IPA（独立行政法人情報処理推進機構）が毎年公表する「情報セキュリティ10大脅威」は、前年に社会的な影響が大きかった脅威を専門家の投票で選び、順位づけしたものです。2025年版（組織編）では、ランサム攻撃が5年連続で1位（10大脅威への選出は2016年以降で10回目）となり、新たに「地政学的リスクに起因するサイバー攻撃」が初めてランクインしました。
この記事では、まず2025年版（組織編）の1位から10位までを一覧でそのまま確認できるようにし、続いて前年（2024年版）からの変化点、各脅威の中身と組織が取るべき対策、脅威ごとに効くセキュリティソリューションの考え方までを順番に解説します。
本記事で扱うのは2025年版（組織編）です。順位や脅威名は公表当時の表記をそのまま用い、最新の2026年版との違いは記事の後半で触れます。
目次
一括ダウンロードする
【2025年版】情報セキュリティ10大脅威（組織編）順位一覧
情報セキュリティ10大脅威は、前年に発生した社会的に影響が大きかった事案から、研究者や企業の実務担当者など約200名のメンバーからなる「10大脅威選考会」が審議・投票して決める仕組みです。2025年版の組織向けの順位は、2025年1月30日にIPAが公開しました。
組織向けの1位から10位は次のとおりです。「初選出年」はその脅威が初めてランクインした年、「取り扱い（2016年以降）」は2016年以降に10大脅威へ選ばれた回数を示します。
| 順位 | 「組織」向け脅威 | 初選出年 | 取り扱い（2016年以降） |
|---|---|---|---|
| 1位 | ランサム攻撃による被害 | 2016年 | 10年連続10回目 |
| 2位 | サプライチェーンや委託先を狙った攻撃 | 2019年 | 7年連続7回目 |
| 3位 | システムの脆弱性を突いた攻撃 | 2016年 | 5年連続8回目 |
| 4位 | 内部不正による情報漏えい等 | 2016年 | 10年連続10回目 |
| 5位 | 機密情報等を狙った標的型攻撃 | 2016年 | 10年連続10回目 |
| 6位 | リモートワーク等の環境や仕組みを狙った攻撃 | 2021年 | 5年連続5回目 |
| 7位 | 地政学的リスクに起因するサイバー攻撃 | 2025年 | 初選出 |
| 8位 | 分散型サービス妨害攻撃（DDoS攻撃） | 2016年 | 5年ぶり6回目 |
| 9位 | ビジネスメール詐欺 | 2018年 | 8年連続8回目 |
| 10位 | 不注意による情報漏えい等 | 2016年 | 7年連続8回目 |
この順位は社会的な注目度の目安で、IPAも「順位が危険度を表しているわけではない」としています。自社に関係する脅威から対策を検討するという考え方は、記事後半の「選び方」であらためて取り上げます。
出典・参考資料（1件）
2024年版からの変化点（新規・復活・圏外化）
ここからは、2024年版の組織向け順位と比べて何が変わったかを整理します。IPAは前年との対応表を公式には示していないため、IPA自身が示した「初選出」「5年ぶり」などのラベルと、両年の公式順位から確実に言える変化だけを取り上げます。
| 変化 | 脅威 | 根拠 |
|---|---|---|
| 新規ランクイン | 地政学的リスクに起因するサイバー攻撃（7位） | IPAが「初選出年2025年／初選出」と明記。2024年版の10位内には無し |
| 復活 | 分散型サービス妨害攻撃（DDoS攻撃）（8位） | IPAが「5年ぶり6回目」と明記。2024年版の10位内には無し |
| 圏外化 | 犯罪のビジネス化（アンダーグラウンドサービス） | 2024年版10位から、2025年版の10脅威には同名・同義の項目が無くなった |
前年との並びを見比べられるよう、2024年版（組織編）の1位から10位も載せます。
| 順位 | 2024年版「組織」向け脅威 |
|---|---|
| 1位 | ランサムウェアによる被害 |
| 2位 | サプライチェーンの弱点を悪用した攻撃 |
| 3位 | 内部不正による情報漏えい等の被害 |
| 4位 | 標的型攻撃による機密情報の窃取 |
| 5位 | 修正プログラムの公開前を狙う攻撃（ゼロデイ攻撃） |
