IPA情報セキュリティ10大脅威2026をわかりやすく解説｜組織と個人の対策

大手企業から中小企業、さらには個人のネットバンキングやスマートフォンに至るまで、深刻なサイバー攻撃や情報漏えい事故のニュースが連日のように報じられています。

「最近のセキュリティ事故はどうしてこれほど増えているのか」「会社のシステム担当者や一社員として、あるいは個人として何から手をつければいいのか」と危機感を持っている方も多いのではないでしょうか。

そうした最新の脅威動向と実践すべき対策を体系的に学ぶうえで、最も信頼できる一次情報が、独立行政法人情報処理推進機構（IPA）が毎年公表している「情報セキュリティ10大脅威」です。

2026年版（2026年1月29日公表）では、ランサムウェアやサプライチェーン攻撃が引き続き猛威を振るうなか、組織編の第3位に「AIの利用をめぐるサイバーリスク」が初めて選出されました。また個人編でも、被害額が100億円を超えた「インターネットバンキングの不正利用」が4年ぶりに再選出されるなど、私たちが直面するリスクは大きく変化しています。

この記事では、IPAの公式発表および「情報セキュリティ10大脅威 2026」解説書（組織編・個人編ハンドブック）の一次情報に基づき、2026年の10大脅威の全体像と最新手口をわかりやすく整理します。さらに、組織の一員（一般従業員・システム管理者・経営層）と個人のそれぞれの立場で今すぐ実践すべき具体的な対処法まで詳しく解説します。

この記事で行うこと
前提条件・対象読者
1. まず結論：情報セキュリティ10大脅威 2026 全体一覧と3つの注目変化
2. 【組織編】情報セキュリティ10大脅威 2026 のわかりやすい解説（1位〜10位）
3. 【個人編】情報セキュリティ10大脅威 2026 のわかりやすい解説（3つの被害類型）
4. 【立場別】組織の一員としてどう対処すべきか？（役割別アクションプラン）
5. 【個人として】自分と家族を守るために今すぐやるべき7つの自衛策
6. 組織・個人に共通する「情報セキュリティ対策の基本」と相談窓口一覧
1. 攻撃の糸口と「情報セキュリティ対策の基本」早見表
2. 困ったとき・被害に遭ったときの主な公的相談・報告窓口
よくある質問（FAQ）
まとめ
次に読むおすすめ記事
参考情報

この記事で行うこと

IPA「情報セキュリティ10大脅威 2026」の組織編・個人編の一覧と前年からの変化を把握する
2026年版の3大注目トレンド（AIリスクの初選出、VPN・委託先経由のランサム被害、ネット銀行・QRコード詐欺）を理解する
組織編1位〜10位の攻撃手口、2025年に発生した実際の被害事例、影響を確認する
個人編10項目の脅威を3つの被害類型（金融・ID窃取・心理的詐欺とSNS）に分けて理解する
組織の一員（全従業員・システム管理者・経営者層）として取るべき具体的な対策を役割別に整理する
個人として自分と家族の資産・アカウントを守るための7つの自衛策を確認する
組織と個人に共通する「情報セキュリティ対策の基本」と有事の相談・報告先を手元で確認できるようにする

前提条件・対象読者

出典・基準資料：IPA「情報セキュリティ10大脅威 2026」（2026年1月29日公表）、『情報セキュリティ10大脅威 2026 解説書［組織編］』（2026年4月11日四版）、『情報セキュリティ10大脅威 2026 個人編ハンドブック［一般利用者向け］』
最終確認日：2026年10月25日
対象読者：企業の経営者、情報システム・セキュリティ担当者、日常業務でPCやAIツールを利用するすべてのビジネスパーソン、および個人のスマートフォン・PCの安全対策を見直したい方
本記事はIPAの公開資料を参照し、実務や日常生活で行動に移しやすいよう構成を整理して解説しています。

1. まず結論：情報セキュリティ10大脅威 2026 全体一覧と3つの注目変化

「情報セキュリティ10大脅威 2026」は、前年（2025年）に発生した社会的に影響が大きかったセキュリティ事故や攻撃の状況からIPAが脅威候補を選出し、情報セキュリティ分野の研究者や実務担当者など約250名で構成される「10大脅威選考会」の投票によって決定されたものです。

まずは「組織編（順位形式）」と「個人編（五十音順）」の全体一覧を確認しましょう。

2026年版「組織」向け10大脅威ランキング（前年比較付き）

2026年順位	組織向け脅威	2025年順位	初選出年・選出回数（2016年以降）
1位	ランサム攻撃による被害	1位	2016年（11年連続11回目）
2位	サプライチェーンや委託先を狙った攻撃	2位	2019年（8年連続8回目）
3位	AIの利用をめぐるサイバーリスク	圏外（新規）	2026年（初選出）
4位	システムの脆弱性を悪用した攻撃	3位	2016年（6年連続9回目）
5位	機密情報を狙った標的型攻撃	5位	2016年（11年連続11回目）
6位	地政学的リスクに起因するサイバー攻撃（情報戦を含む）	7位	2025年（2年連続2回目）
7位	内部不正による情報漏えい等	4位	2016年（11年連続11回目）
8位	リモートワーク等の環境や仕組みを狙った攻撃	6位	2021年（6年連続6回目）
9位	DDoS攻撃（分散型サービス妨害攻撃）	8位	2016年（2年連続7回目）
10位	ビジネスメール詐欺	9位	2018年（9年連続9回目）

※出典：IPA『情報セキュリティ10大脅威 2026 解説書［組織編］』を基に作成。なお、前年10位だった「不注意による情報漏えい等」はランキング単体としては圏外となりましたが、2026年版では7位の「内部不正による情報漏えい等」の解説内で、規則に背いた持ち出しや不注意による紛失・漏えいも含めて注意喚起されています。

