情報セキュリティ10大脅威とは｜2026年版・組織編の順位
情報セキュリティ10大脅威は、IPAが毎年1月に発表する資料です。前年に社会的な影響が大きかった事案をもとに候補を選び、研究者や実務担当者など約250名の選考会が審議・投票して順位を決めています。2026年版は2026年1月29日に公開されました。組織向けの順位は次のとおりです（出典：IPA「情報セキュリティ10大脅威 2026」）。
| 順位 | 脅威（組織編） |
|---|---|
| 1位 | ランサム攻撃による被害 |
| 2位 | サプライチェーンや委託先を狙った攻撃 |
| 3位 | AIの利用をめぐるサイバーリスク |
| 4位 | システムの脆弱性を悪用した攻撃 |
| 5位 | 機密情報を狙った標的型攻撃 |
| 6位 | 地政学的リスクに起因するサイバー攻撃（情報戦を含む） |
| 7位 | 内部不正による情報漏えい等 |
| 8位 | リモートワーク等の環境や仕組みを狙った攻撃 |
| 9位 | DDoS攻撃（分散型サービス妨害攻撃） |
| 10位 | ビジネスメール詐欺 |
3位の「AIの利用をめぐるサイバーリスク」は2026年版で初めて選ばれた項目です。個人向けの脅威は2026年版では順位を付けず、五十音順で掲載されています。
この記事では、この公式の順位はそのままに、「中小企業にとって関係が深い順」という別の物差しで読み替えていきます。並べ替えはあくまで編集部の見解です。
順位のまま読まない理由｜被害の約6割は中小企業
「10大脅威は大企業の話で、うちには関係ない」という読み方が、いちばんもったいない読み方です。警察庁が2026年9月に公表した「令和8年上半期におけるサイバー空間をめぐる脅威の情勢等について」によると、2026年上半期のランサムウェア被害報告は123件で、統計を取り始めた令和2年下半期以降、半期として過去最多でした。被害企業を規模別に見ると、前年と同様に中小企業が約6割を占めています（出典：警察庁「サイバー空間をめぐる脅威の情勢等」）。
同じ資料には、対策の優先順位を考えるうえで重要な数字が並んでいます。
- 被害組織へのアンケートでは、侵入経路はVPN機器が約5割。未修正の脆弱性や漏えいした認証情報が悪用されている
- 復旧に総額1,000万円以上を要した組織が全体の6割。1か月未満で復旧できた組織は5割弱にとどまる
- RaaS（攻撃ツールの貸し出し）により、高度な技術を持たない者でも攻撃を実行できるようになり、攻撃者の裾野が広がっている
つまり、攻撃者は会社の規模や知名度で標的を選んでいるわけではありません。自動的に入口を探し、開いているところから入ってくる構図です。この連載の初回で整理したとおり、情報漏えいの原因は偏っており、多い順に塞ぐのが近道です（情報漏えいの原因ランキング）。
直近の動きとして、JPCERT/CCは2026年10月8日に「直近で相次いでいる国内組織における不正アクセスに関する注意喚起」を公開しました。2026年9月前後から国内組織で不正アクセスによる個人情報等の漏えい被害が相次いでいるとして、既知の脆弱性の探索や管理不備の悪用、API経由の不正操作などの類型と対策を示しています。一般利用者向けのシステムだけでなく、社内向けの管理画面やBIツールも被害に遭っていると指摘されており、「外から見えないはずのもの」も点検対象になります（出典：JPCERT/CC 注意喚起 JPCERT-AT-2026-0030）。
自社に関係する順に並べ替える（従業員50人以下を想定）
ここからが本題です。公式の順位を、従業員50人以下・専任の情報システム担当がいない会社を想定して、「関係が深い順」に並べ替えました。この並べ替えは編集部の見解で、弊社が点検や保守の現場で実際に見てきた場面をもとにしています。各行の「最初の一手」は、今日からできるものに絞っています。
| 関係が深い順 | 脅威（公式順位） | うちで起きる場面 | 最初の一手 |
|---|---|---|---|
