独立行政法人情報処理推進機構（IPA）は、2026年1月29日に「情報セキュリティ10大脅威 2026」を公表しました。前年に社会的な影響が大きかった脅威を、研究者や実務担当者ら約250名の選考会が審議・投票して選んだもので、組織向けには順位が付けられています。
2026年版では「AIの利用をめぐるサイバーリスク」が初めて選ばれ、3位に入りました。一方で、昨年10位だった「不注意による情報漏えい等」は圏外となるなど、顔ぶれにも動きがあります。順位を確認したあとは、前年から何が変わったのか、そして各脅威に自社がどう備えればよいのかまで知りたいところです。
この記事では、2026年版の組織向け10大脅威の順位を正式名称で一覧にし、2025年版からの変化、各脅威の手口と対策、人手や予算が限られる中での優先順位の付け方までをまとめて解説します。あわせて、それぞれの脅威に効く対策を担うサービスも紹介します。
目次
一括ダウンロードする
2026年版 組織向け情報セキュリティ10大脅威の一覧（順位表）
まず、IPAが公表した2026年版の組織向け10大脅威を順位順に示します。脅威名はIPAの正式表記に合わせ、各脅威が2025年版で何位だったか、通算で何回目の選出かも並べました。
| 順位 | 脅威名 | 2025年版の順位 | 選出の状況 |
|---|---|---|---|
| 1位 | ランサム攻撃による被害 | 1位 | 11年連続11回目 |
| 2位 | サプライチェーンや委託先を狙った攻撃 | 2位 | 8年連続8回目 |
| 3位 | AIの利用をめぐるサイバーリスク | 圏外（初選出） | 初選出 |
| 4位 | システムの脆弱性を悪用した攻撃 | 3位 | 6年連続9回目 |
| 5位 | 機密情報を狙った標的型攻撃 | 5位 | 11年連続11回目 |
| 6位 | 地政学的リスクに起因するサイバー攻撃（情報戦を含む） | 7位 | 2年連続2回目 |
| 7位 | 内部不正による情報漏えい等 | 4位 | 11年連続11回目 |
| 8位 | リモートワーク等の環境や仕組みを狙った攻撃 | 6位 | 6年連続6回目 |
| 9位 | DDoS攻撃（分散型サービス妨害攻撃） | 8位 | 2年連続7回目 |
| 10位 | ビジネスメール詐欺 | 9位 | 9年連続9回目 |
※「選出の状況」は、2016年以降で連続して選ばれている年数と、通算の選出回数を示します。
この順位は、危険度の高い順を示すものではありません。IPAは「順位が危険度を表しているわけではない」とし、選考会の参加者がそれぞれの観点から社会的な影響の大きさを判断した結果だと説明しています。自社にとっての優先順位は、順位そのものではなく、自社で起きたときの影響から考える必要があります。
出典・参考資料（2件）
2025年版からの主な変化
ここからは、2025年版と比べて何が変わったかを整理します。上位の顔ぶれに大きな入れ替わりはないものの、新しく入った脅威と、圏外に去った脅威があります。
AIの利用をめぐるサイバーリスクが初選出で3位に入りました。生成AIの普及に伴うリスクが、組織の論点として明確に位置づけられたかたちです。IPAも「はじめに」で、この脅威が初めて選ばれたことに触れています。
昨年10位の「不注意による情報漏えい等」は、2026年版では圏外となりました。独立した脅威としては姿を消しています。ただし、不注意による情報の漏えいがなくなったわけではなく、関係者による漏えいを扱う「内部不正による情報漏えい等」とも重なる部分があります。
順位の動きとしては、「内部不正による情報漏えい等」が4位から7位へ下がり、「システムの脆弱性を悪用した攻撃」が3位から4位、「リモートワーク等の環境や仕組みを狙った攻撃」が6位から8位へと順位を下げました。逆に「地政学的リスクに起因するサイバー攻撃」は7位から6位へ上がっています。上位2つの「ランサム攻撃による被害」と「サプライチェーンや委託先を狙った攻撃」は、1位・2位を維持しました。