2026年版「個人」向け10大脅威一覧（五十音順）

個人向けの脅威は「順位が低いと対策しなくてよい」という誤解を防ぐため、順位を付けずに五十音順で発表されています。

No	個人向け脅威（五十音順）	初選出年・選出回数（2016年以降）	主な特徴・傾向
1	インターネット上のサービスからの個人情報の窃取	2016年（7年連続10回目）	登録先サイトへの攻撃による情報漏えいと二次被害
2	インターネット上のサービスへの不正ログイン	2016年（11年連続11回目）	パスワード使い回し等を突いたアカウント乗っ取り
3	インターネットバンキングの不正利用	2016年（4年ぶり8回目）	被害額が年間104億円へ急増、リアルタイム型フィッシングが横行
4	クレジットカード情報の不正利用	2016年（11年連続11回目）	ECサイト改ざんやフィッシングによる不正決済被害
5	サポート詐欺（偽警告）による金銭被害	2020年（7年連続7回目）	偽のウイルス感染画面と警告音で電話をかけさせ遠隔操作・送金
6	スマホ決済の不正利用	2020年（7年連続7回目）	ネット通販の欠品返金を装いコード決済で逆に送金させる詐欺等
7	ネット上の誹謗・中傷・デマ	2016年（11年連続11回目）	SNSでの安易な拡散による加害者化・開示請求リスク
8	フィッシングによる個人情報等の詐取	2019年（8年連続8回目）	偽メール・SMSに加え、悪性QRコード（クイッシング）が拡大
9	不正アプリによるスマートフォン利用者への被害	2016年（11年連続11回目）	偽SMSからの誘導や公式ストア外からの不正アプリ導入リスク
10	メールやSNS等を使った脅迫・詐欺の手口による金銭要求	2019年（8年連続8回目）	ハッキング脅迫メールやSNS型ロマンス・投資詐欺

※出典：IPA『情報セキュリティ10大脅威 2026 個人編ハンドブック』を基に作成。

2026年版を読み解く3つの重要ポイント

今年の発表から読み取れる最大のポイントは次の3点です。

「AIの利用をめぐるサイバーリスク」が組織編3位に初登場：業務での無断AI利用（シャドーAI）による機密漏えいやハルシネーション（虚偽出力）の鵜呑み、さらに攻撃者によるAI悪用やAIシステム特有の脆弱性（間接プロンプトインジェクション等）が現実の脅威として顕在化しました。
「ランサム攻撃」と「サプライチェーン攻撃」が4年連続で1位・2位を独占：直接狙われる大企業だけでなく、セキュリティが手薄になりがちなグループ会社、業務委託先、リモートワーク用のVPN機器が侵入経路として集中的に狙われ、受注・出荷停止など市場全体を巻き込む被害が相次いでいます。
個人編で「インターネットバンキングの不正利用」が4年ぶりに再選出：二要素認証（ワンタイムパスワード）をリアルタイムで中継して突破する巧妙なフィッシングや、看板・チラシのQRコードを悪用する「クイッシング」、返金を装ったスマホ決済送金詐欺など、手口が急速に巧妙化しています。

なお、IPAが強調している通り、組織編のランキング順位は「前年に社会的な影響が大きかった順」であり、そのまま「対策すべき優先順位」を意味するものではありません。またランク外の脅威（システム障害による業務停止など）が消滅したわけでもないため、自組織や個人の利用環境に照らし合わせて優先度を決めることが大切です。

2. 【組織編】情報セキュリティ10大脅威 2026 のわかりやすい解説（1位〜10位）

ここからは、組織編に選出された1位から10位までの脅威について、「どんな手口と影響があるのか」「2025年にどのような実例が起きたのか」を順番に解説します。

1位：ランサム攻撃による被害

PCやサーバー内のデータを暗号化して業務継続を困難にしたうえで、データの復元や窃取した情報の暴露阻止と引き換えに金銭（身代金）を要求する攻撃です。近年は以下の手口を組み合わせた多重脅迫や、暗号化を伴わない手口が増えています。

二重脅迫：データを暗号化するだけでなく、重要情報を窃取して「支払わなければダークウェブのリークサイトで公開する」と脅す手口です。
三重・四重脅迫：さらに「DDoS攻撃やシステム破壊を仕掛ける」と脅す三重脅迫や、被害組織の顧客・取引先・株主などの利害関係者に直接「ランサムウェアに感染して情報が漏れた」と暴露・通知して圧力をかける四重脅迫も確認されています。
ノーウェアランサム：ランサムウェアによるデータの暗号化を行わず、重要情報の窃取と暴露予告だけで金銭を要求する手口です。
RaaS（Ransomware as a Service）：ダークウェブ上でランサムウェアの開発者が攻撃ツールやインフラを貸し出し、実行犯（アフィリエイト）が攻撃を代行する分業ビジネスモデルが横行しています。

2025年に発生した主な事例と傾向

アサヒグループホールディングスの事例（2025年9月）：拠点のネットワーク機器経由でデータセンターに侵入され、一斉にランサムウェア攻撃を受けました。国内グループ各社の受注・出荷業務やお客様相談室が停止し、個人情報等約191万件が流出した可能性が公表されました。電子受発注システム（EOS）による受注再開まで約2ヶ月を要しました。
アスクルの事例（2025年10月）：多要素認証（MFA）を適用していなかった認証情報が窃取されて社内ネットワークへ不正侵入され、ランサムウェア被害により通販業務や物流受託業務が停止しました。約72万件の顧客情報を含む業務情報が流出し、全商品の購入再開（2026年1月）まで約3ヶ月を要しました。

2位：サプライチェーンや委託先を狙った攻撃

商品の企画・調達・製造・物流・販売に関わる取引先や業務委託先、あるいはソフトウェア開発に関わるライブラリやツール（ソフトウェアサプライチェーン）、システム運用保守を担う事業者（MSP：マネージドサービスプロバイダー）など、「ビジネスやソフトウェアの繋がり」の中でセキュリティが比較的脆弱な箇所を足掛かりにする攻撃です。

強固な対策を施している企業であっても、委託先や関連会社が侵害されると秘密情報の漏えいや業務停止に直結し、逆に自組織が踏み台にされた場合は取引停止や損害賠償請求に発展するリスクがあります。

2025年に発生した主な事例と傾向

業務委託先へのランサム攻撃（2025年11月）：ソフトウェア開発会社（東海ソフト開発）がランサムウェア被害に遭い、同社に業務を委託していた大学や企業など複数の委託元組織が保有する個人情報が漏えいし、ダークウェブ上で一部公開される連鎖被害が発生しました。
正規Webサイトの改ざんによる偽インストーラー配信（2025年12月〜2026年1月）：テキストエディタ「EmEditor」の公式サイトにおいてインストーラーのダウンロードリンクが改ざんされ、実行するとマルウェアに感染してパスワード等が窃取される偽インストーラーが配信される事案が発生しました。