| 1 | ランサム攻撃（1位） | 古いVPN機器や遠隔接続の入口から侵入され、ファイルが暗号化される | 遠隔接続の機器・ソフトの更新状況を確認する |
| 2 | 脆弱性を悪用した攻撃（4位） | 更新していないWordPressやプラグインが乗っ取りの入口になる | 使っているソフトの一覧と更新担当を決める |
| 3 | ビジネスメール詐欺（10位） | 取引先を装った振込先変更メールで誤送金する | 振込先変更は別経路で確認するルールを作る |
| 4 | AIの利用をめぐるリスク（3位） | 社員が無料のAIサービスに顧客情報を入力する | 入力してよい情報の線引きを決める |
| 5 | 内部不正による漏えい（7位） | 退職者のアカウントや共有パスワードが残ったまま | 退職時に止める・消すものの一覧を作る |
| 6 | サプライチェーン攻撃（2位） | 自社が取引先への攻撃の入口として使われる | 取引先と共有している権限を書き出す |
| 7 | リモートワークを狙った攻撃（8位） | 私物端末や自宅環境から社内データに接続している | 業務利用してよい端末の範囲を決める |
| 8 | 標的型攻撃（5位） | 業務を装ったメールの添付ファイルを開いてしまう | 不審な添付の報告先を決めて周知する |
| 9 | DDoS攻撃（9位） | 自社サイトが一時的に閲覧できなくなる | サーバー会社の対策内容を確認する |
| 10 | 地政学的リスク（6位） | 国際情勢に連動した攻撃の増加が自社にも波及する | 公的機関の注意喚起を追う情報源を決める |
公式で2位のサプライチェーン攻撃を6番目に置いたのは、関係が薄いからではありません。中小企業の場合、「自社が被害者になる」より先に「自社が取引先への入口にされる」形で関わることが多く、まず1〜5番で自社の足元を固めることがそのまま取引先への備えになるためです。発注側の視点でのチェックリストは、この連載で後日取り上げます。
上位3つを「うちで起きる場面」に置き換える
ランサム攻撃と脆弱性の悪用は、同じ「開いた入口」から始まる
表の1番と2番は、別々の脅威に見えて入口が共通しています。更新されていない機器やソフト、管理されていない遠隔接続です。警察庁の統計で侵入経路の約5割を占めたVPN機器はその典型で、「導入したときのまま、誰も見ていない」状態が狙われます。
弊社が開発を引き継いだあるWebサービスでも、着手前の点検で同じ構造を見ました。サーバー内に第三者が設置した不正なプログラムがあり、遠隔操作の入口には数万件規模の不正ログイン試行の記録が残っていました。データベースは外部から接続を試せる状態で、防火壁は無効のままでした。それでもサービス自体は何事もなく動き続けていたのです。画面が正常に見えることと、入口が閉じていることは別の問題です。何年も更新していないホームページに潜む危険は放置したホームページの実例で詳しく書いています。
ビジネスメール詐欺は、技術ではなく業務ルールで止める
公式10位のビジネスメール詐欺を3番に上げたのは、被害が「1通のメールと1回の振込」で完結してしまうからです。取引先や経営者を装って振込先の変更を依頼する手口で、セキュリティソフトでは止めにくく、支払い業務のルールで止めるしかありません。「振込先の変更依頼は、メール以外の経路で相手に確認する」という1行のルールが対策の中心になります。手口の詳細と社内ルールの作り方は、この連載で後日1本を使って取り上げます。
AIのリスクは「禁止」ではなく「線引き」で備える
2026年版で初登場した3位のAIリスクには、攻撃者がAIを悪用する面と、自社の利用から情報が漏れる面があります。中小企業でまず起きるのは後者です。社員が良かれと思って無料のAIサービスに顧客名簿や契約書を貼り付ける、AIに作らせた業務ツールにAPIキーが直書きされている、といった場面を弊社は点検で繰り返し見てきました。禁止だけでは隠れて使われるため、「入力してよい情報の線引き」と「会社として使ってよい道具」を先に決めるのが現実的です。AIで作ったツールの落とし穴はAIに作らせたツールの6つの落とし穴にまとめています。線引きの決め方は、この連載で後日取り上げます。