出典・参考資料（2件）
各脅威の手口と対策（1位〜10位）
ここからは、10大脅威を順位順に取り上げ、それぞれの手口・被害と、取るべき対策を見ていきます。専門用語はその都度補いながら整理します。
1位 ランサム攻撃による被害
ランサム攻撃は、企業のデータを暗号化したり窃取したりして、その復旧や公開の取りやめと引き換えに金銭を要求する攻撃です。身代金を意味する「ランサム」から名付けられ、IPAは次のように説明しています。
PCやサーバー内のデータ窃取や暗号化、窃取した情報の暴露予告を行い、これらを取引材料とした様々な脅迫により金銭を要求する攻撃をランサム攻撃という。主にランサムウェアと呼ばれるデータを暗号化するマルウェアを用いるが、ランサムウェアを用いない「ノーウェアランサム」という攻撃もある。
出典：情報セキュリティ10大脅威 2026 解説書［組織編］｜IPA
近年は、データを暗号化するだけでなく、盗んだ情報の暴露をちらつかせて二重に脅す手口が目立ちます。基幹業務が止まれば、受発注や出荷が長期間にわたって滞る被害につながります。
IPAの解説書も、2025年の事例を挙げています。たとえばアサヒグループホールディングスは、2025年9月に国内で管理するシステムがランサムウェアの被害に遭い、個人情報等約191万件が流出した可能性があると同年11月に公表しました。
対策としては、感染を防ぐ入口の守りに加えて、感染しても業務を戻せる備えの両方が欠かせません。柱になるのは、ネットワークから切り離したバックアップの運用と復旧テストです。あわせて、不審な挙動を検知して対応するエンドポイントの監視や、認証情報を盗まれても侵入されにくくする多要素認証（MFA、複数の要素を組み合わせて本人確認する仕組み）が挙げられます。
IPAの解説書は、アスクルの事例も挙げています。2025年10月に業務停止に至ったこの事例では、多要素認証を適用していなかった認証情報が盗まれ、社内ネットワークへの侵入を許したとされています。
出典・参考資料（1件）
バックアップの取り方や感染してしまったときの初動対応まで、手順に落とし込んで詳しく知りたい方は、以下の記事もあわせてご覧ください。
2位 サプライチェーンや委託先を狙った攻撃
サプライチェーン攻撃は、取引先や委託先、利用しているサービスなど、本命の組織よりも守りが手薄なところを足がかりにして、標的の組織へ侵入する攻撃です。大企業を直接狙うのが難しいため、つながりのある中小企業が踏み台にされる例も少なくありません。踏み台にされた組織は、気づかないうちに取引先への加害者側になってしまうこともあります。
自社だけを守っても、委託先や利用サービスが侵害されれば被害は波及します。委託先・外部サービス・外部接続用のアカウントを一覧にして管理し、事故時の連絡先や責任範囲を明確にしておくこと、委託先のセキュリティ水準を評価・確認することが対策になります。
出典・参考資料（1件）
サプライチェーン攻撃は、ソフトウェアへの不正な混入や取引先経由の侵入など手口が分かれ、自社だけでなく委託先を含めた対策が必要になります。手口の種類や被害事例、取引先を巻き込んだ具体的な守り方まで踏み込んで知りたい方は、以下の記事をご覧ください。
サプライチェーン攻撃とは？3つの手口・被害事例・取引先を含めた対策を解説
取引先の一社が攻撃を受けたことで、自社の生産や情報まで止まってしまう。そんなニュースを見て、あるいは取引先から「セキュリティ体制についてのアンケートに答えてほしい」と依頼が届き、「サプライチェーン攻撃」という言葉をあらためて確かめたくなった…
3位 AIの利用をめぐるサイバーリスク
2026年版で初めて選ばれた脅威です。生成AIの普及に伴い、業務での利用が広がる一方で、さまざまな懸念が浮上しています。IPAは次のように整理しています。