3位：AIの利用をめぐるサイバーリスク【2026年初選出】

生成AIの急速な普及と業務活用に伴い、2026年版で初めて選出され、いきなり第3位にランクインした最重要トピックです。IPAの解説書では、AIをめぐるリスクを大きく以下の4つの側面から整理しています。

リスクの分類	具体的な内容と発生メカニズム	主な被害・影響
1. シャドーAIによる情報漏えい	職場で許可されていない個人向けAIサービスや非管理アカウントに、社外秘データや顧客情報をコピー＆ペーストして入力する	AIの学習データに取り込まれたり外部へ流出したりし、組織が把握できないまま機密漏えいが発生する
2. ハルシネーションの鵜呑みと権利侵害	対話型AIが生成した事実無根の情報（ハルシネーション）や他者の著作物に酷似した出力を、検証せずに業務資料や成果物に流用する	誤った意思決定、虚偽記載による社会的信用の失墜、著作権等の他者の権利侵害につながる
3. 攻撃者によるAIの悪用	翻訳能力による自然な日本語フィッシング文面の作成、不正プログラムの自作補助、偵察から侵入までの攻撃プロセスの自律化・高速化	言語の壁が消滅し、インシデントの頻度・数量の増加と攻撃全体の技術水準の底上げが起きる
4. AIシステム固有の脆弱性（間接プロンプトインジェクション等）	メール、Webページ、URL、コード内のファイル等に不可視の不正命令を埋め込み、それを参照したAIに秘密情報の送信や任意コード実行を行わせる	ユーザーの操作なし（ゼロクリック）での社内データ流出や、開発環境の乗っ取りが発生する

2025年に報告された象徴的な事例・最新脅威

シャドーAIの実態：米国の調査では、業務で生成AIにデータをコピー＆ペーストして入力している利用者が77%にのぼり、そのうち82%が組織に管理されていない個人アカウントを使用していたと報告されています。
ハルシネーションによる裁判トラブル（2025年1月）：米国テキサス州の裁判所で、弁護士が生成AIを使って作成した意見書に「実在しない架空の判例」が引用されていたことが発覚し問題となりました。
AIを悪用した攻撃の自律化と動的マルウェア：不正プログラムを自作して携帯電話回線を不正契約した中高生の逮捕事例（2025年2月）のほか、国家支援型アクターがAIツールを悪用して偵察からデータ分析までの攻撃プロセスの80〜90%を自律実行した事例（Anthropic社報告）や、実行中に生成AIへリクエストを送って難読化コードを動的生成するマルウェア（PROMPTFLUX、PROMPTSTEAL）も出現しています。
AI特有の脆弱性「EchoLeak」「HashJack」と開発ツールへの攻撃：2025年6月には、Microsoft 365 Copilotにおいてメール内の不可視プロンプトをRAG（検索拡張生成）経由で読み込ませることで機密データを流出させるゼロクリック脆弱性「EchoLeak」（修正済み）が報道されました。また、AIブラウザのURL末尾に悪意ある命令を隠す「HashJack」、AI連携プロトコルであるMCP（Model Context Protocol）サーバーでの信頼できない外部情報と社内秘密データの混用リスク、AIコードエディタ「Cursor」でのプロジェクト内ファイルを介した間接プロンプトインジェクション脆弱性、さらにAIが誤って提案しがちな架空のパッケージ名に先回りしてマルウェアを登録するソフトウェアサプライチェーン攻撃も報告されています。

4位：システムの脆弱性を悪用した攻撃

OSやWebサーバー、ネットワーク機器（VPN装置等）、CMSなどのソフトウェアに存在する不具合（脆弱性）が修正される前に悪用してシステムへ侵入する攻撃です。

ゼロデイ攻撃：開発ベンダーが脆弱性対策情報や修正パッチを公表する前に、攻撃者がその脆弱性を悪用する攻撃です。
Nデイ攻撃：修正パッチや回避策が公開された後、製品利用者がアップデートを適用するまでのタイムラグ（未対策期間）を狙う攻撃です。現在は脆弱性の公表から概念実証コード（PoC）や攻撃ツールの出回る時間が極端に短くなっており、わずかな放置が致命傷になります。

2025年に発生した主な事例と傾向

ゼロデイ攻撃による情報漏えい（2025年7月公表）：日鉄ソリューションズにおいて、同年3月にネットワーク機器の脆弱性を突いたゼロデイ攻撃による不正アクセスが発生し、経済産業省の過去委託事業関連ファイルを含む情報が漏えいしたおそれが公表されました。
React Server Componentsの緊急脆弱性「React2Shell」（2025年12月）：世界中で広く使われているReact Server Componentsの深刻な脆弱性（CVE-2025-55182、CVSS基本値 10.0）が2025年12月3日に公表され、その翌日にはPoCが公開されました。国内外で悪用攻撃が多数確認され、IPAやJPCERT/CCから緊急の注意喚起が発出されました。

5位：機密情報を狙った標的型攻撃

特定の民間企業、官公庁、研究機関などを標的に、政治的・経済的な目的で機密情報や技術情報の窃取を狙うサイバー諜報活動（サイバーエスピオナージ）です。実在する取引先を装った「スピアフィッシングメール」、標的組織の従業員がよく閲覧する外部サイトを改ざんして待ち伏せする「水飲み場型攻撃」、VPN機器等の脆弱性を突いた不正侵入などが用いられます。

2025年に発生した主な事例と傾向

MirrorFaceによる標的型攻撃（2025年1月・3月）：日本や台湾の行政組織・公共機関・学術機関等を標的とする攻撃グループ「MirrorFace（別名 Earth Kasha）」について警察庁や国家サイバー統括室（NCO）が注意喚起を行いました。OneDriveのリンクを埋め込んだメール等からマルウェア「ANEL」の新型亜種を展開する手口が確認されています。
VPN機器等の「ORB（攻撃の中継拠点）」化（2025年10月）：IPAは2025年10月31日、ネットワーク境界にあるVPN機器やルーターの脆弱性が悪用され、攻撃者に乗っ取られた機器が第三者への攻撃を中継する拠点（ORB：Operational Relay Box）として踏み台利用される「ネットワーク貫通型攻撃」について注意喚起を公表しました。

