IPA（情報処理推進機構）は毎年、前の年に社会的な影響が大きかったセキュリティ上の脅威を「情報セキュリティ10大脅威」として公表しています。2026年版は2026年1月29日に公開されました。
この記事では「組織」向けの10項目を、中小企業の立場から読むとどうなるかをまとめます。
組織向けの10大脅威 2026
- ランサム攻撃による被害（11年連続）
- サプライチェーンや委託先を狙った攻撃（8年連続）
- AIの利用をめぐるサイバーリスク（初選出）
- システムの脆弱性を悪用した攻撃
- 機密情報を狙った標的型攻撃
- 地政学的リスクに起因するサイバー攻撃（情報戦を含む）
- 内部不正による情報漏えい等
- リモートワーク等の環境や仕組みを狙った攻撃
- DDoS攻撃（分散型サービス妨害攻撃）
- ビジネスメール詐欺
1位：ランサム攻撃は11年連続のトップ
データを暗号化して使えなくし、金銭を要求する攻撃です。警察庁によると、2026年上半期の国内の被害は123件で、半期として過去最多でした。侵入口として多いのは、VPN機器やリモートデスクトップです。
中小企業がまず手を付けるべきは、外から社内につながる機器の更新と、ネットワークから切り離したバックアップです。具体的な確認点は「ランサムウェア被害が過去最多に。中小企業がまず確認したい5つのこと」にまとめています。
2位：取引先や委託先を経由した攻撃
守りの固い大企業を直接狙うのではなく、取引先や委託先の中小企業を足がかりにする攻撃です。中小企業にとっては「自社が入口にされる」リスクであり、取引先からセキュリティ対策の確認を求められる場面が増えている理由でもあります。
この流れを受けて、2027年3月頃には「SCS評価制度」の運用が始まる予定です。詳しくは「SCS評価制度とは？★3と★4の違いと、今から準備しておくこと」をご覧ください。
3位：AIの利用をめぐるリスクが初めて入った
今年の大きな変化です。生成AIは便利な反面、次のようなリスクがあります。
- 社員が顧客情報や社内資料を、外部のAIサービスに貼り付けてしまう
- AIが作った誤った内容を、確認せずに使ってしまう
- 攻撃者がAIを使って、自然な文面の詐欺メールを大量に作る
「AIを禁止する」だけでは、個人のスマートフォンで無断利用されるなど、かえって見えないところでリスクが増えます。使ってよいサービスと、入力してはいけない情報を決めておくことが現実的です。社外にデータを出さない、社内で動くAI環境を作る方法もあります。
4位・8位：脆弱性とリモートワーク環境
ソフトウェアや機器の脆弱性は、公表されるとすぐに攻撃に使われます。在宅勤務のために導入したVPN機器やリモート接続の仕組みが、更新されないまま放置されているケースは珍しくありません。どちらも「入口の管理」という点で、1位のランサム攻撃と同じ対策につながります。
10位：ビジネスメール詐欺
取引先や経営者になりすまして、偽の口座への振込を指示するメールです。AIで自然な日本語の文面が作れるようになり、見抜くのが難しくなっています。振込先の変更は、メールだけで判断せず、電話など別の手段で確認するルールを決めておくと防ぎやすくなります。
中小企業はどこから始めるか
10項目すべてに一度に対応する必要はありません。IPAの「中小企業の情報セキュリティ対策ガイドライン」第4.0版にある「情報セキュリティ6か条」と、25項目の自社診断から始めるのがおすすめです。6か条には今回からバックアップが加わり、1位のランサム攻撃への備えにも直結します。詳しくは「情報セキュリティ「5か条」が「6か条」に」をご覧ください。
当事務所では、現状の確認から対策の優先順位づけ、社内で安全にAIを使う環境づくりまでお手伝いしています。お気軽にご相談ください。