生成AIの進化、普及に伴い、様々な問題、懸念が浮上している。例えば、AIに対する不十分な理解による、意図しない問題として他者の権利侵害、情報漏えい、AIが加工・生成した結果を十分に検証せず鵜呑みにすることにより生じる問題、AIの悪用によるサイバー攻撃の容易化、手口の巧妙化などがあげられる。
出典：情報セキュリティ10大脅威 2026 解説書［組織編］｜IPA
攻撃者による悪用だけでなく、利用する側の情報漏えいや生成物の検証不足も論点になります。基本的な備えは、AIを使ってよい範囲や入力してはいけない情報を定めた利用ルールの整備です。自社としてどう構えるかは、ルール面と技術面に分けて、後述の専用セクション「AIの利用をめぐるサイバーリスクにどう構えるか」で詳しく取り上げます。
出典・参考資料（1件）
4位 システムの脆弱性を悪用した攻撃
ソフトウェアや機器に見つかった脆弱性（セキュリティ上の欠陥）を突いて侵入する攻撃です。脆弱性の情報は本来、利用者に対策を促すために公開されますが、同時に攻撃者にも手がかりを与えます。近年は、脆弱性が公表されてから攻撃が始まるまでの期間が短くなっており、対応の速さが問われます。
対策は、脆弱性の情報が公開されたら速やかに修正プログラムを適用することが基本です。あわせて、社外からアクセスできる自社のIT資産を把握する取り組み（ASM、Attack Surface Management）や、定期的な脆弱性診断で弱点を攻撃される前に洗い出しておくことが有効です。
出典・参考資料（1件）
5位 機密情報を狙った標的型攻撃
特定の組織を狙い、時間をかけて機密情報を盗み出すサイバー諜報活動です。取引先や公的機関を装ったメールで従業員をだまし、不正なプログラムに感染させる手口がよく使われます。目的がはっきりしているぶん、攻撃は巧妙で気づきにくく、発覚が遅れれば設計情報や顧客データが長期間にわたって盗まれ続けることになります。
従業員が不審なメールやリンクを見抜けるようにする教育と、万一侵入されても端末上の不審な挙動を検知して対応するエンドポイントの監視（EDR、Endpoint Detection and Response）を組み合わせることが対策になります。
出典・参考資料（1件）
6位 地政学的リスクに起因するサイバー攻撃（情報戦を含む）
国家間の緊張を背景にしたサイバー攻撃です。社会の混乱や機密情報の窃取を狙う攻撃に加え、SNSなどで偽情報を広める影響工作（情報戦）も含まれます。2026年版では、脅威名に「情報戦を含む」という付記が加わりました。
自社だけで完全に防ぐのは難しい脅威ですが、攻撃者や手口の情報を集めて自社の守りに生かす脅威インテリジェンスの活用や、侵入を前提とした監視・検知の体制づくりが備えになります。
出典・参考資料（1件）
7位 内部不正による情報漏えい等
従業員や元従業員、委託先など、正規のアクセス権を持つ関係者による情報の持ち出しや削除です。2026年版では、規則違反や不注意による情報の紛失なども含めて捉えられています。正規の権限で行われるため、外部からの攻撃に比べて発見が難しいのが特徴です。
情報の取り扱いに関する教育やモラルの向上に加え、誰がどのデータにアクセスできるかを必要最小限に絞るアクセス権の管理や、操作の記録（ログ）を残して不審な動きを把握できるようにする仕組みが欠かせません。
出典・参考資料（1件）
内部不正は正規の権限で行われるぶん発見が難しく、対策を設計するうえでは「なぜ起こるのか」を押さえておくと役立ちます。内部不正が起こる原因を人的・組織的の両面から整理した記事を用意しています。
8位 リモートワーク等の環境や仕組みを狙った攻撃
テレワークの普及で業務がオンライン化し、社外からアクセスできる経路が広がったことを狙う攻撃です。VPN機器やリモート接続の仕組みの脆弱性、弱い認証設定などが侵入口になり、ここを突破されると社内システムやクラウド上の業務データにまで入り込まれるおそれがあります。
