「情報セキュリティ10大脅威2026」をやさしく解説
個人編10項目・組織編10項目、あなたに関係あるのはどれ？IPA（情報処理推進機構）が発表した最新版を、専門用語なしで噛み砕きます
📋 目次
「情報セキュリティ10大脅威」とは、日本で一番読まれているセキュリティランキング
IPA（独立行政法人 情報処理推進機構、経済産業省所管）が毎年発表している、その年に社会的影響が大きかった脅威のランキングです。 セキュリティの研究者や企業の実務担当者、約250名からなる「10大脅威選考会」が審議・投票して決定する、いわば日本のセキュリティ業界の「今年の重大ニュース」。 2016年版から続き、ニュースサイトや他のセキュリティメディアもほぼ例外なく引用する、最も権威のある一次情報の1つです。
特徴的なのは、「個人編」と「組織編」がまったく別のロジックで作られていること。組織編は被害の大きさ・広がりを踏まえて1位から10位まで順位が付きますが、 個人編は「どれが一番危険か」を決めつけず、五十音順で並べているだけ。これは、個人が受ける被害は状況（使っているサービス、家族構成、仕事内容）によって 優先順位が大きく変わるため、選考会があえて優劣を付けていないという判断だと考えられます。組織編も同様に、個人向けと企業向けでは想定する被害の規模・影響範囲がまったく異なるため、 あえて別立ての資料として編集されています。
ただし公式の解説はPDF形式が中心で、スマホではやや読みにくいのが正直なところ。このページでは個人編・組織編の全20項目を、IPA公式を出典に噛み砕いて紹介し、 さらに「結局、今日から何をすればいいのか」という行動のチェックリストまで用意しました。
あなたはどっち？個人編・組織編ガイド
「10大脅威」は個人向け・組織向けで内容がまったく別物。まず自分に関係あるほうから読むのが効率的です
👤 個人として気になる方
スマホ・ネットバンキング・SNSでの被害が心配な方は「③個人編」へ。順位はなく、五十音順で10項目並んでいます。
🏢 会社の担当者・経営者の方
自社のリスクを把握したい方は「④組織編」へ。こちらは1位〜10位の順位付きで、優先度がひと目でわかります。
🆓 今年何が変わったか知りたい方
「⑤2026年の注目ポイント」へ。AIリスクの初選出など、去年からの変化だけを先に確認できます。
個人編：10の脅威（五十音順）
個人編には順位がありません。「1位が一番危険」ではなく、10項目とも同じ重みで選ばれている点に注意してください
ニュースサイトによっては個人編にも「1位、2位…」と順位を付けて紹介していることがありますが、IPA公式の個人編は五十音順・順位なしです。このページでは公式に合わせて順位を付けていません。
インターネット上のサービスからの個人情報の窃取
利用しているサービス側がサイバー攻撃を受け、氏名・住所・メールアドレス・パスワード等が外部に流出するケース。自分がどれだけ気をつけていても、サービス提供者側の対策不足で被害者になり得る点が厄介です。漏えい後は別サービスでの不正ログインにつながることも多いため、パスワードの使い回しをやめておくことが二次被害を防ぎます。
→ 漏えいの仕組みと対策を詳しく見るインターネット上のサービスへの不正ログイン
どこかのサービスで漏えいしたID・パスワードの組み合わせを、別のサービスでも試す「パスワードリスト攻撃」が主な手口。同じパスワードを使い回している人ほど連鎖的に被害が広がります。多要素認証（MFA）を有効にしておけば、パスワードが漏れても突破されにくくなります。
→ 不正ログインされたらどうする？対処法を見るインターネットバンキングの不正利用
フィッシング等で盗まれたID・パスワード・ワンタイムコードを使い、口座から不正送金される被害。2023年以降ランク外だったところ、被害の増加を受けて2026年版で4年ぶり8回目の選出に。銀行が提供する取引通知（ログイン・送金のたびにメール等で知らせる機能）を有効にしておくと早期発見につながります。
