情報セキュリティ10大脅威 2026 ── ランキングの眺め方と、中小企業が本当に対策すべきもの

「ランサムウェア」「サプライチェーン攻撃」「AIのリスク」。ニュースで見かける言葉が自社にどれだけ関係あるのか、判断がつかないまま流している方は多いと思います。

その判断の材料として毎年使えるのが、IPA(独立行政法人情報処理推進機構)が公表する情報セキュリティ10大脅威です。前年に社会的影響が大きかった脅威を、研究者や企業の実務担当者など約250名の選考会が審議・投票で選ぶもので、2026年版は2026年1月29日に公開されました。

この記事では、2026年版の組織編トップ10を眺めたうえで、中小企業がどれを自分事として、何から手を付けるべきかを整理します。

1．まず結論

• 2026年版の組織編は、1位ランサム攻撃(11年連続)、2位サプライチェーン攻撃(8年連続)と、上位の顔ぶれが固定化している。つまり「流行が変わった」のではなく「同じ攻撃が効き続けている」
• 初選出の「AIの利用をめぐるサイバーリスク」が3位。攻撃者のAI悪用だけでなく、自社の従業員のAI利用による情報漏えいも含む
• 中小企業にとって特に関係が深いのは、ランサム攻撃、サプライチェーン攻撃(狙われる側として)、脆弱性悪用、ビジネスメール詐欺
• 上位の脅威の多くは、OS・ソフトの更新、バックアップ、パスワード強化、手口を知ることといった基本対策が土台。ランキングを見て新しい製品を買う前に、基本の徹底度を確認する
• ランキングは「自社の対策を年1回見直すきっかけ」として使う。順位そのものより、自社で起きたときの影響で優先度を決める

この記事の知識マップ

IPAの情報セキュリティ10大脅威2026では、組織編の上位はランサム攻撃(11年連続1位)とサプライチェーン攻撃(8年連続2位)が固定化する一方、AIの利用をめぐるサイバーリスクが初選出でいきなり3位に入った。ランサム攻撃は事業停止を招きかねず、バックアップの取得・隔離保管・復旧確認が有効な備えになる。サプライチェーン攻撃は取引先からのセキュリティチェックシート要求という形で中小企業にも及び、脆弱性を悪用した攻撃は修正プログラム未適用の機器・ソフトが標的になるため更新の運用管理が対策の土台になる。内部不正には退職時のアカウント停止、ビジネスメール詐欺には振込先変更の電話確認が有効な対策として挙げられている。