6位：地政学的リスクに起因するサイバー攻撃（情報戦を含む）

国家間の外交・安全保障上の対立や軍事的緊張、経済制裁などを背景に、国家支援型の犯罪グループやハクティビスト（政治的主張を目的にハッキングを行う集団）が、周辺国の重要インフラや企業に対して仕掛けるサイバー攻撃です。

システムを停止させるDDoS攻撃や、外貨獲得・混乱を目的として一般の犯罪グループを装う偽装ランサム攻撃のほか、SNSのボットやディープフェイク動画・音声を用いて選挙干渉や国際世論の分断を図る「影響工作（情報戦・認知戦）」も活発化しています。2025年12月には親ロシア派ハクティビスト集団「Noname057(16)」等による世界中の企業・政府機関へのDDoS攻撃について米司法省の起訴や英米機関の注意喚起が行われ、日本国内のWebサイトでも経済制裁への報復等を動機としたDDoS攻撃が観測されています。

7位：内部不正による情報漏えい等

従業員、契約社員、派遣社員、または退職者などの内部関係者が、組織の技術情報や顧客情報を不正に持ち出したり、改ざん・削除したりする脅威です。また、情報管理規則に違反した私物端末・自宅への持ち出しや、多忙による置き忘れ・誤送信などの「不注意による情報漏えい」もこの脅威に含まれます。

主な手口と2025年の事例

過剰なアクセス権限や共用アカウントの悪用、および退職後に削除されず放置されたID・アクセス権を使った外部からの不正ログイン。
USBメモリー、個人クラウドストレージ、スマートフォンのカメラ撮影、紙の印刷、さらには証拠を残さないための「口頭での伝達」による持ち出し。
2025年の事例：工作機械メーカーの元社員が在日ロシア通商代表部の元職員から飲食接待を受け、営業秘密を口頭で伝えて対価70万円を受領したとして不正競争防止法違反容疑で書類送検された事案や、通信大手の業務委託先の協力会社元社員が事業所に不正立ち入りし、端末にUSBメモリーを接続して約14万件の顧客情報を持ち出した疑いのある事案（2025年6月公表）が発生しています。

8位：リモートワーク等の環境や仕組みを狙った攻撃

テレワークの定着に伴い、外部から社内ネットワークへ接続するために設置されたVPN機器、リモートデスクトップ（RDP）、および社員が使用する端末（私物端末のBYOD含む）を狙う攻撃です。

ここで特に直視すべきなのが、警察庁の統計資料（サイバー空間をめぐる脅威の情勢等）で示された「ランサムウェアの感染経路」の実測データです。

ランサムウェアの感染経路	2022年	2023年	2024年	2025年
1. VPN機器からの侵入	61.8%	63.5%	55.0%	66.3%
2. リモートデスクトップからの侵入	18.6%	18.3%	31.0%	20.7%
3. メール・添付ファイル	8.8%	5.2%	2.0%	2.2%
4. その他	10.8%	13.0%	12.0%	10.9%
VPN機器＋リモートデスクトップの合計（1＋2）	80.4%	81.8%	86.0%	87.0%

※出典：警察庁統計資料・IPA『情報セキュリティ10大脅威 2026 解説書［組織編］』（p.34）を基に作成。

表の通り、2025年のランサムウェア被害の実に87.0%が「VPN機器（66.3%）」または「リモートデスクトップ（20.7%）」を経由して侵入されています。リモートワーク用機器の脆弱性放置や、単一パスワードのみでの認証がいかに危険かが明確に表れています。

9位：DDoS攻撃（分散型サービス妨害攻撃）

マルウェアに感染して乗っ取られた多数のIoT機器（監視カメラやルーター等）で構成される「ボットネット」などから、標的のWebサイトやサーバーへ一斉に大量の通信を送りつけ、回線帯域やサーバー処理能力を飽和させてサービスを機能停止に追い込む攻撃です。

通信パケットを大量送信する「フラッド攻撃」、送信元IPを偽装してDNSやNTPサーバーからの応答を標的に集中させる「リフレクション攻撃」、ランダムな文字列のサブドメインを付与してDNSサーバーに大量の問い合わせを行い正常な通信と区別させにくくする「ランダムサブドメイン攻撃（DNS水責め攻撃）」、さらにはダークウェブ等で専門知識なしに発注できる「DDoS代行サービス」などが悪用されています。2025年6月〜7月にも、国内の研究機関やレンタルサーバー事業者のWebメールサービス等でDDoS攻撃による接続障害が発生しました。

10位：ビジネスメール詐欺（BEC）

取引先の担当者、自社の経営者（CEO詐欺）、あるいは弁護士などの権威ある第三者になりすまして巧妙な業務メールを送り、攻撃者が用意した偽の銀行口座へ大金を振り込ませる詐欺（BEC：Business E-mail Compromise）です。

2025年〜2026年初頭の最新手口と事例

メールアカウント乗っ取りと盗聴による請求書差し替え：2025年1月、国内バイオベンチャー企業の子会社において、米国の製造委託先担当者の正規メールアカウントが乗っ取られ、事前のメール盗聴を踏まえた絶妙なタイミングで偽の支払い依頼が送られた結果、約1,400万円を騙し取られる被害が公表されました。
生成AIによるディープフェイク音声・動画の悪用：メールだけでなく、生成AIで経営者等の声を模倣した偽電話やビデオ通話を組み合わせて送金を信じ込ませる手口が確認されています。
社長・役員を装う「LINEグループ作成依頼」メールの急増（2025年12月〜2026年1月）：社長や役員の名前で「業務用のLINEグループを新規作成し、他の人は招待せずにQRコードを返信してほしい」といった短いメールを従業員へ送り、閉鎖的なチャット空間に誘導して経理情報や送金を要求する手口が急増しました。2026年1月にはLINEヤフーや警視庁からも緊急の注意喚起が出されています。

3. 【個人編】情報セキュリティ10大脅威 2026 のわかりやすい解説（3つの被害類型）

続いて、個人編に選出された10の脅威（五十音順）を解説します。10項目をそのまま暗記するよりも、私たちの身近でどのように被害が起きるのかを「3つの被害類型」に分類して整理すると、警戒すべきポイントがすっきりと理解できます。

