上、棚卸しの仕組みを持たなければ必ず取りこぼしが出ます。
システムの脆弱性を突かれる
IPAの「情報セキュリティ10大脅威 2026［組織］」では、システムの脆弱性を悪用した攻撃が4位に挙がっています2。BtoB ECのサイトは取引先がいつでも発注できるよう常時公開されているため、社内の基幹システムと違って、外から穴を探される時間が常に続いています。
同じ一覧の1位はランサム攻撃による被害です2。受注データと在庫データが暗号化されれば、サイトが見えなくなるだけでは済まず、出荷そのものが止まります。卸売業にとっては、情報が漏れる被害よりも、商品が動かなくなる被害のほうが先に表面化します。
社内と委託先から漏れる
外からの攻撃だけが入口ではありません。同じ一覧では、内部不正による情報漏えい等が7位、ビジネスメール詐欺が10位に入っています2。BtoB ECの管理画面は、全取引先の価格と与信を一度に見られることが多く、閲覧できる範囲を役割ごとに絞っていなければ、持ち出しは誰にでもできてしまいます。
委託先も同じ扱いが要ります。サイトの保守や商品データの登録を外部に任せている場合、渡したアカウントの権限がどこまで広いのかを把握していない例は珍しくありません。自社の対策を固めても、委託先の経路が開いていれば、そこが一番低い壁になります。
取引先のログイン、システムの脆弱性、社内と委託先。入口はこの三つに分けて洗い出せば、抜けが見えます。ただし洗い出した先で必ず出てくるのが、「うちのような規模でも本当に狙われるのか」という問いです。
自社の規模でも狙われるのか
BtoB ECはすでに取引の四割を超えている
経済産業省の調査によれば、2024年の国内のBtoB EC市場規模は514兆4,069億円で、前年比10.6％増、EC化率は43.1％です1。受発注が画面の上で動くことは、もはや一部の大手だけの話ではありません。
卸売業に限っても、BtoB EC市場規模は128兆8,684億円、EC化率は40.3％に達しています1。同業のうち四割の取引がすでに電子化されている以上、自社のサイトも「数ある標的の一つ」として外から見えているという前提で考えるほうが実態に合います。
狙われるのは規模ではなく取引網での位置
IPAの一覧で2位に入っているのは、サプライチェーンや委託先を狙った攻撃です2。攻撃側から見れば、守りの厚い大手に正面から入るより、その大手とつながっていて守りの薄い会社を経由するほうが早い、という理屈になります。つまり自社の従業員数や売上ではなく、どの相手とつながっているかが標的になる理由を作ります。
大手小売がEC化に際して取引先のセキュリティ対応を聞いてくるのも、同じ理屈の裏返しです。相手は自社を疑っているのではなく、自社を経由した被害を防ごうとしています。そう捉えれば、聞かれた内容にどう答えるかは、そのまま自社が何から手をつけるべきかの手掛かりになります。実際、どの脅威を先に見るべきかは公的な順位からたどれます。
守るべき情報と三つの入口を書き出し、自社が取引網のどこに位置しているかを踏まえる。ここまでが、対策の中身を決める前に必要な確認です。
入口を書き出す段になると、どの画面のどの操作で取引先ごとの価格や与信が表に出るのかは、使っている受発注システムの作りを知らなければ詰め切れません。社内だけで一覧を作ると、見えていない経路がそのまま抜けます。
現在のサイトで取引先の情報がどの経路から見えているのか、認証と権限の設定をどこまで変えられるのかを、相談の場で洗い出せます。無料相談で要件を整理する
IPAが示す組織向けの脅威とBtoB ECの関わり
順位は公表された調査に依ります2。
公表された調査に依る順序
- 1位：ランサム攻撃による被害――受注データと在庫データが暗号化されれば、サイトの停止では済まず出荷が止まる
- 2位：サプライチェーンや委託先を狙った攻撃――取引先の大手へ入るための経路として、自社のサイトや委託先が使われる
- 4位：システムの脆弱性を悪用した攻撃――常時公開しているBtoB ECは、外から穴を探される時間が続く
- 7位：内部不正による情報漏えい等――全取引先の価格と与信が見える管理画面は、権限を絞らなければ持ち出せてしまう
- 10位：ビジネスメール詐欺――受発注のやり取りに紛れ込む形で、振込先や納品先の差し替えが試みられる
上位に並ぶ脅威は、いずれも先に挙げた三つの入口のどれかにつながっています。ここまで見えれば、限られた予算と人員をどこから使うかを決められます。
何から手をつければよいか
| 型 | 節に置く表の欄 |
|---|---|
| 手順 | 段階／やること／確かめ方 |
| 確認 | 点検の項目／見る内容／記録の残し方 |
着手の順序を四つの段階で決める
棚卸しと認証を先に置く理由
最初に置くのは、守る情報と入口の棚卸しです。取引先ごとの価格、与信、担当者の連絡先が、どの画面のどの操作で表に出るのかを一覧にします。ここを飛ばして機器やサービスを増やすと、守る対象が定まらないまま費用だけが積み上がります。
二番目が認証の強化です。乗っ取りは、外からの攻撃のうち最も手数が少なくて済む入口であり、同時に自社の設定だけで塞げる範囲が広い領域でもあります。管理画面のログイン強化と、退職者・異動者のIDの整理は、費用をかけずに着手できる部類に入ります。
権限と監視は運用の型に落とす
三番目が権限の絞り込みです。内部不正による情報漏えい等が一覧の7位に入っている以上2、全取引先の情報を誰でも見られる状態は放置できません。営業、物流、経理、委託先のそれぞれが業務に必要とする範囲まで閲覧を狭め、広い権限を持つアカウントを数えられる状態にします。
四番目がログの監視です。ログを取っていなければ、被害が起きた後に何が持ち出されたのかを取引先へ説明できません。取得しているログの種類、保管している場所、誰が見るのかを決めるところまでが一つの段階です。棚卸し、認証、権限、監視。この四段階は前の段階が決まらないと次が決められない関係にあるため、順番を入れ替えないほうが結局は早く進みます。