リモートワーク向けのセキュリティ方針を定めたうえで、多要素認証やシングルサインオン（SSO、一度の認証で複数のサービスを利用できる仕組み）で認証を強化し、端末の状態に応じてアクセスを制限する運用が有効です。接続機器の脆弱性を放置しないことも欠かせません。
出典・参考資料（1件）
9位 DDoS攻撃（分散型サービス妨害攻撃）
乗っ取った多数の機器から大量のアクセスを一斉に送りつけ、Webサイトやサービスを停止・遅延させる攻撃です。乗っ取られた機器の集まりはボットネットと呼ばれ、IoT機器などが悪用されることもあります。
通信を継続的に監視して異常を早期に把握すること、不正なアクセスを遮断するアクセス制御、大量アクセスを自動で検知・緩和する仕組みの導入が対策になります。自社での対応が難しい場合は、DDoS緩和に対応した外部サービスの利用も選択肢です。
出典・参考資料（1件）
10位 ビジネスメール詐欺
ビジネスメール詐欺（BEC、Business Email Compromise）は、経営者や取引先になりすましたメールで従業員をだまし、偽の口座へ送金させる攻撃です。やり取りを盗み見たうえで巧妙に割り込む手口や、生成AIを使って自然な文面を作る手口も増えています。
送金や口座変更の指示を受けたときに、メール以外の手段で事実を確認する手順を徹底することと、従業員への教育が基本です。あわせて、なりすましや不審なメールを検出するメールのフィルタリングを導入すると、だまされる前に気づける可能性が高まります。
出典・参考資料（1件）
一括ダウンロードする
AIの利用をめぐるサイバーリスクにどう構えるか
2026年版で初選出された「AIの利用をめぐるサイバーリスク」は、多くの組織にとって新しい論点です。ここでは、自社としてどう構えるかを、ルール面と技術面に分けて整理します。IPAの解説書も、対策を経営者層と現場（システム管理者・従業員）の立場に分けて示しています。
ルール面：利用規定と入力範囲を定める
経営者層の役割として、IPAはまず利用ルールの整備を挙げています。許可していないAIサービスを業務で使う「シャドーAI」を避けること、AIの利用規定を整え、個人アカウントでの業務利用の制限や規程違反時の対応を明確にすること、外部サービスを使う場合は入力したデータを学習に使わせない設定（オプトアウト）を徹底することなどです。
ルールづくりの参考として、IPAは経済産業省と総務省が公表する「AI事業者ガイドライン」などの参照・準拠を挙げています。自社で一から基準を作らなくても、公的なガイドラインに沿って利用規定を整えられます。
技術面：利用状況の把握と認証の強化
現場の対策としては、IT資産の管理に加え、通信ログやCASB（クラウドサービスの利用を可視化・制御する仕組み）の活用が挙げられます。これにより、どのAIサービスが使われているかを把握し、管理されていない利用を見つけられます。AIの悪用による不正アクセスを防ぐため、多要素認証を徹底することも示されています。
あわせて、従業員への教育も欠かせません。社内の秘密情報を安易に入力しないこと、AIが事実と異なる内容を生成する「ハルシネーション」があると理解しておくこと、AIへの過剰な依存に注意することが求められます。
出典・参考資料（2件）
ここで触れたシャドーAIの可視化や利用状況の把握は、専用のツールで効率化できます。AIの利用を見える化して統制するツールのタイプと選び方を比較したい方は、以下の記事もあわせてご覧ください。
何から始めるか——限られた人手・予算での優先順位の付け方
10個の脅威すべてに一度に対応するのは、人手や予算が限られる組織には現実的ではありません。ここでは、何から手を付けるかを決めるための考え方を整理します。