類型A：決済・金融資産を直接狙う3つの脅威

インターネットバンキングの不正利用（4年ぶり8回目）：銀行を装ったフィッシングメール等から偽サイトへ誘導され、ID・パスワードや乱数表・ワンタイムパスワードを盗まれて不正送金される被害です。警察庁の統計によると、令和7年（2025年）の不正送金被害総額は104.0億円（個人56.9億円、法人47.1億円）に達し、高止まりしています。特に近年は、利用者が偽サイトに入力したID・パスワードとワンタイムパスワードを攻撃者が裏側で即座に正規サイトへ中継して突破する「リアルタイム型フィッシング（AiTM攻撃）」が横行しています。
クレジットカード情報の不正利用（11年連続11回目）：フィッシングサイトや偽通販サイトでのカード番号入力のほか、正規のECサイト自体が不正アクセス・改ざん（ペイメントアプリケーションの改ざん等）されて決済時に入力したカード情報が抜き取られるケースもあります。
スマホ決済の不正利用（7年連続7回目）：盗まれたカード情報が他人のスマホ決済に登録される被害に加え、近年多発しているのが「ネット通販の返金を装った送金詐欺」です。偽通販サイトで商品を注文した消費者に「欠品のため決済アプリで返金します」と連絡し、返金手続きと称して送金用QRコードを読み取らせたり、「返金用の注文コード」と偽って数字（実は送金金額）を入力させたりして、逆に消費者側からお金を送金させてしまう手口です（2025年2月に消費者庁が注意喚起）。

類型B：ID・個人情報を狙う4つの脅威

フィッシングによる個人情報等の詐取（8年連続8回目）：実在する金融機関、カード会社、宅配業者、通信キャリア、公的機関（確定申告時期の国税庁・e-Tax等）を騙るメールやSMS（スミッシング）から偽サイトへ誘導する手口です。2026年版で特に注意喚起されているのが、看板やチラシ、郵送物に不正なQRコードを重ね貼りして偽サイトへ誘導する「クイッシング（QRコード詐欺）」です（2025年10月には鉄道車内の大学広告に虚偽のQRコードが貼られる事案が発生）。QRコードは目視でリンク先URLを確認できないため警戒が必要です。
インターネット上のサービスへの不正ログイン（11年連続11回目）：フィッシングや情報窃取マルウェア、他サイトからの漏えいリストを用いて、ECサイト、SNS、オンラインゲーム等に不正ログインされる被害です。同じパスワードを使い回していると、1つのサイトが破られただけで連鎖的にすべてのアカウントが乗っ取られます。
インターネット上のサービスからの個人情報の窃取（7年連続10回目）：自分が登録しているショッピングサイトや転職支援サイト等の運営企業側がサイバー攻撃を受け、登録していた個人情報やカード情報が窃取・売買される脅威です。
不正アプリによるスマートフォン利用者への被害（11年連続11回目）：宅配不在通知や通信キャリアを装ったSMSのリンク等から不正なアプリをインストールさせ、スマホ内の連絡先やSMS（認証コード）を盗み取ったり、被害者のスマホから勝手に詐欺SMSをばらまかせたりする手口です。なお、2025年12月に全面施行された「スマホソフトウェア競争促進法（スマホ新法）」により公式アプリストア以外の多様な経路でアプリ提供が可能になりましたが、IPAは「公式マーケット以外から入手するアプリはセキュリティリスクも含め慎重に確認する必要がある」と注意を促しています。

類型C：心理の隙を突く詐欺・SNSトラブルの3つの脅威

サポート詐欺（偽警告）による金銭被害（7年連続7回目）：Webサイト閲覧中（広告クリックや検索結果、ブラウザ通知の許可などがきっかけ）に、突然大音量の警告音とともに実在企業のロゴを使った「ウイルスに感染しました」という偽画面が表示され、画面を閉じられなくなる手口です。慌てて画面内の電話番号に電話すると、遠隔操作ソフトを入れられ、修理代としてコンビニでプリペイドカード（電子マネー）を買わせるか、ネットバンキングの振込金額を遠隔操作で書き換えて大金を送金させられます。
メールやSNS等を使った脅迫・詐欺の手口による金銭要求（8年連続8回目）：「あなたのPCをハッキングしてカメラで恥ずかしい動画を撮影した。ばらまかれたくなければ暗号資産を支払え」と脅すセクストーション（性的脅迫）メールや、SNS・マッチングアプリで親密な関係を築いたうえで架空の投資話を持ちかける「SNS型投資詐欺・ロマンス詐欺」などが該当します。
ネット上の誹謗・中傷・デマ（11年連続11回目）：SNS等で誹謗中傷やデマを投稿される被害だけでなく、自分自身が「ストレスの捌け口」「承認欲求」「災害時などの善意・親切心」から真偽不明の情報を拡散（リポスト等）してしまい、デマ拡散や名誉毀損の加害者として発信者情報開示請求・損害賠償請求を受けるリスクも含まれます。

4. 【立場別】組織の一員としてどう対処すべきか？（役割別アクションプラン）

10大脅威の全体像がわかったところで、「では、組織の一員として具体的に何をすればよいのか」を整理しましょう。

セキュリティ対策は情報システム部門だけで完結するものではありません。IPAの解説書に基づき、「一般従業員・職員」「システム管理者・情シス担当者」「経営者層」の3つの立場に分けて、実践すべき対策をチェックリスト形式でまとめました。

4-1. すべての従業員・職員が日常業務で徹底すべき5つの行動

自分がシステム管理者でなくても、攻撃者は常に一般社員のメールや端末を「最初の突破口」として狙っています。日常業務では以下の5原則を徹底してください。

添付ファイルの安易な開封やメール・SMS・チャット内URLのクリックをしない：取引先や上司からのメールであっても、不審な添付ファイルやリンクは開かないでください。WordやExcelを開いた際に「マクロを有効にする」「コンテンツの有効化」と表示されても安易に有効化せず、疑問があればメール返信ではなく別ルート（電話や社内チャット等）で送信元へ確認します。
未許可のAIサービスに業務データを入力しない（シャドーAIの禁止）：会社で許可されていない個人向けAIサービスや個人のアカウントに、社内の非公開情報、顧客リスト、ソースコード、会議録などをコピー＆ペーストして入力することは情報漏えいに直結します。また、AIの出力結果にはハルシネーション（もっともらしい嘘）が含まれる前提で、必ず人間が一次情報と照合してファクトチェックを行ってください。
リモートワークの規則と家庭内ネットワークの安全を守る：許可されていない私物端末（BYOD）や無料Wi-Fiの無断利用を避け、会社が定めるルールを遵守します。自宅のWi-Fiルーターの初期パスワード変更やファームウェア更新も忘れずに行いましょう。
送金・口座変更・LINEグループ作成依頼は必ず別ルートでダブルチェックする：「緊急」「極秘」と書かれた社長からのメールや、取引先からの「振込先口座変更のお知らせ」を受け取っても、メールや着信電話番号だけで判断してはいけません。必ず事前に登録された電話番号や対面など複数の手段で事実確認を行い、複数人の承認フローを通します。
異変やミスに気づいたら「隠さず・即座に」報告・相談（エスカレーション）する：「怪しいリンクをクリックしてしまった」「誤送信したかもしれない」という時に、怒られるのを恐れて黙っていることが被害を最大化する原因になります。些細な違和感でも直ちに上司やシステム管理者、社内のCSIRT（インシデント対応チーム）へ報告してください。

