IPA「情報セキュリティ10大脅威 2026」を公表、AIリスクが初選出

「情報セキュリティ10大脅威 2026」は、前年に発生した情報セキュリティの事故や攻撃の状況などから、社会的影響が大きかった脅威を選び、「組織」と「個人」の立場で整理したものだ。IPAは、国民の情報セキュリティにおける脅威への関心喚起と対策実施の促進を目的に、この取り組みを公表している。

IPAは2006年から「情報セキュリティ10大脅威」を公表している。

脅威候補はIPAが選定し、情報セキュリティ分野の研究者や企業の実務担当者など約250名で構成する「10大脅威選考会」の投票を経て決定される。

2026年版では、従来から扱われてきた攻撃に加え、今回初めて脅威候補となったAIの利用をめぐるサイバーリスクが、組織向けの3位に位置付けられた。

「情報セキュリティ10大脅威 2026」は2026年1月29日に公開された。

2025年もランサムウェアに感染した企業・組織が多く確認され、取引先を含むサプライチェーン全体に深刻な影響を及ぼした事例があった。こうした状況が、組織向けでランサム攻撃による被害とサプライチェーンや委託先を狙った攻撃が上位となった背景として示されている。

AIを利用する組織では、AIに対する不十分な理解による意図しない情報漏えいや他者の権利侵害、AIが加工・生成した結果を十分に検証せず受け入れることによる問題、AIの悪用によるサイバー攻撃の容易化や手口の巧妙化といったリスクが想定される。

個人向け脅威は、家庭などでパソコンやスマートフォンなどのデジタル機器を利用する人を対象としている。脅威の呼称が同じでも手口は常に巧妙に変化し続けるため、IPAは最新の手口に関する情報を確認し、変化に応じた対策を把握することが重要だとしている。

組織向けの順位は、1位がランサム攻撃による被害、2位がサプライチェーンや委託先を狙った攻撃、3位がAIの利用をめぐるサイバーリスク、4位がシステムの脆弱性を悪用した攻撃、5位が機密情報を狙った標的型攻撃、6位が地政学的リスクに起因するサイバー攻撃（情報戦を含む）、7位が内部不正による情報漏えい等、8位がリモートワーク等の環境や仕組みを狙った攻撃、9位がDDoS攻撃（分散型サービス妨害攻撃）、10位がビジネスメール詐欺である。

組織向けでは、1位のランサム攻撃による被害と2位のサプライチェーンや委託先を狙った攻撃が、2023年以降4年連続で順位に変わりがなかった。ランサム攻撃による被害は11年連続11回目、サプライチェーンや委託先を狙った攻撃は8年連続8回目の取り扱いである。AIの利用をめぐるサイバーリスクは2026年に初めて脅威候補となり、初選出で3位に入った。

個人向けは順位を付けず、五十音順で10項目を列挙する方式である。項目は、インターネット上のサービスからの個人情報の窃取、インターネット上のサービスへの不正ログイン、インターネットバンキングの不正利用、クレジットカード情報の不正利用、サポート詐欺（偽警告）による金銭被害、スマホ決済の不正利用、ネット上の誹謗・中傷・デマ、フィッシングによる個人情報等の詐取、不正アプリによるスマートフォン利用者への被害、メールやSNS等を使った脅迫・詐欺の手口による金銭要求である。

個人向けのインターネットバンキングの不正利用は、2023年以降は圏外となっていたが、2026年に4年ぶり8回目の選出となった。個人向け脅威は順位を示さず、すべての項目に十分な注意と対策が必要とされている。

AIの利用をめぐるサイバーリスクには、AIに対する不十分な理解に起因する意図しない情報漏えいや他者の権利侵害、AIが加工・生成した結果を十分に検証せず鵜呑みにすることによる問題、AIの悪用によるサイバー攻撃の容易化や手口の巧妙化などが含まれる。

組織は、セキュリティ対策情報を継続的に収集し、使用している機器やサービスに適切なセキュリティ対策を講じながら、各脅威が自組織の事業や体制にどのようなリスクをもたらすのかを洗い出す必要がある。さらに、委託先を含むサプライチェーン上のリスクの洗い出しや対策状況の確認も、可能な限り同等に行うことが望まれる。

個人は、IPAのウェブサイトで最新の手口に関する情報を確認し、手口の変化に応じた対策を把握することが重要である。個人向け脅威は順位なしで五十音順に列挙されているが、全ての項目に十分な注意と対策が必要とされている。

2026年版の詳しい解説は、2月下旬以降、IPAのウェブサイトで順次公開される予定である。