情報セキュリティ 10 大脅威 解説と対策｜ ランサム攻撃と AI リスクの二大潮流にどう備えるか

情報セキュリティ 10大脅威とは 

独立行政法人 情報処理推進機構(IPA)が毎年発表する「情報セキュリティ  10大脅威(組織編)」は、前年に発生した社会的に影響が大きい情報セキュリティインシデントを分析し、ランキング形式で発表するものです。順位がそのまま危険度を表すものではありませんが、国内企業が自社のリスク洗い出しやサイバーセキュリティ施策の注力領域を検討する際に参考となるものです。 

独立行政法人 情報処理推進機構(IPA)「情報セキュリティ 10大脅威」 

10大脅威は一時的な攻撃トレンドだけを示すものではないため、例年と同じ種類の脅威が並んでいたとしても、その裏には異なる“攻撃手口の進化”や“企業側の盲点”が潜んでいることが少なくありません。そのため、脅威の「今」という観点から、以下のような脅威がどう位置づけられるか注目していました。 

• ランサムウェアの高度化とサプライチェーン経由の侵害 

• 生成AI活用に伴う新たなリスク 

• クラウド利用の拡大とID管理の多様化による侵害リスクの深刻化 

2026年の10大脅威は本サイバーセキュリティ・リサーチ・センターの対策トレンドレポートでこれまでに取り上げたAIに関する脅威や、「2026年の注目サイバーセキュリティ技術動向」で触れた対策が上位に取り上げられる結果となりました。 

以下は2026年1月29日に発表された今年の10大脅威（組織編）です。 

 図1：情報セキュリティ10大脅威 2026 [組織]
出典：独立行政法人 情報処理推進機構（IPA）「情報セキュリティ10大脅威 2026」

10大脅威 2026（組織編）の上位の脅威：ランサムウェア攻撃 

ランサムウェア攻撃関連の脅威が上位4つのうち3つを占め、2025年の被害状況を反映した結果となりました。1位、2位、4位はそれぞれが異なる脅威・攻撃手法に関連付くものですが、最終的には、 

①初期侵入 → ②権限昇格・横移動 → ③データ窃取 → ④金銭要求／業務停止 

というランサムウェアの攻撃ライフサイクルに収束します。 

近年のランサム攻撃は暗号化だけでなく、データ窃取やデータ公開を組み合わせる二重・三重の脅迫へと発展しています。このような攻撃が行われる背景には、RaaS（Ransomware as a Service／ランサムウェア・アズ・ア・サービス）と呼ばれるランサムウェア攻撃者側の供給モデルの存在があります。RaaSは犯罪の分業体制であり、攻撃ツールや手順の開発・提供を行う「オペレーター」、外部からの初期侵入を行い攻撃の足がかりを作る「アクセスブローカー」、攻撃ツールを用いて実行犯となる「アフィリエイト」から構成されます。このような分業と攻撃のパッケージ化により、専門知識の浅い実行犯が高度な攻撃を行いやすくなっています。 

4位の「システムの脆弱性を突いた攻撃」はVPN装置などの脆弱性が初期侵入のきっかけとなるものであり、２位の「サプライチェーンや委託先を狙った攻撃」は攻撃者にとって攻撃対象を広げるため、攻撃の機会を増やすため、攻撃が成功した場合の収益の最大化のために狙うモチベーションとなるものです。 

2026年に求められるランサムウェア対策の全体像 

ランサムウェア対策は単一のソリューションだけで対応できるものではありません。ゼロトラストや多層防御といった考え方を理解し、対策することが不可欠です。 

フェーズ1：侵入防止 

攻撃者に侵入の機会を与えないことを第一優先とします。 

• ゼロトラストネットワークアクセスによる常時検証型のアクセス制御 

• サイバーハイジーン、パッチ管理、バージョン管理 

• アタックサーフェス管理、脆弱性診断の実施 

• サプライチェーン(取引先等)のセキュリティ対策状況の可視化・評価 

• VPNやサービスログインの多要素認証の徹底 

フェーズ2：早期検出と封じ込め 

侵入が発生したとしても早期検出と迅速な対応で被害を局所化・最小化します。 

• EDRによるPC／サーバの異常検出 

• ログ分析、セキュリティ運用、監視サービスの利用 

• ネットワークセグメントの細分化による通信可視化と制御 

• 管理者権限の利用を制限する特権IDの管理強化 

フェーズ3：データ保護と復旧 

最悪のシナリオを想定し、データの完全性保持と復旧体制を整備します。 

• イミュータブルバックアップ 

• リストア訓練の定期実施 

初選出の脅威：AI利用の普及とセキュリティ対策 

2026年版で初選出となったのは「AIの利用をめぐるサイバーリスク」です。 

企業のAI利活用は急速に進んでいますが、同時に不十分な理解による情報漏えいや悪意ある利用者による攻撃が問題になっています。現状では、企業ITシステムにおいてAI（生成AI、LLM）という新たな技術レイヤーの追加に対するセキュリティ対策が十分に講じられていないことが顕在化している状況です。 

AI利活用の具体的な対策と実装のポイント 

「AIの利用をめぐるサイバーリスク」に対して企業がすぐに取り組むべき実践的な対策は過去のサイバーセキュリティ・リサーチ・センターの２つの記事で詳しく解説しています。 

AI時代の新たな脅威と守り方｜AIに潜むリスクとガイドライン・対策まとめ 
https://www.ctc-g.co.jp/keys/blog/detail/ai-risk-guidelines 

LLMガードレールとは｜AI時代の新たな脅威と守り方‐続編 
https://www.ctc-g.co.jp/keys/blog/detail/llm-guardrail-security 

上記の記事では、 

• AI関連の被害事例 

• AI利用のガバナンスとして道標となるガイドライン 

• 生成AI時代に必要なセキュリティアーキテクチャ 

• 不適切利用やリスクを未然に防ぐ具体策「LLMガードレール」の必要性と技術解説 

などを網羅的に整理しています。 

「AI利用のためのセキュリティ／Security for AI」はAI利活用を止めるための制限ではなく、リスクを適切に管理しながら、効果を最大化するための具体的な仕組みです。 

今年の情報セキュリティ10大脅威で初選出、さらに上位に位置付けられたことは、AIを安全に使い続けるためのITシステムを整備するうえで、「Security for AI」の考え方と対策を組み込むことが当たり前になった転換点を示すものと言えます。