4-2. システム管理者・情シス担当者が整備すべき技術・運用対策

システム管理者は、「境界防御（入口対策）」だけでなく「侵入されることを前提とした多層防御・早期検知・迅速な復旧」を設計する必要があります。

対策領域	システム管理者が実施すべき具体的なアクション	対応する主な脅威
1. VPN・境界機器と脆弱性の管理	VPN機器・ルーター・公開サーバーのパッチを迅速に適用する。直ちに再起動・適用できない場合はネットワークレベルで攻撃通信を遮断する「仮想パッチ」で暫定対処し、サポート切れ（EOL）機器は廃止する。また`ASM`（Attack Surface Management）で外部公開資産と設定ミスを洗い出す	1位ランサム、4位脆弱性、5位標的型、8位リモートワーク
2. 認証の強化とアカウント棚卸	VPN、リモートデスクトップ（`RDP`は`NLA`有効化）、クラウド、メールに多要素認証（`MFA`）やフィッシング耐性の高い`FIDO/FIDO2`（パスキー）を導入する。最小権限の原則を徹底し、共用IDを廃止、退職者・異動者のIDは直ちに削除して定期棚卸を行う	1位ランサム、7位内部不正、8位リモートワーク、10位 BEC
3. 改ざんされないバックアップ設計（3-2-1-1-0ルール）	データを3つ保持し、2種類の媒体に、1つは別拠点（オフライン・ネットワーク隔離）へ保管する「3-2-1ルール」に加え、1つのイミュータブル（不変・`WORM`機能）コピーを持ち、定期的なリストア訓練でエラー0を確認する「3-2-1-1-0ルール」を実践する。感染時に破損データで上書きしない停止手順も定める	1位ランサム、6位地政学的リスク
4. ネットワーク分割とセキュリティ製品（EDR/CASB等）	部署や用途ごとにネットワークを分割して感染時の被害を局所化する。`EDR`/`NDR`による不審な振る舞いの検知、`DNSフィルタリング`、`WAF`/`IDS`/`IPS`、`CDN`（DDoS緩和）、クラウド設定監査（`CSPM`/`SSPM`）、情報持ち出し防止（`DLP`）、シャドーAI把握（`CASB`・通信ログ監視）を組み合わせる	全脅威共通（特に1位、3位 AI、7位内部不正、9位 DDoS）
5. 委託先管理・SBOM・メール認証	委託先の対策状況を定期監査や`SRS`（セキュリティ評価サービス）で把握し、納品ソフト等の管理には`SBOM`（ソフトウェア部品構成表）を活用する。自社メールには送信ドメイン認証（`SPF`・`DKIM`・`DMARC`）や電子署名（`S/MIME`）を導入する	2位サプライチェーン、4位脆弱性、10位 BEC

なお、AIエージェントやMCPサーバー、コーディング支援ツールを社内で導入する際のサンドボックス隔離や権限設計については、AIエージェントの安全対策入門｜サンドボックス・承認・権限設計の基本でも詳しく解説しています。

4-3. 経営者層が意思決定すべきガバナンスと体制構築

サイバーセキュリティは「現場任せのIT課題」ではなく「経営課題」です。経営者層には以下の意思決定と環境づくりが求められます。

インシデント対応体制（CISO・CSIRT）と予算の確保：最高情報セキュリティ責任者（CISO）や専門チーム（CSIRT、難しい場合も統括責任者と優先対応担当者）を配置し、外部の緊急対応専門会社や相談窓口を事前に手配したうえで、継続的なセキュリティ投資予算を確保します。
身代金要求には「原則支払わない」姿勢の確立：ランサム攻撃で身代金を支払ってもデータが復元される保証はなく、「支払い応諾企業」として攻撃者間でリスト化され再標的化されます。また、復旧業者が裏取引で身代金を支払った場合でも被害組織が犯罪組織へ資金提供したとみなされるリスクがあり、日本のサイバー保険でも身代金は補償対象外です（英国での公的機関支払い禁止や豪州での報告義務化など国際的にも規制が強化されています）。
シャドーAIを防ぐための公式AI環境の整備とガバナンス：ただ闇雲にAIを禁止すると従業員は隠れて個人アカウントを使う（シャドーAI化する）ため、法人向けプランの契約や入力データが学習されないオプトアウト設定を徹底した安全なAI環境を用意し、「AI事業者ガイドライン」に準拠した利用規程を整備します。
心理的安全性の高い報告文化と法定報告の履行：ミスやインシデントを報告した従業員に対して一律で過剰な懲罰を科すと、隠蔽を生んで被害が致命的に拡大します。「躊躇なく即座に報告できる環境」を作るとともに、個人データの漏えい等が発生した場合は個人情報保護法第26条に基づき、個人情報保護委員会へ速報（発覚後おおむね3〜5日以内）および確報（30日以内、不正アクセス等は60日以内）を適切に行います。

5. 【個人として】自分と家族を守るために今すぐやるべき7つの自衛策

個人の生活においても、ネット銀行や証券口座、スマホ決済、SNSは切り離せません。個人編の10大脅威から自分と家族を守るため、優先度の高い7つの自衛策を実践しましょう。