→ ネット銀行のセキュリティ比較を見るクレジットカード情報の不正利用
偽ショッピングサイトの入力フォーム、フィッシングメール、店舗でのスキミング等、複数の経路でカード情報が盗まれ、身に覚えのない請求が発生する被害。多くのカード会社は不正利用を補償する制度を用意していますが、届出が遅れるほど補償対象外になりやすいため、明細のこまめな確認が早期発見の鍵になります。
→ クレジットカード不正利用対策を見るサポート詐欺（偽警告）による金銭被害
ブラウザ上に「ウイルスに感染しました」という偽の警告を大音量とともに表示し、記載された番号に電話をかけさせて遠隔操作ソフトの導入やサポート料金名目の金銭を要求する手口。実在のOS・セキュリティソフトのロゴを流用するため見た目は本物そっくりですが、警告画面から直接電話をかけさせようとする時点でまず疑ってよいサインです。
→ ゲームで見破り方を体験する（サポート詐欺バスター）スマホ決済の不正利用
QRコード決済やキャリア決済のアカウントが乗っ取られ、勝手にチャージ・送金・買い物をされる被害。連携しているクレジットカードごと不正利用されるケースもあります。決済アプリ側の多要素認証と利用通知をオンにしておくことが、そのまま防御と早期発見の両方につながります。
→ 多要素認証の選び方を見るネット上の誹謗・中傷・デマ
事実確認をしないままSNSで拡散される誹謗中傷やデマ。他の脅威と違い、自分が「加害者」になり得る唯一の項目でもあります。災害・事件のたびに広まる偽情報の多くは、複数の独立したソースを確認せずに「見たまま」拡散されることで増殖します。
→ デマ・AI偽情報の見分け方を見るフィッシングによる個人情報等の詐取
宅配便の不在通知やネット銀行・大手ECサイトを装ったメール・SMSで偽サイトに誘導し、ID・パスワード・カード情報を入力させる手口。10大脅威が始まって以来ほぼ毎年選出されている「常連」で、他の多くの脅威（不正ログイン・不正利用等）の入口にもなっているため、対策の優先度が特に高い項目です。
→ ゲームで見破り方を体験する（メール探偵）不正アプリによるスマートフォン利用者への被害
公式ストア外（野良アプリ）からのインストールや、公式ストアに紛れ込んだ偽アプリ経由で、カメラ・マイクの盗撮盗聴や連絡先・写真の窃取が行われる被害。インストール時に要求される権限（カメラ・マイク・連絡先へのアクセス等）が、そのアプリの用途に対して不自然に多くないか確認する習慣が防御になります。
→ カメラ・マイク盗聴の実態を見るメールやSNS等を使った脅迫・詐欺の手口による金銭要求
SNSで知り合った相手からの投資勧誘・国際ロマンス詐欺、闇バイトへの応募後に個人情報を握られて行われる脅迫など、メール・SNSを経由して直接金銭を要求される手口の総称です。「相手と直接やり取りしている」という信頼関係が悪用される分、フィッシングよりも被害額が大きくなりやすい傾向があります。
→ ゲームで見破り方を体験する（投資・ロマンス詐欺編）組織編：10の脅威（ランキング形式）
こちらは1位〜10位の順位付き。上位2つは4年連続で1位・2位を維持しています
ランサム攻撃による被害
社内のデータを勝手に暗号化し、復旧と引き換えに身代金を要求する攻撃。近年は暗号化する前にデータを盗み出し「身代金を払わなければ公開・売却する」と脅す二重恐喝（ダブルエクストーション）が主流になっており、バックアップさえあれば解決という単純な話ではなくなっています。復旧できる状態のバックアップと、実際に動く初動対応計画の両方が生死を分けます。
→ 被害復旧コストをシミュレーションするサプライチェーンや委託先を狙った攻撃
セキュリティ対策が手薄な取引先・委託先・ソフトウェア開発元を踏み台にして、本命である大企業のネットワークへ侵入する手口。自社が防御側として狙われるだけでなく、自社自身が攻撃者にとっての「入口」として悪用され、取引先に被害を広げてしまうリスクも含む点が、この脅威が単独の技術対策では防ぎきれない理由です。