使い方は「読む・置き換える・決める」の3ステップ・30分
10大脅威は、読んで終わりにすると1年後にまた同じ場所に戻ってきます。経営者か、総務と情報システムを兼務している担当者が、次の3ステップで使い切ってください。合計30分です。
- 読む（5分）：IPAの公式ページで組織編の順位と各脅威の1行説明だけを読む。解説書の全文を読む必要はありません
- 置き換える（15分）：上の表の「うちで起きる場面」を自社の実名に置き換える。使っている遠隔接続の機器名、更新していないソフト、振込を1人で完結できる業務、AIを使っている社員、を書き出します
- 決める（10分）：書き出した中から、最初の一手を1つだけ決めて担当者と期限を付ける。全部やろうとせず、表の上から順に1つずつで構いません
続け方は2つです。まず、決めた一手が終わったら表の次の行に進むこと。次に、毎年1月末の10大脅威の更新を、年1回の見直しのきっかけにすることです。順位の変動そのものより、「去年決めた一手は実行されたか」を確認する日として使うと、資料が点検の道具に変わります。
なお、10大脅威への対応は、特別な対策を新しく始めることではありません。この連載の2日目で取り上げた基本の6つ（情報セキュリティ6か条）と、パスワード管理の見直しを進めていれば、表の上位の大半には既に手が付いています。脅威のニュースに振り回されるより、基本の点検を1つずつ進めることが、結果的に10大脅威への最短の備えになります。
本記事の内容は、2026年10月時点で公表されている資料をもとに編集部が整理したものです。最新の情報は各出典でご確認ください。
10大脅威のうち、自社の「開いている入口」を点検する
ランサム攻撃も脆弱性の悪用も、入口は自社のサイトやツールの設定にあります。セキュリティ診断は5,000円（税抜）の固定料金で、サイトのURLだけで始められます。点検後の更新・バックアップ・監視は、月額9,800円（税抜）からの保守で引き受けます。
セキュリティ診断の内容を見る →よくある質問
Q. 情報セキュリティ10大脅威とは何ですか？誰が決めていますか？
IPA（情報処理推進機構）が毎年1月に発表する資料で、前年に影響が大きかった脅威を候補として、研究者や実務担当者など約250名の選考会が審議・投票して順位を決めています。組織向けと個人向けの2種類があり、2026年版の組織向け1位は「ランサム攻撃による被害」でした。個人向けは2026年版では順位を付けず五十音順で掲載されています。
Q. 10大脅威は大企業向けの資料ではないのですか？
順位は組織全般を対象にしたもので、企業規模は限定されていません。実際、警察庁の公表資料では、2026年上半期のランサムウェア被害報告123件のうち中小企業が約6割を占めています。攻撃の多くは規模や知名度で標的を選ばず、「開いている入口」を自動的に探す形で行われるため、中小企業こそ自社に関係する順に読み替えて使うことをおすすめします。
Q. 10個すべてに対応する余裕がありません。何から手を付ければよいですか？
全部に同時に取り組む必要はありません。本記事の表の上位3つ（ランサム攻撃・脆弱性の悪用・ビジネスメール詐欺）から、最初の一手を1つずつ進めてください。遠隔接続機器の更新確認、使っているソフトの一覧化、振込先変更の確認ルールは、いずれも費用をかけずに始められます。並行して、IPAの「情報セキュリティ6か条」に沿った基本の対策を進めれば、上位の脅威の大半に手が付きます。
Q. 自社がどの脅威に対して「入口が開いている」状態か、自分では判断できません。
まず、遠隔接続の機器やソフトをいつ更新したか、ホームページの更新は誰がしているか、の2点を確認してください。答えられない項目が、そのまま点検すべき入口です。外部の目で確認したい場合は、弊社のセキュリティ診断をご利用ください。サイトのURLだけで10項目を点検し、優先度つきの対策リストをお渡しします。