flowchart LR
    accTitle: 情報セキュリティ10大脅威2026の知識マップ
    accDescr: IPAの情報セキュリティ10大脅威2026の組織編トップ10がどの脅威で構成されるか、ランサム攻撃・サプライチェーン攻撃・AIリスク・脆弱性悪用・内部不正・ビジネスメール詐欺それぞれの原因と対策の関係を示す図
    ipa_10_major_threats["情報セキュリティ10大脅威"]
    ransomware_attack["ランサム攻撃"]
    ipa["IPA(独立行政法人情報処理推進機構)"]
    sme_security_guideline["中小企業の情報セキュリティ対策ガイドライン"]
    supply_chain_attack["サプライチェーンや委託先を狙った攻撃"]
    ai_cyber_risk["AIの利用をめぐるサイバーリスク"]
    vulnerability_exploitation["システムの脆弱性を悪用した攻撃"]
    targeted_attack["機密情報を狙った標的型攻撃"]
    geopolitical_cyber_risk["地政学的リスクに起因するサイバー攻撃"]
    insider_threat["内部不正による情報漏えい等"]
    remote_work_attack["リモートワーク等の環境や仕組みを狙った攻撃"]
    ddos_attack["DDoS攻撃"]
    business_email_compromise["ビジネスメール詐欺"]
    business_disruption["事業停止"]
    data_backup["バックアップ"]
    security_6_articles["情報セキュリティ6か条"]
    security_check_sheet["セキュリティチェックシート"]
    ai_information_leakage["AI利用による意図しない情報漏えい"]
    unverified_ai_output_reliance["AI生成物の未検証利用"]
    ai_enabled_attack["AI悪用によるサイバー攻撃"]
    unpatched_software["修正プログラム未適用の機器・ソフト"]
    software_update_management["更新の運用管理"]
    information_leakage["情報漏えい"]
    account_deprovisioning["退職時のアカウント停止"]
    fraudulent_fund_transfer["偽の振込先への送金"]
    callback_verification["振込先変更の電話確認"]
    ipa -->|"実装を担う"| ipa_10_major_threats
    ipa -->|"実装を担う"| sme_security_guideline
    ipa_10_major_threats -->|"利用する"| ransomware_attack
    ipa_10_major_threats -->|"利用する"| supply_chain_attack
    ipa_10_major_threats -->|"利用する"| ai_cyber_risk
    ipa_10_major_threats -->|"利用する"| vulnerability_exploitation
    ipa_10_major_threats -->|"利用する"| targeted_attack
    ipa_10_major_threats -->|"利用する"| geopolitical_cyber_risk
    ipa_10_major_threats -->|"利用する"| insider_threat
    ipa_10_major_threats -->|"利用する"| remote_work_attack
    ipa_10_major_threats -->|"利用する"| ddos_attack
    ipa_10_major_threats -->|"利用する"| business_email_compromise
    ransomware_attack -->|"原因になり得る"| business_disruption
    data_backup -->|"軽減する"| ransomware_attack
    security_6_articles -->|"利用する"| data_backup
    sme_security_guideline -->|"利用する"| security_6_articles
    supply_chain_attack -.->|"原因になり得る"| security_check_sheet
    ai_cyber_risk -->|"原因になり得る"| ai_information_leakage
    ai_cyber_risk -->|"原因になり得る"| unverified_ai_output_reliance
    ai_cyber_risk -->|"原因になり得る"| ai_enabled_attack
    unpatched_software -->|"原因になり得る"| vulnerability_exploitation
    software_update_management -->|"軽減する"| vulnerability_exploitation
    insider_threat -->|"原因になり得る"| information_leakage
    account_deprovisioning -->|"軽減する"| insider_threat
    business_email_compromise -->|"原因になり得る"| fraudulent_fund_transfer
    callback_verification -->|"軽減する"| business_email_compromise

図の実線は常に成り立つ関係、破線は条件付きの関係です(成立条件は詳細ページの各関係の説明に記載)。関係すべての一覧(全26件、根拠・確度つき)と主要概念の定義は知識マップ詳細ページにまとめています。データ: JSON-LD / Turtle

2．組織編トップ10(2026年版)

なお個人編もありますが、こちらは順位を付けず五十音順で10項目が示される形式です。「順位が低いから安心」という誤読を避けるための工夫で、この考え方は組織編の読み方にもそのまま当てはまります。中身は「フィッシングによる個人情報等の詐取」「クレジットカード情報の不正利用」「サポート詐欺(偽警告)による金銭被害」「インターネット上のサービスへの不正ログイン」といった、従業員が私生活で遭いやすい項目が並びます。会社の対策項目にはなりませんが、社内研修では「自分と家族の話」として扱えるため関心を持たれやすく、結果として組織編の理解も進みます。

前年版との比較

一覧を眺めて分かるのは、顔ぶれの固定化です。2025年版と並べると、それがはっきりします。

構図はこうです。2025年版の1〜9位は全部残り、10位の「不注意による情報漏えい等」だけが外れました。その空いた1枠に、初選出の「AIの利用をめぐるサイバーリスク」がいきなり3位で入り、押し出される形で下位が繰り下がっています。順位の変動幅も最大3つ(内部不正の4位→7位)で、上下は入れ替わりというより玉突きです。なお、脅威の名称は年ごとに微修正されており、2025年版では「システムの脆弱性を突いた攻撃」「機密情報等を狙った標的型攻撃」「分散型サービス妨害攻撃(DDoS攻撃)」という表記でした。

1位と2位は4年以上順位が変わらず、トップ10の大半が5年以上選出され続けています。攻撃の手口は年々巧妙になっていますが、「何が狙われるか」は変わっていません。つまり対策の方向性も、毎年ゼロから考え直す必要はなく、基本の徹底度を上げ続けることが中心になります。