→ AIサプライチェーン攻撃の完全ガイドを見るAIの利用をめぐるサイバーリスク
①攻撃者がAI生成の偽音声・偽動画で経営者になりすまし送金を指示したり、AIを使ってフィッシングメールやマルウェアを効率よく作る「攻撃者によるAI悪用」、②従業員が業務で使う生成AIに機密情報や顧客情報を入力してしまい意図せず漏えいする「自社のAI利用に伴うリスク」——性質の異なる2方向のリスクが1つの項目にまとめられている点に注意が必要です。
→ AIを”だます”攻撃の仕組みを見るシステムの脆弱性を悪用した攻撃
修正パッチが未適用のサーバーやソフトウェアの弱点（脆弱性）を突かれる、10大脅威の中でも最も古典的だが今も現役の攻撃手口。脆弱性情報は公開された瞬間から攻撃者にも知られるため、パッチ適用までの日数がそのまま被害確率に直結します。「動いているものは触らない」という運用がむしろリスクになる典型例です。
→ 自分のサーバーを安全に検査する方法を見る機密情報を狙った標的型攻撃
特定の組織を時間をかけて調査し、業務に関係あるように見せかけたメールで侵入する、いわゆるAPT（Advanced Persistent Threat）型の攻撃。ランサム攻撃のように痕跡を派手に残さず、発覚しないまま長期間にわたって情報を持ち出し続けるケースがあるため、侵入されたこと自体に気づきにくいのが特徴です。
→ 攻撃者の手口を”地図”で理解する（MITRE ATT&CK）地政学的リスクに起因するサイバー攻撃（情報戦を含む）
国家間の対立や紛争を背景にした攻撃活動、および偽情報を使った情報戦（インフルエンスオペレーション）。自社が直接の標的でなくても、重要インフラ・特定業界全体が巻き込まれることがあり、地政学リスクの高まりとともに2026年版で存在感を増した項目です。
内部不正による情報漏えい等
従業員・元従業員による意図的な情報持ち出しや、悪意はなくてもクラウドの公開設定ミス等で起きる漏えい。外部からの攻撃と違い、正規のアクセス権限を使って行われるため技術的な検知が難しく、権限を「必要な人に必要な範囲だけ」与える運用の徹底が要になります。
→ インシデント対応プレイブックを見るリモートワーク等の環境や仕組みを狙った攻撃
VPN機器の脆弱性や私物端末（BYOD）経由の侵入、公衆Wi-Fi利用時の盗聴など、社外からの接続経路を狙う攻撃。「社内ネットワークの中は安全」という前提でオフィス向けに組まれたセキュリティ設計の隙間を突かれる形で、リモートワークの普及とともに存在感を増した項目です。
→ ゼロトラスト建築ゲームで学ぶDDoS攻撃（分散型サービス妨害攻撃）
大量のアクセス・通信を送りつけてサーバーやサービスを機能停止に追い込む攻撃。ランサム攻撃のように直接金銭を奪う手口ではありませんが、金銭目的の脅迫（支払わなければ攻撃を続けると要求）に加え、抗議活動や単なる愉快犯目的で行われることも多く、動機が読みにくい脅威です。
→ 実際のDDoS攻撃事例を見るビジネスメール詐欺（BEC）
取引先の経理担当者や自社の経営者になりすましたメールで、「振込先が変更になった」等の口実で偽の口座への送金を指示する詐欺。差出人名は本物そっくりでも、実際のメールアドレス（Fromの後ろ）やReply-To（返信先）が微妙に違うことが多く、件名・本文だけでなくヘッダー情報まで確認する習慣が有効です。
→ ゲームで見破り方を体験する（BEC見破り訓練）2026年の注目ポイント
去年からの変化を2つだけ押さえておけば、ニュースの文脈がわかるようになります
📊 2025年版→2026年版の主な変化
| 項目 | 変化 | ポイント |
|---|---|---|
| AIの利用をめぐるサイバーリスク（組織編） | 新規選出・第3位 | 攻撃者のAI悪用と、自社のAI利用による漏えいの両面が初めてランクイン |
| インターネットバンキングの不正利用（個人編） | 4年ぶり8回目の選出 | 2023年以降ランク外だったが、被害の増加を受けて復帰 |