| 6位 | 不注意による情報漏えい等の被害 |
| 7位 | 脆弱性対策情報の公開に伴う悪用増加 |
| 8位 | ビジネスメール詐欺による金銭被害 |
| 9位 | テレワーク等のニューノーマルな働き方を狙った攻撃 |
| 10位 | 犯罪のビジネス化（アンダーグラウンドサービス） |
名称がほぼ変わらない脅威で前年と比べると、ランサム攻撃は1位、サプライチェーン関連は2位で据え置きでした。内部不正は3位から4位、標的型攻撃は4位から5位、ビジネスメール詐欺は8位から9位、不注意による情報漏えいは6位から10位へと順位を下げています。一方、テレワーク／リモートワークを狙った攻撃は9位から6位へ上がりました。
2025年版では脅威の名称も見直されています。たとえば2024年版の「ランサムウェアによる被害」は「ランサム攻撃による被害」へ、「テレワーク等のニューノーマルな働き方を狙った攻撃」は「リモートワーク等の環境や仕組みを狙った攻撃」へと表現が変わりました。
また、2024年版で別々だった「修正プログラムの公開前を狙う攻撃（ゼロデイ攻撃）」と「脆弱性対策情報の公開に伴う悪用増加」は、2025年版では「システムの脆弱性を突いた攻撃」に統合された形になっています。このように名称変更や統合をまたぐ脅威は、前年との一対一の順位対応づけができません。
IPAは、脅威の名称や区分が変わっても、関連する過去の脅威の系譜を引き継いで初選出年・取り扱い回数を表記しています。順位表で統合後の3位が「初選出年2016年／5年連続8回目」と表記されるのはこのためです。また、ランキングから外れた（圏外化した）脅威も、脅威そのものが消滅したわけではありません。
出典・参考資料（2件）
各脅威の中身と組織が取るべき対策（10項目すべて）
ここからは、組織向け10大脅威を1位から順に、どんな攻撃なのか（概要・手口）と、組織として取るべき対策を解説します。対策は、IPAが解説書で挙げている対策の方向性にもとづいて整理しています。
1位：ランサム攻撃による被害
ランサムウェアとは、PCやサーバーに感染してデータを暗号化したり窃取したりし、それを取引材料に金銭を要求するマルウェアです。IPAの解説書は、ランサムウェアを「PC やサーバーに感染後、端末のロックやデータの窃取、暗号化を行い、これらを取引材料とした様々な脅迫により金銭を要求するマルウェアの一種」と定義しています。
近年は、攻撃の道具一式を売買する「RaaS（Ransomware as a Service）」が広がり、暗号化せずに盗んだデータの暴露だけをちらつかせる「ノーウェアランサム」や、暗号化・暴露・DDoS・取引先への連絡を組み合わせた二重・四重の脅迫も確認されています。侵入経路としては、VPN機器などの脆弱性の悪用や、不正アクセスによるネットワーク経由の感染が目立ちます。
対策の軸は、侵入を防ぐこと（脆弱性の修正・強い認証）と、被害を受けても復旧できること（バックアップ）の両輪です。IPAは、適切なバックアップの取得、多要素認証などの強い認証方式の導入、ネットワーク監視による早期検知などを挙げています。
5年連続で1位となったランサム攻撃について、予防・バックアップ・感染時の対応をどう組み立てるかを具体的に知りたい場合は、次の記事で手順に沿って解説しています。
2位：サプライチェーンや委託先を狙った攻撃
自社を直接狙うのではなく、セキュリティ対策が手薄な取引先・委託先・子会社を踏み台にして本来の標的へ侵入する攻撃です。ソフトウェアの供給網や業務委託先の管理アカウントが侵入口になることもあります。
自社だけを守っても、委託先が侵害されれば被害は波及します。委託先のセキュリティ水準を契約時に確認する、アクセス権限を必要最小限に絞る、委託先経由の通信を監視するといった、取引関係全体を見渡した対策が求められます。
踏み台にされる具体的な手口や実際の被害事例、取引先まで含めた対策の立て方は、次の記事で詳しく整理しています。
サプライチェーン攻撃とは？3つの手口・被害事例・取引先を含めた対策を解説
取引先の一社が攻撃を受けたことで、自社の生産や情報まで止まってしまう。そんなニュースを見て、あるいは取引先から「セキュリティ体制についてのアンケートに答えてほしい」と依頼が届き、「サプライチェーン攻撃」という言葉をあらためて確かめたくなった…