対策1：パスワードの使い回しを卒業し、パスキー（FIDO2）と多要素認証を設定する

もっとも被害が多い「不正ログイン」や「ネットバンキング・証券口座の不正利用」を防ぐ要となるのが認証の強化です。

パスワードは長く複雑にし、サービスごとに固有のものを設定する：生年月日や名前、キーボードの並び（123456、qwerty、1qaz2wsx）、単純な英単語（password）は避け、国家サイバー統括室（NCO）やIPAが推奨する通り、できるだけ桁数を長く設定します。覚えきれない場合はブラウザやOS標準のパスワード管理機能、または信頼できるパスワードマネージャーを活用してください。
パスキー（FIDO/FIDO2）や生体認証を最優先で有効化する：生体認証（指紋・顔）や端末のPINコードを使ってログインする「パスキー（FIDO2 / WebAuthn）」は、正規のドメイン以外では動作しない仕組みのため、近年横行している「リアルタイム型フィッシング」に対しても高い防御効果を発揮します。なお、Web標準のパスキーと銀行公式アプリ等に端末・生体認証を紐付ける独自認証では仕組みや機種変更時の引き継ぎ手順が異なるほか、パスキー登録後も従来のID・パスワードによる通常ログインや別チャネル（アプリ・取引ツール等）の経路が残るサービスでは、別途パスワードログインの制限設定や復旧経路の確認が必要です。
使っていないサービスのアカウントは退会・削除する：放置された休眠アカウントからの個人情報漏えいを防ぐため、不要なアカウントは削除し、登録時も必須項目以外の個人情報は極力入力しないようにします。

主要な銀行・証券会社・Google・Apple等のパスキー対応状況や設定の優先順位については、パスキー対応サービス一覧｜証券・銀行の認証方式と設定優先度を解説で具体的にまとめています。

対策2：メール・SMSのリンクや不審なQRコード（クイッシング）からはログインしない

フィッシングメールやSMSは、確定申告、不在通知、カード利用確認、口座凍結警告など、実社会の動きに合わせて本物そっくりに送られてきます。「文面を見て真偽を見分けようとする」のは危険です。

よく使う銀行、証券会社、ECサイトは事前にブラウザの「ブックマーク（お気に入り）」に登録するか「公式アプリ」をインストールし、必ずそこからアクセスする習慣をつけます。
検索エンジンで検索してアクセスする場合も、検索結果の最上部に表示される「スポンサー広告」の中に偽サイトが紛れ込むケースがあるため、ドメイン名をよく確認してください。
看板、チラシ、郵送物、SNS上のQRコード（クイッシング）や、ネット通販で「欠品のため決済アプリで返金する」と誘導する連絡には安易に応じず、支払先や送金画面になっていないか慎重に確認します。

対策3：OS・ブラウザ・アプリを常に最新に保ち、アプリは公式ストアから入手する

スマートフォンやPCのOS、Webブラウザ、セキュリティソフトは常に最新の状態へアップデートし、脆弱性を解消します。
スマホアプリは公式マーケット（AndroidはGoogle Play、iPhoneはApp Store）から入手し、SMSのリンク等から直接アプリ（野良アプリ・構成プロファイル等）をインストールしないでください。また、インストール時や更新時に、アプリの本来の機能に不要なアクセス権限（連絡先やSMSの読み取り等）を求めていないか確認し、使わないアプリはアンインストールします。

対策4：クレジットカードの3Dセキュア・利用制限とログインアラートで早期検知する

万が一情報が漏えいしても金銭被害を最小限に抑えるため、「予防」と「早期検知」の両面を設定します。

クレジットカードの本人認証サービス（3Dセキュア）を有効にし、ECサイトには極力カード情報を保存しない、または利用限度額を必要な範囲に抑えます。使っていないカードは解約し、ICチップに切り込みを入れて物理的に破棄します。
銀行、カード、スマホ決済、各種Webサービスの「ログイン通知（アラート）機能」や「利用明細通知」をオンにし、身に覚えのない引き落としやログイン履歴がないか定期的に明細を確認します。

もし登録先サービスから個人情報流出の通知が届いた場合の初動対応や漏えい確認手順については、個人情報が流出したら？確認方法と今すぐやるべき対策｜パスワード・パスキー・カードを参照してください。また、PCのブラウザから認証情報を盗むマルウェアへの対策は、Chromeのパスワードが盗まれる？情報窃取マルウェア対策と設定および Chromeプロファイル分離とCookie削除で証券口座を守るセキュリティ設定で詳しく解説しています。

対策5：偽のウイルス警告（サポート詐欺）が出ても電話をかけない

ブラウザ閲覧中に突然警告音が鳴り「ウイルスに感染しました」「サポート窓口へ電話してください」と画面が閉じなくなっても、慌てないでください。

正規のセキュリティソフトやOSの警告画面に「サポート窓口の電話番号」が表示されることはありません。
画面の電話番号には一切電話をかけず、Escキーの長押しやAlt + F4、またはタスクマネージャー（Ctrl + Shift + Esc）からブラウザを強制終了します。プリペイドカードの購入や遠隔操作ソフトのインストールを求められても決して応じないでください。

対策6：脅迫メールやSNSの甘い投資話・ロマンス詐欺は「無視・検索・相談」する

「PCをハッキングしてカメラで撮影した」という脅迫メールは、漏えいした過去のメールアドレス等に対して無差別に送られている定型文の詐欺です。無視して削除し、記載された連絡先には一切反応しないでください。また、受信したメールの文面キーワードをそのままWeb検索すると、同様の詐欺手口であるかすぐに確認できます。
SNSやマッチングアプリで知り合った一度も直接会ったことのない相手から、暗号資産やFXなどの投資話を持ちかけられたり送金を求められたりした場合は詐欺を疑い、送金前に必ず家族や警察（#9110）、消費者ホットライン（188）へ相談してください。

対策7：SNSの発信・拡散は一呼吸置き、家族（子ども・親）とも手口を共有する

SNS上の情報はデマやAIによる偽画像・偽動画である可能性を常に考慮し、「大勢の前で実名を名乗って言えないことはネットでも書かない・拡散しない」という心構えを持ちます。もし自分が誹謗中傷の被害に遭った場合は、スクリーンショットやURL等の証拠を記録・保存したうえで、プロバイダーや相談窓口、警察へ相談します。
情報リテラシーの向上が必要な人（初めてスマホを持つ子どもや、操作に不慣れな高齢の親など）は、自分自身では危険に気づけません。サポート詐欺の画面の閉じ方や「返金を装ったPay送金詐欺」などの最新手口を、日頃から家族の会話で共有しておくことが最大の防御になります。