| ランサム攻撃・サプライチェーン攻撃（組織編） | 4年連続で1位・2位を維持 | 「新しい脅威」より「基本の徹底」が今も最優先という選考会のメッセージ |
※ IPA公式発表（2026年1月）・解説書（2026年3月）を出典に作成。
「AIリスク」は結局、何をすればいいのか
①経営者・上司からの緊急送金指示は、AI生成の音声・映像でも本人そっくりに偽造できる前提で、必ず電話やチャットなど別経路で本人確認する②生成AIサービスに顧客情報・機密情報をそのまま貼り付けない③自社で使うAIモデル・AIエージェントに、意図しない指示（プロンプトインジェクション）が混入していないか点検する——難しく聞こえますが、要は「AIが出した結果も、AIへの入力も、そのまま信用しない」という一貫した姿勢が基本になります。
結局、今日から何をすればいい？
20項目を読んだだけで終わらせないための、共通対策チェックリスト
👤 個人編：今日から始める6つ
①パスワードは使い回さず12文字以上にする
②使えるサービスは必ず多要素認証（MFA）をオンにする
③「緊急」「今すぐ」と煽るメール・SMS・電話は一度立ち止まる
④クレジットカード・ネットバンキングの明細を定期的に確認する
⑤アプリは公式ストアから、権限要求は都度確認する
⑥SNSで見た情報は拡散前に発信元を確認する
🏢 組織編：今日から始める6つ
①バックアップは「復元できるか」まで定期的にテストする
②委託先・取引先のセキュリティ状況も定期的に確認する
③生成AIに何を入力してよいかのルールを明文化する
④脆弱性のパッチ適用スピードを社内基準として明確にする
⑤退職者・異動者のアカウントとリモートアクセス権限を速やかに無効化する
⑥インシデント対応の初動手順を事前に文書化し、訓練しておく
このチェックリストは10大脅威2026の20項目に共通する対策を横断的にまとめた、本記事独自の整理です。個別の脅威への詳しい対策は、上のカードの内部リンク先を参照してください。
よくある質問
個人編と組織編、両方に当てはまる人はどうすればいい？
在宅勤務をしている方や個人事業主の方は両方に関係します。まず個人編で自分の身の回りを固め、勤務先のセキュリティ担当者に組織編の内容を共有するのがおすすめです。
去年（2025年）のランキングと比べたい
IPA公式サイトの「情報セキュリティ10大脅威」ページに2014年版から全年度分が公開されています。過去の推移を見ると、ランサム攻撃とサプライチェーン攻撃が長期間上位に居続けていることがわかります。
この記事の内容だけで対策として十分？
いいえ、あくまで「何を優先して調べるべきか」の入口です。各カードの内部リンク先で、それぞれの脅威についてより詳しい解説・体験型の練習ができます。企業の方はIPA公式の解説書PDFで一次情報も確認してください。
次はいつ更新される？
IPAは例年1月頃にランキングを発表し、3〜5月頃に詳細な解説書・個人編ハンドブックを公開しています。このページも新年度版の発表に合わせて更新する予定です。
なぜ「ランサム攻撃」と「サプライチェーン攻撃」はいつも上位なの？
この2つは4年連続で組織編の1位・2位を占めています。理由は、どちらも「1つの成功が連鎖的に被害を広げる」構造を持つため。ランサム攻撃は事業停止に直結し身代金という明確な収益源があるため攻撃者にとって割に合いやすく、サプライチェーン攻撃は1つの委託先を突破するだけで複数の取引先企業に被害が波及します。選考会が新しい脅威よりもこの2つを重視し続けているのは、目新しさより実害の大きさを優先している表れといえます。
本記事はIPA（独立行政法人 情報処理推進機構）「情報セキュリティ10大脅威2026」（個人編ハンドブック・組織編解説書、2026年1月発表・3月公開）を出典とし、内容を初心者向けに要約・再構成したものです。詳細な統計・事例はIPA公式サイトで確認できます。
コメント