3位：システムの脆弱性を突いた攻撃
OS・ソフトウェア・ネットワーク機器に残る脆弱性（セキュリティ上の欠陥）を悪用して侵入する攻撃です。修正プログラムが公開される前を狙う「ゼロデイ攻撃」も、公開された脆弱性情報をもとに未対応の組織を狙う攻撃も、この脅威に含まれます。
基本は、資産（使っている機器・ソフト）の棚卸しと、修正プログラムの速やかな適用です。保守期限が切れた機器を使い続けていないか、社外から見える資産に未対応の脆弱性がないかを定期的に点検する運用が欠かせません。
4位：内部不正による情報漏えい等
従業員や元従業員、委託先の担当者が、権限を悪用して情報を持ち出す脅威です。退職者が在職中のアカウントで情報を持ち出す、営業秘密を競合へ渡すといったケースがあり、外部からの攻撃より発見が遅れやすいのが特徴です。
アクセス権限を業務上必要な範囲に限定し、重要データへのアクセスや持ち出しの記録を残して監視すること、退職・異動時に速やかに権限を停止することが対策の中心になります。
5位：機密情報等を狙った標的型攻撃
特定の組織の機密情報を狙い、業務を装ったメールや不正サイトで入り込む攻撃です。取引先や公的機関を装ったメールの添付ファイル・リンクから端末を感染させ、そこを足がかりに内部を調べて目的の情報へ到達します。
入口となるメールへの警戒（従業員教育・訓練）に加え、侵入された後に端末の不審な挙動を検知・隔離できる仕組みや、ネットワーク内部の不審な通信を見つける監視が有効です。
6位：リモートワーク等の環境や仕組みを狙った攻撃
在宅勤務で使うVPN機器やリモートデスクトップ、私物端末やクラウドサービスの設定の甘さを突く攻撃です。オフィスの境界だけを守る従来型の対策では、社外からのアクセスを守りきれない点が狙われます。
アクセスのたびに本人と端末の状態を確認する考え方（ゼロトラスト）に沿って、多要素認証の導入、端末の安全性チェック、VPN機器の脆弱性管理を組み合わせることが基本です。
7位：地政学的リスクに起因するサイバー攻撃（2025年初選出）
2025年版で初めてランクインした脅威です。国家間の対立や国際情勢を背景に、重要インフラや関連企業を狙った攻撃、ネットワークへの侵入、偽情報の流布などが行われるリスクを指します。
一企業で地政学的リスクそのものを取り除くことはできませんが、自社が標的になりうるかを把握し、脅威情報を収集して、インシデント発生時の対応手順をあらかじめ訓練しておくことが備えになります。
8位：分散型サービス妨害攻撃（DDoS攻撃）（5年ぶりの選出）
大量の通信を一斉に送りつけ、Webサイトやサービスを使えない状態に追い込む攻撃です。2025年版では5年ぶりに10大脅威へ選ばれました。IPAの解説書は、2024年に自治体・交通機関などのWebサイトが一時的に閲覧しにくくなった事例を挙げています。たとえば、山梨県のサイトが海外からのアクセス集中で約4時間にわたり閲覧しづらい状態になりました。
対策としては、通信量を継続的に監視し、地理情報や通信の性質にもとづいて不正なアクセスを遮断する仕組み、CDN（コンテンツ配信網）の利用やインフラの拡張性の確保などを組み合わせます。
9位：ビジネスメール詐欺
取引先や経営者になりすましたメールで、偽の口座へ送金させたり機密情報を送らせたりする詐欺です。実在の取引を装い、振込先の変更連絡や急ぎの送金依頼を送ってくるため、メールの文面だけでは見破りにくいのが特徴です。
送金や口座変更の際にメール以外の手段で相手に確認する業務手順を定めること、なりすましメールを検知・遮断するメールのフィルタリングを導入することが有効です。
10位：不注意による情報漏えい等
攻撃ではなく、従業員のうっかりミスで情報が漏れる脅威です。メールの誤送信、書類や記録媒体の紛失、公開設定の誤りなどが典型で、悪意がなくても大きな被害につながります。
情報の取り扱いルールを整備して継続的に教育すること、メールの誤送信を防ぐ仕組みや送信前の確認を取り入れることが対策になります。
出典・参考資料（1件）
一括ダウンロードする
脅威に効くセキュリティソリューションと選び方