3．中小企業の目線で見る上位の脅威

1位 ランサム攻撃 ── 「データを人質に事業を止める」

データを暗号化するなどして身代金を要求する攻撃です。大企業だけの話ではなく、セキュリティ対策が手薄な中小企業は、侵入しやすい標的として狙われます。被害は情報漏えいにとどまらず、受注も出荷もできない事業停止に直結します。

対策の柱は、侵入経路をふさぐこと(VPN機器やOS・ソフトの更新、パスワード強化)と、侵入されても事業を再開できる備え(バックアップの取得・隔離保管・復旧確認)です。IPAの「中小企業の情報セキュリティ対策ガイドライン」第4.0版が「情報セキュリティ6か条」に「バックアップを取ろう！」を追加したのは、まさにこの脅威への備えです(詳しくはガイドライン第4.0版の解説記事をご覧ください)。

なお「情報セキュリティ6か条」は、IPAが中小企業向けに示している最低限の対策項目です。(1) OSやソフトウェアは常に最新の状態にしよう (2) ウイルス対策ソフトを導入しよう (3) パスワードを強化しよう (4) 共有設定を見直そう (5) バックアップを取ろう (6) 脅威や攻撃の手口を知ろう──の6つで、第4.0版で(5)が加わりました。この記事で「基本対策」と呼んでいるのは、おおむねこの6項目のことです。

2位 サプライチェーンや委託先を狙った攻撃 ── 中小企業は「入口」として狙われる

標的の企業を直接攻めるのではなく、セキュリティの弱い取引先や委託先を踏み台にして侵入する攻撃です。中小企業にとってこの脅威は、「自社が被害に遭う」だけでなく「自社が取引先への加害の入口にされる」という二重の意味を持ちます。

取引先からセキュリティチェックシートが届くようになったのは、この流れです。今後、サプライチェーン全体で対策水準を確認する動きは強まることはあっても弱まることはありません。自社の対策を進めて説明できる状態にしておくことが、セキュリティ対策であると同時に取引を続けるための営業要件になりつつあります。

3位 AIの利用をめぐるサイバーリスク ── 初選出

初めて脅威候補になり、いきなり3位に入りました。内容は攻撃と利用の両面にまたがります。IPAのプレス発表では、AIへの不十分な理解に起因する意図しない情報漏えいや他者の権利侵害、AIが加工・生成した結果を十分に検証せず鵜呑みにすることで生じる問題、AIの悪用によるサイバー攻撃の容易化・手口の巧妙化が挙げられています。

中小企業にとって現実的な論点は、攻撃者のAI利用そのものより、自社の従業員の生成AI利用です。顧客情報や設計情報をAIサービスに入力してよいのか、生成された文章やコードを検証せずに使ってよいのか。禁止一辺倒でも放任でも事故につながるため、「何を入力してよいか」「結果をどう確認するか」の簡単な社内ルールを決めることが第一歩になります。

4位 システムの脆弱性を悪用した攻撃 ── 「更新の放置」が入口になる

ソフトウェアの既知の弱点を突く攻撃です。修正プログラムが公開済みなのに適用されていない機器・ソフトが狙われます。VPN機器、サポートの切れたOS、更新が止まったWordPressサイトなどが典型です。

これは技術的に高度な話ではなく、「更新を誰がいつやるか決まっているか」という運用の問題です。自社のWebサイトが該当しそうな方は、IPA「安全なウェブサイトの作り方」の解説記事もあわせてご覧ください。

7位 内部不正・10位 ビジネスメール詐欺 ── 人と手続きの脅威

内部不正による情報漏えいは、退職者による顧客データの持ち出しなど、従業員・元従業員が関わる脅威です。アクセス権限の整理、退職時のアカウント停止、廃棄PCのデータ消去といった、地味な手続きの積み重ねが対策になります。

ビジネスメール詐欺は、取引先や経営者になりすまして偽の振込先へ送金させる詐欺です。技術対策と同時に、「振込先の変更は必ず電話で確認する」のような業務ルールが決定打になります。メール運用の見直しでは、PPAPをやめる話も同じ文脈で検討できます。

