IPA（情報処理推進機構）より、「情報セキュリティ10大脅威 2026」が公開されました。これは前年に発生した情報セキュリティに関する事案の中から、社会的影響が大きいと考えられる脅威を専門家が評価し、ランキング形式でまとめたものです。

10大脅威は、「個人」と「組織」の立場に分けて整理されています。そこで今回は、企業・団体など組織の視点から、2026年の傾向と対策のポイントを解説します。

組織における最新の情報セキュリティ10大脅威

2026年に公開された組織における情報セキュリティ10大脅威は以下の通りです。

順位	情報セキュリティ脅威	10大脅威での取り扱い（2016年以降）
1位	ランサム攻撃による被害	11年連続11回目
2位	サプライチェーンや委託先を狙った攻撃	8年連続8回目
3位	AIの利用をめぐるサイバーリスク	NEW
4位	システムの脆弱性を悪用した攻撃	6年連続9回目
5位	機密情報を狙った標的型攻撃	11年連続11回目
6位	地政学的リスクに起因するサイバー攻撃（情報戦を含む）	2年連続2回目
7位	内部不正による情報漏えい等	11年連続11回目
8位	リモートワーク等の環境や仕組みを狙った攻撃	6年連続6回目
9位	分散型サービス妨害攻撃（DDoS攻撃）	2年連続7回目
10位	ビジネスメール詐欺	9年連続9回目

出典：IPA「情報セキュリティ10大脅威 2026」

2026年の特徴は「新しい脅威の登場」というよりも、既存の脅威がより現実的な経営リスクになっていることにあります。ほぼ2025年と同じ脅威が挙げられていることからも、基本的なセキュリティ対策の重要性は今も変わっていないことが窺えます。

その一方で、働き方の変化やクラウド利用の拡大、そして生成AIの普及により、これらの脅威の影響範囲は広がったことを示しています。2026年は「AIの利用をめぐるサイバーリスク」が新たにランクインした一方、これまで継続して挙げられていた「脆弱性対策情報の公開に伴う悪用増加」と「不注意による情報漏えい等」がランク外となりました。もちろん、これらのリスクが低下したわけではなく、引き続き基本的な対策の重要性は変わりません。

ランサム攻撃は「業務停止リスク」として考える

今年も組織における最大の脅威はランサム攻撃による被害となりました。ランサムウェアは、企業のデータを暗号化して利用できない状態にし、復旧と引き換えに金銭を要求するマルウェアです。

近年の特徴は、単にデータを暗号化するだけでなく、事前に機密情報を窃取し、支払いに応じなければ公開すると脅す「二重恐喝型」が主流となっている点です。この場合、業務停止に加えて、情報漏えいによる信用低下や取引先への影響など、被害が広範囲に及ぶ可能性があります。感染経路も多様化しており、メールの添付ファイルやリンク、VPN機器などの脆弱性、リモートアクセス環境の認証情報の悪用などがきっかけとなるケースが報告されています。特に近年は、フィッシングメールの内容がより自然になるなど、侵入の巧妙化も進んでいます。

対策としては、定期的なバックアップの取得と安全な保管、OSやソフトウェアの更新管理、多要素認証の導入など、基本的なセキュリティ対策の徹底が重要です。また、万が一感染した場合に備え、業務復旧の手順や連絡体制をあらかじめ整理しておくことも、被害の最小化につながります。ランサム攻撃は特別な組織だけを狙うものではなく、規模を問わず発生しています。日常的な運用の見直しと基本対策の継続が、最も現実的な対策と言えるでしょう。

なお、ランサム攻撃の大半は、復旧と引き換えに金銭の支払いが要求されます。しかし、支払いに応じたとしても確実に復旧できる保証はなく、窃取された情報が公開されないとは限りません。また、金銭の支払いがさらなる攻撃につながる可能性も指摘されています。万が一被害に遭った場合は、自己判断で対応するのではなく、警察や専門機関、セキュリティベンダーなどに相談し、適切な対応方針を検討することが重要です。

AIの利用をめぐるサイバーリスク

2026年は、「AIの利用をめぐるサイバーリスク」が新たにランクインしました。生成AIの業務利用が急速に広がる中で、利便性の一方、情報管理やセキュリティの観点で注意すべき点も増えています。

特に注意したいのは、生成AIへの入力内容です。クラウド型のAIサービスは外部サービスとして提供されているため、顧客情報や社内資料、設計情報、ソースコードなどの機密情報をそのまま入力してしまうと、情報管理上の問題につながる可能性があります。もちろんAIが生成した (出力した)文章やプログラム、資料を十分な確認を行わずに業務で利用することも危険です。内容の誤りや不正確な情報が含まれている場合、業務品質の低下や誤判断の原因となることがあります。

また、近年は、生成AIとメール、チャット、ファイルストレージ、業務アプリケーションなどをAPIや自動化ツールで接続し、業務を効率化するケースが増えています。こうした連携は利便性を高める一方で、認証情報の漏えいや設定不備があると、攻撃者に悪用される可能性があります。例えば、連携に使用しているトークンやアカウント情報が窃取された場合、AIを経由して社内データにアクセスされたり、自動処理を悪用されたりするおそれがあります。