| 段階 | やること | 確かめ方 |
|---|---|---|
| 第1段階 棚卸し | 守る情報と、それが出る入口を一覧にする | 三つの入口それぞれに該当する画面と操作が書き出せているか |
| 第2段階 認証 | 管理画面のログインを強化し、使われていないIDを整理する | 退職者・異動者のIDが残っていないか、取引先の担当者交代が反映されているか |
| 第3段階 権限 | 役割ごとに閲覧範囲を絞り、委託先に渡す範囲を決める | 全取引先の価格と与信を見られるアカウントを数えられるか |
| 第4段階 監視 | ログの取得と保管を整え、見る担当を決める | 被害が起きた際に、何がいつ持ち出されたかを追えるか |
導入後に続ける点検の型
点検の項目は入口の数だけ持つ
対策は入れた時点が最も整っていて、そこから運用とともに緩んでいきます。取引先が増えればアカウントが増え、担当者が替われば権限が広がり、委託先が変われば渡す範囲が変わります。点検は、入口ごとに項目を立てておくと漏れません。
頻度は、部署の定例会議や取引先の担当者交代といった、社内ですでに動いている区切りに紐づけるのが続けやすい形です。新しい会議体を作るよりも、既存の場に一項目として載せるほうが、専任の担当者がいなくても止まりません。
点検の結果を記録に残しておけば、取引先からセキュリティ対応を聞かれた際に、そのまま提出できる資料になります。対策の有無を口頭で答えるのと、いつ何を確かめたかを示すのとでは、相手に伝わる確かさが違います。
| 点検の項目 | 見る内容 | 記録の残し方 |
|---|---|---|
| 取引先アカウント | 使われていないID、担当者交代の反映状況 | 確認した日付と、整理したIDの一覧 |
| システムの更新 | 公開しているサイトの更新が適用されているか | 適用した内容と適用者 |
| 権限の範囲 | 広い権限を持つ社内アカウントと委託先アカウント | 付与した理由と見直した結果 |
| ログ | 取得と保管が続いているか、見た結果に異常がないか | 確認者と確認した範囲 |
要点の整理
| 軸 | 基準 |
|---|---|
| 守る情報 | 取引先ごとの価格・与信・担当者情報が一覧になり、どの画面から出るかまで書き出せているか |
| 入口 | 取引先のログイン、システムの脆弱性、社内と委託先の三つで漏れがないか |
| 優先順位 | IPAの一覧で上位に挙がる脅威に効く手当てを先に置けているか |
| 着手の順序 | 棚卸し・認証・権限・監視の四段階を入れ替えずに進めているか |
| 運用 | 点検の項目と担当、記録の残し方が決まっているか |
| 説明 | 取引先の問い合わせに対し、点検の記録をそのまま示せるか |
優先順位が決まっても、既存の受発注システムでどこまで設定を変えられるかは製品によって分かれます。入れ替えが要るのか、設定の見直しで足りるのかは、実物の構成を見ないと判断できません。 認証・権限・ログのどこを今の設定で賄えて、どこに手を入れる必要があるのかを、自社の運用に合わせて確かめられます。
よくある質問
セキュリティの専任担当を置けない場合、誰が点検すればよいですか。
受発注システムを任されている担当者が、点検の項目と記録の形を決める役を担い、実際の確認は部署の定例の場で分担する形が現実的です。重要なのは属人的に続けることではなく、確認した内容が記録として残り、担当が替わっても同じ項目を追える状態にしておくことです。
取引先からセキュリティ対応を聞かれたら、何を示せばよいですか。
守る情報と入口の一覧、認証と権限の設定内容、ログの取得状況、そして点検の記録です。取引先が知りたいのは対策製品の名前ではなく、自社を経由した被害が起きにくい状態かどうかなので、何をいつ確かめているかを示せるほうが説明になります。
既存の受発注システムを入れ替えずに対策できますか。
認証の強化や権限の絞り込みは設定で対応できる範囲が製品によって異なります。まず現在のシステムでどこまで設定を変えられるかを確かめ、設定で届かない部分だけを入れ替えや追加の検討に回すと、費用の判断がつけやすくなります。
ランサム攻撃への備えは何から始めればよいですか。
IPAの一覧で1位に挙がっている脅威であり2、受注データと在庫データが暗号化されれば出荷が止まります。四段階のうち棚卸しの時点で、止まったら業務が続かないデータがどれかを特定しておくことが、その後の備えの前提になります。
委託先まで管理する必要がありますか。
サプライチェーンや委託先を狙った攻撃が一覧の2位に入っています2。委託先に渡しているアカウントの権限範囲を把握し、業務に必要な範囲まで絞ることは、権限の段階に含めて進めるべき作業です。
- 1 出典：経済産業省 商務情報政策局情報経済課「令和6年度電子商取引に関する市場調査」（2025年） 経路
- 2 出典：独立行政法人情報処理推進機構（IPA）「情報セキュリティ10大脅威 2026［組織］」（2026年） 経路
画像の出典元
- Futuristic digital landscape with illuminated blocks and a s／Photo by Pachon in Motion on Pexels
- Overhead view of a worker walking through a warehouse aisle／Photo by Tiger Lily on Pexels
- オフィスで段ボール箱の中身とタブレットを見比べる日本人の会社員／画像：生成AI（自社）
- 40代前半の日本人男性が年度末の書類整理をしている場面／画像：生成AI（自社）