ここからは、10大脅威に対して、どの対策から着手し、どんなソリューションが効くのかを整理します。すべての脅威に一度に対応するのは現実的ではないため、まず優先順位の付け方から確認します。
順位にとらわれず、自社に関係する脅威から優先順位をつける
10大脅威の順位は、あくまで社会全体で影響が大きかった脅威の目安です。IPAも解説書の「はじめに」で、順位が危険度を表すものではないと述べています。
組織の脅威はランキング形式で紹介しているが、順位が危険度を表しているわけではない。昨年の被害事例等の状況から、「10大脅威選考会」に参加している方々それぞれの観点で社会的に影響が大きかったと判断した脅威の順である。
出典：情報セキュリティ10大脅威 2025［組織編］（解説書）p.5｜IPA
そのため、順位の上から順に対応するのではなく、自社の業種・扱う情報・働き方（リモートワークの有無など）に照らして関係の深い脅威を選び、そこから優先的に手を打つのが実務的です。たとえば機密情報を多く扱う組織なら標的型攻撃や内部不正、取引先が多いならサプライチェーン、在宅勤務が中心ならリモートワーク関連の脅威が優先度の高い候補になります。
専任の担当者を置きにくい中小企業が、限られた予算・人員のなかで何から着手すべきか——優先順位と費用感まで具体的に知りたい場合は、次の記事が参考になります。
中小企業のセキュリティ対策は何から始める？優先順位と費用感つきでやるべきことを解説
取引先からセキュリティ対策状況の確認を求められたり、同業他社の被害をニュースで見た社長から「うちは大丈夫なのか」と指示が飛んできたりして、何から手を付ければよいのか分からず困っていませんか。セキュリティが大切なことは分かっていても、専任の担…
脅威別に「効く対策・手段」を整理する
主要な脅威と、その対策の方向性、効くソリューションの種別を対応づけると次のようになります。ここでの製品カテゴリへの対応づけは一般的な防御の考え方にもとづく整理であり、IPAが特定の製品種別を推奨しているわけではありません。
| 主な脅威 | 対策の方向性 | 効くソリューションの種別 |
|---|---|---|
| ランサム攻撃（1位） | 侵入防止＋復旧手段の確保 | EDR、バックアップ、ネットワーク監視（NDR）、強い認証 |
| サプライチェーン攻撃（2位） | 委託先の水準確認＋経由する通信の監視 | ネットワーク監視（NDR）、ID・アクセス管理 |
| 標的型攻撃（5位） | 入口のメール対策＋侵入後の検知 | メールセキュリティ、EDR、ネットワーク監視（NDR） |
| 内部不正（4位） | 権限の最小化＋持ち出しの監視 | ID・アクセス管理、ログ・通信の監視（NDR） |
| システムの脆弱性（3位） | 資産把握＋脆弱性の修正 | 脆弱性診断、資産・パッチ管理 |
| リモートワーク（6位） | アクセスのたびの本人・端末確認 | 多要素認証・SSO（IDaaS）、EDR |
| ビジネスメール詐欺（9位） | 確認手順の徹底＋なりすまし検知 | メールセキュリティ |
以下では、これらの脅威への対策に使えるセキュリティソリューションを紹介します。製品を組み合わせることで複数の脅威をカバーできるため、自社で優先度の高い脅威から見比べてみてください。
| サービス名 | CloudGate UNO | Network Blackbox | Eye"247" Safety Zone | Eye"247" Spam Shield | KATABAMI サイバーセキュリティ対策パッケージ |
|---|---|---|---|---|---|
| 主に効く脅威（10大脅威） | リモートワーク（6位） ランサム攻撃（1位）の侵入経路 | 標的型攻撃（5位） 内部不正（4位） サプライチェーン（2位） | ランサム攻撃（1位） 標的型攻撃（5位） | ビジネスメール詐欺（9位） メール経由の標的型攻撃（5位） | システムの脆弱性（3位） ランサム攻撃（1位）の予防・復旧 |
| 守る対象・レイヤー | 認証・アクセス（ID） | ネットワーク（通信） | エンドポイント（端末） | メール（入口） | 社内ネットワーク全体 （予防・復旧・補償） |