出発点になるのは、順位の高さではなく「自社で起きたときの影響」です。前述のとおり、10大脅威の順位は危険度の順ではありません。東京都が中小企業向けに示す進め方では、止めたくない業務を一つ選び、それを支える情報と仕組みを書き出したうえで、関係の深い脅威を3つに絞ることを勧めています。
絞り込んだ脅威ごとに、担当者・期限・完了の条件を決めて一つずつ対策を進めると、「知っている」状態から「次に何をするか決まっている」状態へ進めます。不足を確認する際は、IPAの「中小企業の情報セキュリティ対策ガイドライン」や東京都の資料と照らし合わせるとよいでしょう。
ここまでの進め方を4つのステップに整理すると、次のとおりです。
出典・参考資料（2件）
各脅威に効く対策の種類と、それを担うサービス
ここからは、10大脅威に共通して効く対策の種類と、それを担うサービスを紹介します。IPAの解説書は、巻末に「バックアップ運用」「認証を適切に運用する」「添付ファイルやリンクを安易に開かない」などの共通対策を挙げています。これらを具体的な手段に落とし込むと、次のような対策の種類に整理できます。
- ID・認証の強化（SSO・多要素認証・アクセス制限）：認証を突破されても侵入されにくくする。標的型攻撃・リモートワークを狙う攻撃・内部不正に効く
- 社内ネットワークの監視（NDR、Network Detection and Response）：通信を記録・分析し、侵入後の不審な動きや横展開を検知する。ランサム攻撃・標的型攻撃・内部不正の発見に効く
- 端末の防御（EPP・EDR）：PCのウイルス対策などの基本的な防御（EPP）と、不審な挙動の検知・対応（EDR）。ランサム攻撃・標的型攻撃に効く
- メールの防御（フィルタリング）：不審なメールをサーバに届く前にブロックする。ビジネスメール詐欺・ばらまき型のメール攻撃に効く
- 脆弱性診断とバックアップ：弱点を事前に洗い出し、被害に遭っても業務を戻せるようにする。脆弱性を悪用した攻撃・ランサム攻撃の被害低減に効く
一方、サプライチェーンや委託先を狙った攻撃・地政学的リスクに起因する攻撃・DDoS攻撃は、委託先の管理や脅威インテリジェンスの活用、DDoS緩和に対応した外部サービスなど、ここで挙げた種類とは別の手段が中心になります。これらの対策は、前述の各脅威の節で触れたとおりです。
以下は、これらの対策を担うサービスの比較表です。
| サービス名 | CloudGate UNO | Network Blackbox | Eye"247" Safety Zone | Eye"247" Spam Shield | KATABAMI サイバーセキュリティ対策パッケージ |
|---|---|---|---|---|---|
| 対策の種類 | ID・認証の強化 （SSO・多要素認証・アクセス制限） | 社内ネットワークの監視 （NDR・フルパケットキャプチャ） | 端末の防御 （EPP・EDR） | メールの防御 （フィルタリング） | 脆弱性診断とバックアップ （予防・復旧・補償） |
| 主に効く脅威 | 標的型攻撃／リモートワークを狙う攻撃／内部不正 | ランサム攻撃／標的型攻撃／内部不正 | ランサム攻撃／標的型攻撃 | ビジネスメール詐欺／ばらまき型のメール攻撃 | 脆弱性を悪用した攻撃／ランサム攻撃 |
| 提供形態 | クラウド型（IDaaS） | ネットワークにミラーリング接続 （詳細は非公表） | 端末インストール型ソフト | 完全クラウド型（ゲートウェイ） | 統合パッケージ （月次診断＋隔離バックアップ＋保険） |
| 料金 | 月額400円〜/ユーザー（税抜） | 要お問い合わせ | 要お問い合わせ | 要お問い合わせ | 1台1,250円/月〜 |
| 詳細情報 | 公式資料を見る | 公式資料を見る | 公式資料を見る | 公式資料を見る | オンライン相談を予約 |