取り上げなかった4つについて

この章では5位・6位・8位・9位を飛ばしました。中小企業に無関係だからではなく、打ち手が上位の脅威と重なるか、当てはまる会社が限られるためです。一言ずつ触れておきます。

• 5位 機密情報を狙った標的型攻撃: 特定の組織を狙い、業務に見せかけたメールなどで侵入する攻撃です。中小企業側の打ち手(不審メールの扱い、更新の徹底、侵入後に気づける仕組み)は1位・2位への備えとほぼ同じ内容になるため、そちらにまとめました。独自の設計データや研究情報を持つ会社は、順位に関係なく上位扱いで見てください
• 6位 地政学的リスクに起因するサイバー攻撃: 国際情勢を背景にした攻撃や情報戦です。一社単独で情勢に対処できるわけではなく、実際にできることは1位・4位の基本対策の徹底に帰着します。ただし、重要インフラや防衛関連のサプライチェーンに入っている場合は、発注元から個別の要求が来る領域です
• 8位 リモートワーク等の環境や仕組みを狙った攻撃: VPN機器や自宅PCを経由した侵入です。中小企業にも十分該当しますが、現場の打ち手は「VPN機器の更新」「私物PCの業務利用ルール」であり、4位の脆弱性対策と重なります。テレワークを常時運用しているなら、4位の話をそのまま自社のリモート環境に当ててください
• 9位 DDoS攻撃: 大量の通信を送りつけてサービスを止める攻撃です。主に狙われるのはオンラインサービスを提供している事業者で、自社サイトが会社案内中心なら被害の想定は小さくなります。ECサイトや会員向けサービスを自社運用しているなら、利用中のホスティングやCDNの防御機能を確認する価値があります

「飛ばした=無視してよい」ではありません。自社の業態がここに当てはまるなら、順位に関係なく上位に引き上げて考えるのが、次章の「ランキングの正しい使い方」です。

4．ランキングの正しい使い方

10大脅威は毎年話題になりますが、使い方を誤ると「今年の1位向けの製品を買って安心する」という本末転倒が起きます。IPAが強調しているのは、脅威の情報を継続的に収集し、自組織に関係する脅威のリスクを洗い出して対策することです。

実務的には、次の年中行事にするのが現実的です。

• 毎年1月末の公表時に、トップ10を眺めて「自社で起きたら何が止まるか」を一つずつ考える
• 自社に関係が深い脅威について、基本対策(OS・ソフトの更新、バックアップ、パスワード、共有設定、手口を知る)の徹底度を確認する
• 不足があれば、中小企業の情報セキュリティ対策ガイドラインの自社診断と付録を使って埋める

IPAは組織編の解説書(64ページ)やプレゼン資料も無償公開しており、朝礼や社内研修の教材としてそのまま使えます。「脅威や攻撃の手口を知ろう」は情報セキュリティ6か条の1項目でもあり、10大脅威を年1回社内で共有するだけでも、その実践になります。

まず確認する3点

自社診断の25項目まで手が回らないという段階でも、次の3点は今日確認できます。どれも1位・2位・4位・7位に直接効く、いちばん費用対効果の高いところです。

1. バックアップから実際に戻せるか。 「取っているか」ではなく「戻したことがあるか」です。直近1年で復旧を試していないなら、テスト用のファイルを1つ戻してみるところから始めます。あわせて、本番環境から切り離して保管できているか(常時つながったままの外付けディスクだけになっていないか)も確認します
2. 外から届く機器・サービスの更新が止まっていないか。 VPN機器、ルーター、NAS、公開Webサイト(WordPressなど)。社内PCのWindows Updateは気にしていても、これらは「動いているから触らない」で何年も放置されがちです。機種名と現在の版を書き出し、メーカーのサポート期限と最新版を確認します
3. 辞めた人・異動した人のアカウントが残っていないか。 業務システム、クラウドサービス、共有フォルダー、VPN。有効なまま残っていれば、7位の内部不正にも1位の侵入経路にもなります。棚卸しは「人」ではなく「サービスごとの利用者一覧」を並べて突き合わせるのが確実です