| 提供形態 | クラウド（IDaaS） | 非公表（ミラーリングで導入） | 非公表（端末ソフト＋管理コンソール） | 完全クラウド型（メールゲートウェイ） | 統合パッケージ型 |
| 主な機能 | SSO・多要素認証 パスキー（FIDO2）でパスワードレス IP・端末・時間帯のアクセス制限 | フルパケットキャプチャで検知・分析 シグネチャ＋行為ベース（BAD）＋コンテンツ分析 EDR・SIEMと連携 | EPP＋EDRを単一製品で搭載 振る舞い検知（ATC） ランサムウェア監視・自動バックアップ／復旧 | 学習型AIでメールをフィルタリング 標的型・迷惑・ウイルスメールを遮断 DMARC・送信ドメイン認証／送信対策 MXレコード変更のみで導入 | 月次の脆弱性診断（VDP） 隔離経路への自動バックアップ（CRA） サイバー保険を自動付帯 |
| 詳細情報 | 公式資料を見る | 公式資料を見る | 公式資料を見る | 公式資料を見る | オンライン相談を予約 |
ここで取り上げるのは、脅威への対策に使える代表的な5製品です。守る対象（認証・ネットワーク・端末・メールなど）のタイプごとにセキュリティソリューション全体を見渡して選びたい場合は、次の記事でタイプ別の違いと選び方を解説しています。
社内セキュリティソリューション比較｜守る対象別のタイプ・代表サービスと選び方
社内のセキュリティを強化したいものの、端末の保護から不正アクセス対策、情報漏えいの防止まで課題が広く、何から手をつければよいか判断がつかないという声は少なくありません。テレワークやクラウド利用が定着し、社外に持ち出される端末やIDが増えたこ…
1. CloudGate UNO（株式会社インターナショナルシステムリサーチ）
CloudGate UNOは、ゼロトラストの考え方にもとづくシングルサインオン（SSO）を提供するIDaaS（Identity as a Service）です。一度の認証で複数のクラウドサービスへアクセスできる利便性と、最小権限の原則にもとづくアクセス制限を組み合わせています。
パスキー（FIDO2）によるパスワードレス認証に対応し、アクセス元のIPアドレスや端末の条件で接続を制限できます。リモートワーク環境での不正アクセス（6位）や、強い認証でランサム攻撃（1位）の侵入経路をふさぐといった、認証・アクセス管理まわりの脅威への対策に向いています。
認証方式の強度について、提供元の株式会社インターナショナルシステムリサーチはMCB FinTechカタログのインタビューで次のように述べています。
当社が採用しているパスキーのパスワードレス認証は、フィッシング攻撃に対して非常に強い耐性を持ちます。SMS認証やワンタイムパスワードなどの一般的な多要素認証を突破する攻撃手法が顕在化する中、より安全な認証環境を提供します。
2. Network Blackbox（株式会社クワッドマイナージャパン）
Network Blackboxは、ネットワークを流れる通信（パケット）を保存・分析して脅威を検知するNDR（Network Detection and Response）ソリューションです。国内では株式会社フーバーブレインが総代理店として提供しています。シグネチャによる検知、ユーザーの行為にもとづく検知、送受信データの内容分析という複数の方式を組み合わせています。
通信を保存するため、外部からの侵入・内部の不審な通信・ネットワーク内部での水平移動（横展開）・データの持ち出しといった、通信に痕跡が残る脅威の検知と事後調査に対応します。標的型攻撃（5位）や内部不正（4位）、委託先経由で広がる攻撃（2位）への備えとして、端末側のEDRと補完し合う位置づけです。
3. Eye"247" Safety Zone（株式会社フーバーブレイン）
端末そのものを守るのがEye"247" Safety Zoneです。ウイルス対策（EPP）と、侵入後の不審な挙動を検知・対応するEDRを組み合わせたエンドポイントセキュリティソフトで、Bitdefenderと共同開発したエンジンを採用しています。
アプリケーションの動作を常時監視して不審な動きを検出する振る舞い検知（ATC）を備え、ランサムウェアの監視にも対応します。メールやファイル経由で端末に入り込むランサム攻撃（1位）や標的型攻撃（5位）に対して、端末側で侵入後の検知・対応を担います。