※料金は各社の公式情報によります（確認時点は本文中の各サービスの記載のとおり）。
まず対策の種類だけを把握したい場合は、上の表で全体像をつかめます。ここからは、各サービスの特徴を順に紹介します。
1. CloudGate UNO（株式会社インターナショナルシステムリサーチ）
CloudGate UNOは、シングルサインオン・多要素認証・アクセス制限をまとめた国産のID基盤（IDaaS）です。パスキー（FIDO2、パスワードに頼らない認証方式）に全プランで対応し、認証の突破を狙う攻撃に対する入口の守りを固められます。標的型攻撃やリモートワークを狙う攻撃への備えとして位置づけられます。
提供元のインターナショナルシステムリサーチは、FIDO2準拠のパスワードレス認証を早くから手がけてきました。パスキーは全プランで無制限に使え、料金はStandard Plusが1ユーザーあたり月額400円（税抜、2026年11月時点）からとなっています。
認証方式ごとに攻撃への強さは異なります。5位の標的型攻撃や8位のリモートワークを狙う攻撃で挙げた多要素認証について、提供元のインターナショナルシステムリサーチの平澤氏は、認証方式による耐性の違いを次のように述べています。
当社が採用しているパスキーのパスワードレス認証は、フィッシング攻撃に対して非常に強い耐性を持ちます。SMS認証やワンタイムパスワードなどの一般的な多要素認証を突破する攻撃手法が顕在化する中、より安全な認証環境を提供します。
2. Network Blackbox（株式会社クワッドマイナージャパン）
ネットワークを流れる全パケット（通信データ）を収集・保存し、脅威を可視化・分析するNDR（Network Detection and Response）の製品です。通信そのものを保存するため、侵入後の横展開や内部の不審な通信を、記録をさかのぼって詳しく調べられます。
全パケットを保存する全数検査を基盤に、収集・検知・ハンティング・フォレンジック・対応の機能を一つの製品に備えます。MITRE ATT&CKに基づく脅威ハンティングに対応し、EDRやSIEMなど他のツールとも連携します。料金は要お問い合わせです。
3. Eye”247″ Safety Zone（株式会社フーバーブレイン）
ウイルス対策（EPP）と、不審な挙動の検知・調査（EDR）を1つにまとめた端末向けのセキュリティソフトです。Bitdefenderと共同開発したエンジンを採用し、アプリケーションの動作を常時監視する振る舞い検知を備えます。
ランサムウェア対策として、ファイルを自動でバックアップし、被害に遭っても直近のバックアップからリストアできる機能を標準で搭載しています。料金は導入台数や契約期間に応じた個別見積もりです。
4. Eye”247″ Spam Shield（株式会社フーバーブレイン）
メールサーバの手前でメールをフィルタリングする、完全クラウド型のメールセキュリティサービスです。標的型攻撃メール・迷惑メール・ウイルスメールが、メールサーバに届く前にブロックされます。ビジネスメール詐欺やばらまき型のメール攻撃に対する入口の守りを担います。
導入はMXレコード（メールの宛先を指定する設定）を変更するだけで、ソフトウェアのインストールは不要です。送信ドメイン認証（SPF・DKIM・DMARC）のチェックによるなりすまし対策も備え、本契約前のトライアルも用意されています。
5. KATABAMI サイバーセキュリティ対策パッケージ（株式会社SYNCHRO）
「予防・復旧・補償」の3つを1つにまとめたパッケージ型のサービスです。予防として、ネットワークの内部から月次で脆弱性を診断し、改善策を提示します。復旧として、隔離した通信経路を通じてデータを自動でバックアップし、被害時の復旧に備えます。