この3つに自信を持って「はい」と言えない項目があれば、10大脅威のどれから手を付けるか悩むより先に、そこが優先です。

まとめ

情報セキュリティ10大脅威2026のポイントを整理します。

• 組織編は1位ランサム攻撃、2位サプライチェーン攻撃、3位に初選出のAIリスク。上位は数年来固定化しており、「同じ攻撃が効き続けている」ことを示している
• 中小企業はランサム・サプライチェーン・脆弱性悪用・ビジネスメール詐欺を特に自分事として見る
• AIリスクは攻撃面だけでなく、従業員の生成AI利用による情報漏えい・鵜呑みも含む。簡単な社内ルールから始める
• 上位脅威の対策の土台は基本対策の徹底。ランキングは年1回の見直しのきっかけとして使う
• 順位は「社会全体での影響」の順であって、自社にとっての優先順位は業務への影響から自分で決める

自社に関係する脅威の洗い出しでお困りの方へ

「どの脅威が自社に関係するか」を判断するには、自社のシステム構成と業務の流れを把握している必要があります。VPNはあるか、古いソフトはどこで動いているか、バックアップは戻せるか──この洗い出しは、一般論ではなく個別の確認作業です。

合同会社小村ソフトでは、Windows業務アプリやWebシステムの開発・保守の経験をもとに、業務システムまわりのリスクの洗い出しと、更新が止まった既存ソフトの改修・保守のご相談をお受けしています。「何から確認すればよいか分からない」という段階からでもご相談いただけます。

関連する記事

同じタグを共有する最新の記事です。さらに近い話題で知識を深められます。

関連トピック

このテーマと近いトピックページです。記事を起点に、関連するサービスや他の記事へ進めます。

このテーマがつながるサービス

この記事は次のサービスページにつながります。近い入口からご覧ください。

よくある質問

この記事のテーマについて、相談時によくある質問をまとめています。

情報セキュリティ10大脅威とは何ですか？

IPA(独立行政法人情報処理推進機構)が毎年公表している、前年に社会的な影響が大きかった情報セキュリティの脅威のランキングです。IPAが脅威候補を選定し、研究者や企業の実務担当者など約250名で構成される「10大脅威選考会」の審議・投票で決定されます。組織編と個人編があり、2026年版は2026年1月29日に公開されました。組織編では解説書やプレゼン資料も無償公開されており、社内教育にも使えます。

2026年版の組織編で新しく入った脅威はありますか？

「AIの利用をめぐるサイバーリスク」が初めて脅威候補となり、いきなり3位に選出されました。AIへの不十分な理解に起因する意図しない情報漏えいや他者の権利侵害、AIが生成した結果を検証せずに鵜呑みにすることで生じる問題、AIの悪用によるサイバー攻撃の容易化・手口の巧妙化といった、利用面と攻撃面の両方のリスクが含まれています。

中小企業はランキングのどれから対策すべきですか？

順位よりも「自社で起きたときの影響」で選ぶのが基本ですが、多くの中小企業に共通して関係が深いのは、1位のランサム攻撃(バックアップと入口対策)、2位のサプライチェーン攻撃(取引先として狙われる・対策を求められる)、4位のシステムの脆弱性を悪用した攻撃(VPN機器や古いソフトの放置)、10位のビジネスメール詐欺(振込先変更などの騙し)です。いずれも、OSやソフトの更新・バックアップ・パスワード強化といった基本対策が土台になります。

ランキング外の脅威は無視してよいですか？

よくありません。10大脅威はあくまで前年に社会的影響が大きかったものの順位であり、自社にとっての重要度はランキングとは別です。IPAも、脅威の情報を継続的に収集し、自組織に関係する脅威のリスクを洗い出して対策することの重要性を強調しています。ランキングは「世の中の傾向を知り、自社の対策を見直すきっかけ」として使うのが適切です。

著者プロフィール

記事の著者プロフィールページです。

小村 豪

合同会社小村ソフト 代表

Windows ソフト開発、技術相談、不具合調査を中心に、既存資産が残る案件や原因が見えにくい障害調査に強みがあります。