4. Eye"247" Spam Shield（株式会社フーバーブレイン）
Eye"247" Spam Shieldは、メールの入口を守る完全クラウド型のメールセキュリティサービスです。自社のメールサーバーの手前でメールをフィルタリングし、標的型攻撃メール・迷惑メール・ウイルスメールがメールサーバーに届く前に遮断します。
導入はMXレコードを変更するだけで、端末へのソフトのインストールは不要です。自己学習型のAIによるフィルタリングを採用しています。多くの攻撃の入口となるメールを抑えることで、ビジネスメール詐欺（9位）やメール経由の標的型攻撃（5位）への備えになります。
5. KATABAMI サイバーセキュリティ対策パッケージ（株式会社SYNCHRO）
KATABAMIは、単機能のツールではなく、予防・復旧・補償を1つにまとめた中小企業向けのパッケージ型ソリューションです。予防として社内ネットワークを月次で脆弱性診断し、復旧として改ざんされにくいバックアップを用意し、補償としてサイバー保険を組み合わせています。
脆弱性診断（3位への対策）だけでなく、万一ランサム攻撃（1位）で被害を受けた場合の復旧と金銭的な補償までを一括で備えられる点が特徴です。専任のセキュリティ担当を置きにくい組織が、複数の対策をまとめて導入したい場合の選択肢になります。
ランサム攻撃からの復旧でバックアップが頼りになる一方、そのバックアップ自体が狙われる実態について、提供元の株式会社SYNCHROはMCB FinTechカタログのインタビューで次のように指摘しています。
現状、ランサムウェア攻撃を受けた企業のうち、約8割近くでバックアップデータも潰されていると、警察からも発表されています。バックアップ経路は通常のネットワーク上にあるため、ランサムウェアを仕掛けてきた攻撃者にもたどり着けてしまうものがほとんどだからです。
補足：個人編（五十音順）と2026年版について
個人編は順位制をやめ、五十音順に（組織編との対象の違い）
ここまで紹介したのは「組織」向けの10大脅威です。10大脅威にはもう一つ「個人」向けがありますが、2025年版の個人向けは順位をやめ、五十音順で並べる形に変わりました。IPAはその理由を次のように説明しています。
10大脅威 2025では、個人の10大脅威の順位は掲載せず、五十音順で並べています。これは、順位が高い脅威から優先的に対応し、下位の脅威への対策が疎かになることを懸念してのことです。順位に関わらず自身に関係のある脅威に対して対策を行うことを期待しています。
出典：情報セキュリティ10大脅威 2025｜IPA
この考え方は組織向けにも通じます。企業の対策でも、順位の高さだけで判断せず、自社に関係する脅威に目を向けることが大切です。
最新版は2026年版（本記事が扱うのは2025年版）
IPAは2026年1月29日に「情報セキュリティ10大脅威 2026」を公開しており、現時点の最新版は2026年版です。2026年版の組織向けでは、1位がランサム攻撃による被害、2位がサプライチェーンや委託先を狙った攻撃と上位は変わらない一方、3位に「AIの利用をめぐるサイバーリスク」が新たに初選出されました。
本記事で扱っているのは2025年版（組織編）です。年度を取り違えないようご注意ください。
出典・参考資料（1件）
まとめ
情報セキュリティ10大脅威 2025（組織編）は、ランサム攻撃を筆頭に、サプライチェーン・脆弱性・内部不正・標的型攻撃が引き続き上位を占め、新たに地政学的リスク、5年ぶりにDDoS攻撃が加わりました。順位は全体像をつかむ目安であり、危険度そのものではありません。自社の業種・扱う情報・働き方に照らして関係の深い脅威から、予防・検知・復旧の対策を組み合わせて備えていくことが重要です。
各脅威に効くソリューションは、MCB FinTechカタログで資料をまとめて請求して比較できます。自社で優先度の高い脅威から、対策の候補を見比べてみてください。
一括ダウンロードする
よくある質問（FAQ）
Q. 情報セキュリティ10大脅威とは何ですか？