さらに、あいおいニッセイ同和損害保険のサイバー保険を自動で付帯し、被害時の補償まで含めて提供します。料金は1台あたり月額1,250円（2026年9月時点）からで、最短2週間で利用を開始できるとしており、専任の担当者を置きにくい組織でも導入を検討しやすい設計です。
1位のランサム攻撃の対策では、ネットワークから切り離したバックアップが挙げられます。通常のバックアップがなぜ破壊されやすいのかについて、提供元の株式会社SYNCHROの北口氏は次のように説明しています。
現状、ランサムウェア攻撃を受けた企業のうち、約8割近くでバックアップデータも潰されていると、警察からも発表されています。バックアップ経路は通常のネットワーク上にあるため、ランサムウェアを仕掛けてきた攻撃者にもたどり着けてしまうものがほとんどだからです。
ここで紹介したのは、各脅威に効く対策の種類ごとの代表的なサービスです。守る対象別のタイプ分けや選び方を踏まえ、社内セキュリティソリューション全体を比較検討したい方は、以下の記事もあわせてご覧ください。
社内セキュリティソリューション比較｜守る対象別のタイプ・代表サービスと選び方
社内のセキュリティを強化したいものの、端末の保護から不正アクセス対策、情報漏えいの防止まで課題が広く、何から手をつければよいか判断がつかないという声は少なくありません。テレワークやクラウド利用が定着し、社外に持ち出される端末やIDが増えたこ…
（参考）個人向けの情報セキュリティ10大脅威 2026
IPAは、組織向けとは別に、個人向けの10大脅威も公表しています。組織向けが順位付きなのに対し、個人向けは順位を付けず五十音順で示されます。参考として、2026年版の個人向けの脅威を挙げます。
- インターネット上のサービスからの個人情報の窃取
- インターネット上のサービスへの不正ログイン
- インターネットバンキングの不正利用
- クレジットカード情報の不正利用
- サポート詐欺（偽警告）による金銭被害
- スマホ決済の不正利用
- ネット上の誹謗・中傷・デマ
- フィッシングによる個人情報等の詐取
- 不正アプリによるスマートフォン利用者への被害
- メールやSNS等を使った脅迫・詐欺の手口による金銭要求
出典・参考資料（1件）
まとめ
情報セキュリティ10大脅威 2026の組織向けは、「ランサム攻撃による被害」と「サプライチェーンや委託先を狙った攻撃」が引き続き1位・2位を占め、新たに「AIの利用をめぐるサイバーリスク」が3位に入りました。昨年10位だった「不注意による情報漏えい等」は圏外となっています。
順位は危険度の順ではないため、自社にとっての優先度は、順位ではなく自社で起きたときの影響から考えることが大切です。止めたくない業務を起点に関係の深い脅威を絞り込み、担当者と期限を決めて一つずつ対策を進めると、限られた人手や予算でも着実に前に進められます。
各脅威への備えは、社内ネットワークの監視・端末の防御・ID基盤・メールの防御・脆弱性診断とバックアップといった対策の種類に整理できます。自社に足りない対策を見極めるために、各サービスの資料を取り寄せて比較してみてください。
一括ダウンロードする
よくある質問（FAQ）
Q. 情報セキュリティ10大脅威とは何ですか？
情報セキュリティ10大脅威とは、前年に社会的な影響が大きかった脅威をIPA（独立行政法人情報処理推進機構）が選び、毎年公表する年次の脅威一覧です。研究者や実務担当者ら約250名の選考会が審議・投票して選ぶもので、組織向けには1位から10位までの順位が付けられます。2026年版では「ランサム攻撃による被害」が1位、「サプライチェーンや委託先を狙った攻撃」が2位に挙げられています。
Q. 情報セキュリティ10大脅威 2026 はいつ公表されましたか？
情報セキュリティ10大脅威 2026 は、2026年1月29日にIPAが公表しました。前年（2025年）に社会的な影響が大きかった脅威をもとに選考会が選んだもので、組織向けと個人向けがそれぞれ示されています。例年1月下旬に当年版が公表され、翌年版が出るまでの1年間、その年の脅威の目安として参照されます。