また、AIが複数のシステムにアクセスできる構成の場合、一つのアカウント侵害が複数のサービスへの不正アクセスにつながるなど、被害が拡大しやすい点にも注意が必要です。対策としては、連携アカウントの権限を必要最小限にすること、多要素認証の適用、不要な連携の定期的な見直しなど、通常のクラウドサービスと同様のアカウント管理を徹底することが重要です。

さらに、攻撃者による生成AIの悪用にも注意が必要です。自然な日本語によるフィッシングメールや、企業や担当者を装った巧妙ななりすましなど、従来よりも精度の高い攻撃が行われる可能性があります。こうしたリスクに対応するためには、生成AIの利用を禁止するのではなく、適切な利用ルールを整備することが重要です。例えば、入力してよい情報と禁止情報の明確化、業務利用時の確認手順の設定、社員への周知などが有効です。

生成AIは業務効率化に大きく貢献するツールですが、安全に活用するためには、外部サービスとしての取り扱いを意識し、組織としての管理方針を整備しておくことが求められます。

サプライチェーンや委託先を狙った攻撃

サプライチェーンや委託先を狙った攻撃も、引き続き上位に挙げられている脅威の一つです。これは、標的となる企業を直接攻撃するのではなく、取引先や委託先、関連会社などを経由して侵入を試みる手口です。

攻撃者は、比較的セキュリティ対策が手薄な組織を足がかりとして、そこから取引先のネットワークやアカウント、共有システムなどへのアクセスを狙います。結果として、情報漏えいや不正アクセス、マルウェア感染などの被害が広範囲に拡大する可能性があります。特に中小企業の場合、自社が直接の標的ではないと考えがちですが、実際には「取引関係」を通じて攻撃の入り口として利用されるケースが多数報告されています。自社が被害を受けるだけでなく、取引先に影響を与えてしまう可能性がある点にも注意が必要です。

近年は、クラウドサービスやリモートアクセス、業務システムの共有など、組織間でシステムを連携する機会も増えています。こうした環境では、一つのアカウント侵害や設定不備が、複数の組織に影響を及ぼすリスクがあります。対策としては、外部委託先や取引先との接続範囲を必要最小限にすること、アカウント管理や多要素認証を徹底すること、不要になったアクセス権を定期的に見直すことなどが重要です。また、委託先のセキュリティ体制を確認するなど、サプライチェーン全体でのリスク管理の視点を持つことも求められます。

サプライチェーン攻撃は、自社だけで完結する問題ではありません。取引関係の中で、自社が守る側であると同時に、他社への影響を防ぐ責任もあることを意識した対策が重要です。

システムの脆弱性を突いた攻撃

ソフトウェアやネットワーク機器の脆弱性を悪用した攻撃も、継続してランクインしている脅威です。OSや業務アプリケーション、VPN機器、ネットワーク機器などに存在するセキュリティ上の弱点を狙い、不正アクセスやマルウェア感染につなげる手口が多く報告されています。

近年は、脆弱性情報が公開されてから実際の攻撃が始まるまでの期間が短くなっており、迅速な対応が求められています。特にインターネットに公開されている機器やサービスは、自動的に探索され、対策が遅れている環境が優先的に狙われる傾向があります。生成AIの普及により、攻撃手法の調査やコード作成の効率が高まっていると指摘されており、攻撃のスピードや規模の拡大につながる可能性もあります。

ただし、多くの被害は特別な手口によるものではなく、更新が適用されていないことや、サポートが終了した機器を使い続けていることが原因となっています。

この問題の対策では、自社で利用している機器やソフトウェアを把握することが重要になります。その上で、セキュリティ更新の適用や自動アップデートの活用、サポート終了製品の計画的な入れ替えなど、継続的に管理する必要があります。脆弱性対策は新しいツールの導入よりも、日常的な更新と運用の積み重ねが重要です。基本的な管理体制を維持することが、被害の防止につながります。

脆弱性の中には、ベンダーによる修正プログラムが提供される前に悪用される「ゼロデイ攻撃」と呼ばれるものもあります。こうした攻撃は事前の対策が難しいものの、ネットワークの監視や不審な挙動の検知などによって、被害の早期発見につながる場合があります。ただし、実際のインシデントの多くは、修正プログラムが公開された後も更新されていなかったことが原因となっています。ゼロデイ攻撃への備えとあわせて、公開済みの更新を確実に適用することが、現実的で重要な対策と言えるでしょう。

ビジネスメール詐欺

ビジネスメール詐欺（BEC：Business Email Compromise）も、継続して注意が必要な脅威です。これは、取引先や経営者、社内担当者などになりすましてメールを送り、振込先の変更や緊急の送金を指示することで、金銭をだまし取る手口です。