A. 情報セキュリティ10大脅威とは、IPA（独立行政法人情報処理推進機構）が、前年に社会的影響の大きかった脅威を専門家の投票で選び、毎年公表するランキングです。企業・団体向けの「組織編」と個人向けの「個人編」があり、組織編は注意すべき脅威を1位から10位まで順位づけしています。
候補をIPAが選び、研究者や企業の実務担当者など約200名からなる「10大脅威選考会」が審議・投票して順位を決める仕組みです。
Q. 情報セキュリティ10大脅威 2025で初めてランクインした脅威は何ですか？
A. 情報セキュリティ10大脅威 2025（組織編）で初選出されたのは、7位の「地政学的リスクに起因するサイバー攻撃」です。国家間の対立や国際情勢を背景に、重要インフラや関連企業を狙った攻撃、ネットワークへの侵入、偽情報の流布などが行われるリスクを指します。このほか「分散型サービス妨害攻撃（DDoS攻撃）」が5年ぶりに8位へ復活した点も、2024年版からの大きな変化です。
Q. 情報セキュリティ10大脅威は順位の高いものから対策すべきですか？
A. 情報セキュリティ10大脅威は、必ずしも順位の高いものから対策する必要はなく、IPA自身が「順位は危険度を表すものではない」と明記しているため、自社に関係の深い脅威から優先的に対策するのが実務的です。
順位は社会全体での影響の大きさの目安として全体像の把握に使い、機密情報を多く扱うなら標的型攻撃や内部不正、取引先が多いならサプライチェーン、在宅勤務が中心ならリモートワーク関連というように、自社の業種・扱う情報・働き方に照らして優先度を決めます。
Q. 中小企業は情報セキュリティ10大脅威のうち何から対策すればよいですか？
A. 専任の担当者を置きにくい中小企業は、被害が大きいランサム攻撃（1位）に備える「バックアップ」と、幅広い攻撃の入口をふさぐ「多要素認証」「メール対策」から着手するのが現実的です。個別にツールを揃えるのが難しい場合は、予防（脆弱性診断）・復旧（バックアップ）・補償（サイバー保険）をまとめたパッケージ型のソリューションを使うと、複数の対策を一度に導入でき運用の負担を抑えられます。
Q. 情報セキュリティ10大脅威の「組織編」と「個人編」はどう違いますか？
A. 情報セキュリティ10大脅威は、企業・団体向けの「組織編」と個人のネット利用者向けの「個人編」に分かれており、2025年版では組織編が1〜10位の順位制、個人編は順位をやめて五十音順になっています。本記事で扱っているのは組織編です。
個人編が順位を廃止したのは、順位の高い脅威ばかりに注意が向いて下位の脅威への対策が疎かになる懸念からで、順位に関わらず自分に関係する脅威へ対策してほしいという趣旨です。
Q. 情報セキュリティ10大脅威 2025と最新の2026年版は何が違いますか？
A. 情報セキュリティ10大脅威の2025年版と2026年版は、上位の顔ぶれは大きく変わらない一方、2026年版で「AIの利用をめぐるサイバーリスク」が3位に初選出された点が最大の違いです。1位のランサム攻撃、2位のサプライチェーンや委託先を狙った攻撃は両年で共通しています。
IPAは2026年1月29日に2026年版を公開しており、現時点の最新版は2026年版ですが、本記事が扱うのは2025年版（組織編）です。
社内セキュリティソリューションの料金・資料を一括チェック
MCB FinTechカタログでは、10大脅威への対策に使えるセキュリティソリューションの最新資料を無料で一括請求できます。EDR・メール・認証・ネットワーク監視など、脅威別に効く製品を見比べられます。
一括ダウンロードする
MCB FinTechカタログに掲載しませんか？
MCB FinTechカタログでは、掲載企業様を募集しています。マネックスグループの金融実務ノウハウを活かした独自の評価軸と検索設計により、導入検討者が最適なサービスを効率的に発見できる法人向け比較プラットフォームです。掲載後は管理画面から料金表や導入事例を随時更新でき、常に最新の情報を訴求可能。まずは下記フォームより、お気軽にお問い合わせください。
マネックス証券 フィナンシャル・インテリジェンス部 暗号資産アナリスト
松嶋真倫
監修の範囲は記事の一般的な解説部分であり、比較表および各製品・サービスの紹介内容は監修の対象外です。