Q. 情報セキュリティ10大脅威の組織向けと個人向けは何が違いますか？
情報セキュリティ10大脅威の組織向けと個人向けは、対象と順位の付け方が違います。組織向けは企業・団体が直面する脅威を1位から10位まで順位付きで示し、個人向けは個人が直面する脅威を順位を付けず五十音順で示します。企業の報告資料や方針づくりに使うのは組織向けで、個人向けはフィッシングやクレジットカード情報の不正利用など、生活者が気をつけたい脅威を並べたものです。
Q. 情報セキュリティ10大脅威 2026 は前年から何が変わりましたか？
情報セキュリティ10大脅威 2026 の最も大きな変化は、「AIの利用をめぐるサイバーリスク」が初めて選ばれ、3位に入ったことです。あわせて、昨年10位だった「不注意による情報漏えい等」が圏外となり、独立した脅威としては姿を消しました（不注意による漏えいは、関係者による漏えいを扱う「内部不正による情報漏えい等」とも重なります）。
一方、上位2つの「ランサム攻撃による被害」と「サプライチェーンや委託先を狙った攻撃」は1位・2位を維持しています。
Q. 情報セキュリティ10大脅威の順位は危険度の高い順ですか？
情報セキュリティ10大脅威の順位は、危険度の高い順を示すものではありません。IPAは「順位が危険度を表しているわけではない」とし、選考会の参加者がそれぞれの観点から社会的な影響の大きさを判断した結果だと説明しています。そのため自社にとっての優先度は、順位の高さではなく、その脅威が自社で起きたときの影響の大きさから考える必要があります。
Q. 中小企業は情報セキュリティ10大脅威 2026 に何から取り組めばよいですか？
中小企業は、10個すべてに一度に対応しようとせず、「自社で起きたときの影響」が大きい脅威を数個に絞って取り組むのが現実的です。東京都は、止めたくない業務を一つ選び、それを支える情報と仕組みを書き出したうえで、関係の深い脅威を3つに絞る進め方を示しています。絞り込んだ脅威ごとに担当者・期限・完了の条件を決めて一つずつ進めると、限られた人手や予算でも着実に前へ進められます。
Q. 情報セキュリティ10大脅威への対策には、どんなサービスがありますか？
情報セキュリティ10大脅威への対策を担うサービスは、社内ネットワークの監視（NDR）・端末の防御（EPP／EDR）・ID認証の強化（SSO・多要素認証）・メールの防御（フィルタリング）・脆弱性診断とバックアップといった種類に整理できます。
たとえばランサム攻撃や標的型攻撃には端末の防御やネットワーク監視が、ビジネスメール詐欺にはメールの防御が、脆弱性を悪用した攻撃には脆弱性診断とバックアップが効きます。
自社に足りない対策を見極めたうえで、該当する種類のサービスの資料を取り寄せて比較するのがおすすめです。
社内セキュリティソリューションの料金・資料を一括チェック
MCB FinTechカタログでは、社内セキュリティソリューションの最新資料を無料で一括請求できます。各サービスの対応範囲・機能・サポート体制などを、まとめて比較できます。
一括ダウンロードする
MCB FinTechカタログに掲載しませんか？
MCB FinTechカタログでは、掲載企業様を募集しています。マネックスグループの金融実務ノウハウを活かした独自の評価軸と検索設計により、導入検討者が最適なサービスを効率的に発見できる法人向け比較プラットフォームです。掲載後は管理画面から料金表や導入事例を随時更新でき、常に最新の情報を訴求可能。まずは下記フォームより、お気軽にお問い合わせください。
マネックス証券 フィナンシャル・インテリジェンス部 暗号資産アナリスト
松嶋真倫
監修の範囲は記事の一般的な解説部分であり、比較表および各製品・サービスの紹介内容は監修の対象外です。