従来は、不自然な日本語や明らかな違和感があるケースも多く見られましたが、近年はやり取りの履歴を確認したうえでタイミングを見計らうなど、より巧妙な手口が報告されています。また、生成AIの普及により、自然な文章で作成されたメールが利用される可能性も指摘されており、内容だけで真偽を判断することが難しくなっています。

さらに、メールアカウント自体が不正に侵害され、実在するアドレスから送信されるケースもあります。この場合、取引先との通常のやり取りの流れの中で不正な指示が行われるため、気づきにくい点が特徴です。対策としては、振込先の変更や高額な送金など重要な依頼については、メールだけで判断せず、電話など別の手段で確認する運用を徹底することが有効です。また、メールアカウントの多要素認証の導入や、フィッシング対策の教育など、アカウント管理の強化も重要となります。

ビジネスメール詐欺は、技術的な対策だけでなく、業務プロセスや確認ルールによって被害を防ぐことができる脅威です。日常業務の中で「確認する仕組み」を整備しておくことが重要です。

地政学的リスクに起因するサイバー攻撃

去年に引き続き、国家間の政治的・経済的な対立や国際情勢の影響を背景としたサイバー攻撃もランクインしています。こうした「地政学的リスク」に起因する攻撃は、特定の国や産業、組織を対象として、情報窃取や業務妨害、社会的な混乱を目的に行われるケースがあります。

攻撃の手法自体は、標的型メールやマルウェア感染、脆弱性の悪用、DDoS攻撃など、一般的なサイバー攻撃と大きく変わるものではありません。しかし、継続的かつ組織的に実行される点や、特定の分野や企業を長期的に狙う可能性がある点が特徴です。特に、製造業や研究開発部門、重要な技術情報を扱う企業などは、機密情報の窃取を目的とした攻撃の対象となる可能性があります。特定の企業だけでなく、関連する取引先やサプライチェーン全体が対象となる場合もあります。

分散型サービス妨害攻撃（DDoS攻撃）

分散型サービス妨害攻撃（DDoS攻撃）は、特定のWebサイトやオンラインサービスに大量の通信を送りつけ、システムの処理能力を超える負荷をかけることで、サービスを停止させる攻撃です。近年は、IoT機器などを踏み台とした大規模な攻撃が増えており、企業のWebサイトやECサイト、クラウドサービスなどが一時的に利用できなくなる事例も報告されています。サービス停止は直接的な業務影響だけでなく、顧客対応の混乱や信用低下につながる可能性もあります。

また、地政学的な背景を持つ活動の一環として、特定の企業や業界に対してDDoS攻撃が行われるケースも指摘されています。対策としては、CDNやWAFなどの負荷分散・防御サービスの活用に加え、異常なトラフィックの監視や、障害発生時の対応手順をあらかじめ整理しておくことが重要です。自社で直接対策を行うことが難しい場合でも、利用しているクラウドやホスティングサービスの防御機能を確認しておくことが有効です。

多くの脅威は例年通りだが引き続き注意が必要

情報セキュリティ10大脅威2026を見ると、ランサム攻撃やサプライチェーン攻撃、脆弱性を悪用した攻撃など、多くの脅威が例年と大きく変わっていないことが分かります。これは、基本的なセキュリティ対策の重要性が、現在も変わっていないことを示しています。

一方で、生成AIの普及やクラウドサービスの活用拡大、システム間の連携の増加などにより、業務環境は大きく変化しています。利便性の向上と引き換えに、情報の取り扱いやアカウント管理、アクセス権限の設定など、運用面で注意すべきポイントは増えています。

また、サプライチェーン攻撃や地政学的リスクに見られるように、セキュリティは自社だけの問題ではなく、取引先や委託先を含めた関係全体に影響を及ぼす可能性があります。中小企業においても、「自社は狙われない」と考えるのではなく、基本的な対策を継続的に実施することが重要です。

まずは、多要素認証の導入、ソフトウェアの更新、バックアップの取得、アクセス権限の見直し、重要な操作に対する確認ルールの整備など、日常的な管理を確実に行うことが有効です。情報セキュリティ対策は、新しいツールを導入することだけではなく、運用を継続することによって効果を発揮します。今回の10大脅威を機会に、自社の対策状況を改めて確認し、基本的な取り組みが確実に実施できているかを見直してみてはいかがでしょうか。

関連記事：約半数が経験あり！？シャドーAIが抱えるリスクや対策を解説
https://hypervoice.jp/shadow_ai

関連記事：「情報セキュリティ10大脅威 2025」発表！組織に対する脅威と対策
https://hypervoice.jp/ipa_threat_2025

関連記事：【2024年最新】「情報セキュリティ10大脅威 2024」発表！企業が認識すべき脅威と対策
https://hypervoice.jp/ipathreat2024

まとめ

2026年も「情報セキュリティ10大脅威」の1位はランサム攻撃
「AIの利用をめぐるサイバーリスク」が新たにランクイン
多くの脅威が例年と同じで、基本的な対策の重要性は長年変わっていない