6. 組織・個人に共通する「情報セキュリティ対策の基本」と相談窓口一覧

最後に、IPAが組織・個人の双方に対して「どれほど新しい脅威が出現しても、攻撃の糸口は似通っており、長年にわたり共通して有効である」と位置づけている「情報セキュリティ対策の基本（6項目）」と、クラウド時代の「基本＋α（4項目）」、および有事の公的相談窓口を一覧表にまとめます。

攻撃の糸口と「情報セキュリティ対策の基本」早見表

攻撃の糸口（6分類）	情報セキュリティ対策の基本	対策の目的	個人	組織
1. ソフトウェアの脆弱性	ソフトウェアの更新（OS・アプリ・ファームウェア）	脆弱性を解消し、悪用攻撃による侵入リスクを低減する	○	○
2. マルウェアの利用	セキュリティソフト・EDR等の利用と定義更新	マルウェアや不審な通信を検知してブロックする	○	○
3. パスワード窃取	パスワードの適切な管理・多要素認証（MFA）・パスキー	認証情報窃取による不正ログイン・情報漏えいを防ぐ	○	○
4. 設定不備	設定の見直し（初期パスワード変更・アクセス権・ポート）	初期設定や誤設定が悪用されて攻撃を受けないようにする	○	○
5. データの暗号化	バックアップの取得とオフライン・別拠点保管	ランサムウェアによるデータ暗号化や機器故障・消去に備える	○	○
6. ソーシャルエンジニアリング	脅威・手口を知る（不審な添付・URLを開かない、リテラシー向上）	人間の心理的な隙や不注意を突く罠を見抜き、被害を防ぐ	○	○
＋α クラウド利用の拡大	選定前の事前調査、インシデント時の責任範囲の明確化、停止時の代替案準備、仕様変更時の設定見直し	クラウドの仕様変更による意図せぬ公開設定ミスや障害時の業務停止を防ぐ	△	○

※出典：IPA『情報セキュリティ10大脅威 2026 解説書［組織編］』（表1.2、表1.3、表1.4）および『個人編ハンドブック』（p.30）を基に作成。

困ったとき・被害に遭ったときの主な公的相談・報告窓口

万が一被害に遭った場合や判断に迷う場合は、一人で抱え込まず、以下の公的窓口を積極的に活用してください。

対象	窓口・機関名	主な相談・報告内容と連絡先
個人・組織共通	警察相談専用電話	サイバー犯罪・詐欺・脅迫等の相談：局番なしの `#9110`（最寄りの警察本部相談窓口）
個人向け	消費者ホットライン	架空請求、サポート詐欺、ネット通販返金詐欺等の消費生活相談：局番なしの `188`（いやや！）
個人向け	違法・有害情報相談センター / 人権相談	ネット上の誹謗中傷、プライバシー侵害、削除依頼の方法に関する相談（総務省・法務省関連窓口）
個人・組織共通	IPA 情報セキュリティ安心相談窓口	ウイルス、不正アクセス、セキュリティ対策に関する技術的な相談（IPA公式サイト参照）
組織向け	個人情報保護委員会	個人データの漏えい等が発生し個人の権利利益を害するおそれがある場合の法定報告（速報3〜5日以内、確報30日または60日以内）
組織向け	JPCERT/CC・IPA 届出窓口	コンピュータウイルス・不正アクセスの届出、インシデント対応支援依頼

よくある質問（FAQ）

Q1. 情報セキュリティ10大脅威 2026で一番の注目点は何ですか？

組織編において「AIの利用をめぐるサイバーリスク」が初選出で第3位に入ったこと、および個人編において「インターネットバンキングの不正利用」が4年ぶりに再選出されたことです。生成AIの業務利用拡大に伴う情報漏えい（シャドーAI）やAI固有の脆弱性（間接プロンプトインジェクション等）への対策、そしてリアルタイム型フィッシングを防ぐパスキー（FIDO2）の導入が急務となっています。

Q2. 組織編のランキングは1位から順番に対策すればよいですか？

いいえ、ランキングの順位は前年に社会的な影響が大きかった順であり、各組織が対策すべき優先順位とは必ずしも一致しません。たとえば、自社で利用しているVPN機器やWebサーバー（React等）に緊急の脆弱性が公表された場合は、4位の「システムの脆弱性を悪用した攻撃」へのパッチ適用が最優先となります。自組織のシステム環境や業務形態に照らし合わせて優先度を判断してください。

Q3. 社内研修や勉強会でIPAの資料をそのまま使っても大丈夫ですか？

IPAの「情報セキュリティ10大脅威 2026」の解説書、ハンドブック、およびプレゼンスライドは、組織内の研修やセキュリティ教育で活用できるように公式サイトで無償公開されています。なお、資料の引用やAIチャットボット等での要約利用を行う場合は、解説書巻末（p.63）に記載されている出典明記ルールに従って利用してください。

まとめ

本記事では、IPAが公表した「情報セキュリティ10大脅威 2026」の一次情報をもとに、組織編・個人編の10大脅威の要点と、それぞれの立場で実践すべき具体的な対策を解説しました。

組織編では「ランサム攻撃（1位）」「サプライチェーン攻撃（2位）」が4年連続でトップ2を占め、第3位に「AIの利用をめぐるサイバーリスク」が初選出された
ランサムウェア被害の感染経路はVPN機器とリモートデスクトップで87.0%を占めており、境界機器の脆弱性放置とMFA未適用が最大の弱点となっている
個人編では被害額が104億円に達した「インターネットバンキングの不正利用」が4年ぶりに復活し、リアルタイム型フィッシングや悪性QRコード（クイッシング）、返金を装ったスマホ決済送金詐欺が拡大している
組織の一員としては「怪しい添付・URLを開かない」「シャドーAIを使わない」「送金・口座変更の別ルート確認」「躊躇しない即座の報連相」を徹底し、システム管理者はMFA/パスキーや3-2-1-1-0バックアップ、脆弱性管理を進める
個人としてはパスワードの使い回しをやめてパスキー（FIDO2）と3Dセキュアを有効化し、必ずブックマークや公式アプリからアクセスする習慣をつける

サイバー攻撃の手口はAIの悪用なども含めて年々巧妙化していますが、攻撃者が突いてくる「糸口（脆弱性、パスワード窃取、設定不備、心理的な隙）」の本質は変わりません。ぜひ本記事のチェックリストを参考に、職場のセキュリティ体制とご自身のスマートフォン・PCの設定を今日から見直してみてください。