IPA「情報セキュリティ10大脅威 2026」から、小さな会社が気をつけたいこと
ひとことで言うと：この記事は特定の脆弱性ニュースではなく、いわば町内で1年間に多かった事件をまとめた「防犯白書」のような、IPA（情報処理推進機構）が毎年発表している「1年間でどんな攻撃が多かったか」のランキングです。今年は「AIの利用をめぐるサイバーリスク」が初めてランクインしました。上位の多くは、これまでHEIMVAILが紹介してきた基本の備え（更新・バックアップ・委託先の確認）と重なります。
何が起きたか
IPA（情報処理推進機構）は、前年に社会的な影響が大きかった事例をもとに、組織が注意すべき脅威を1位から10位までまとめた「情報セキュリティ10大脅威」を毎年発表しています。町内会が「今年多かった事件」をランキング形式でまとめた防犯白書を作るように、IPAは日本全体で起きたセキュリティ事件を集計し、傾向をランキングにしているといえます。「情報セキュリティ10大脅威 2026」[組織編]は、2026年1月29日に公表されました。ランキングは次のとおりです。
- ランサム攻撃による被害
- サプライチェーンや委託先を狙った攻撃
- AIの利用をめぐるサイバーリスク
- システムの脆弱性を悪用した攻撃
- 機密情報を狙った標的型攻撃
- 地政学的リスクに起因するサイバー攻撃（情報戦を含む）
- 内部不正による情報漏えい等
- リモートワーク等の環境や仕組みを狙った攻撃
- DDoS攻撃（分散型サービス妨害攻撃）
- ビジネスメール詐欺
このうち「AIの利用をめぐるサイバーリスク」は、今回新たにランクインした項目です。注意したいのは、これは個別のCVE（脆弱性）を指すものではないという点です。防犯白書のランキングが「今年増えた犯罪の手口」を示すものであるのに対し、CVEは「どの家のどの鍵が壊れていたか」という個別の事件報告にあたります。このニュース欄で紹介している CVE-2024-4577 のような個別の不具合とは別に、1年を通じた傾向をまとめたレポートだと理解してください。
誰に関係するか
「ランサム攻撃」や「標的型攻撃」という言葉だけを見ると、大企業の話のように感じるかもしれません。しかし、ランキング2位の「サプライチェーンや委託先を狙った攻撃」は、取引先・委託先となっている会社（まさに中小企業が多い立場）が、より大きな企業へ侵入するための足がかりとして狙われる、という傾向を指しています。
また、4位の「システムの脆弱性を悪用した攻撃」は、このニュース欄で個別に取り上げている CVE（脆弱性）の話そのものです。会社の規模にかかわらず、更新を止めないことの重要性は変わりません。
何をすべきか
1. ランキング上位の対策を、できることから
ランキング上位の対策の多くは、特別な知識がなくても始められるものです。
- ランサム攻撃対策：定期的なバックアップと、復元できることの確認
- サプライチェーン攻撃対策：委託先・制作会社がどこまで安全対策をしているかの確認
- 脆弱性悪用対策：CMS・プラグイン・PHP などの更新を止めないこと
2. 委託先への確認
サイトの制作・保守を外部に委託している場合は、教材「制作会社に確認すること」のチェックリストが、サプライチェーン対策の第一歩になります。
3. 個別の脆弱性ニュースも並行して確認する
年に一度のランキングだけでなく、自分の使っている技術に関する個別のニュースも大切です。読み方のコツは教材「脆弱性ニュースの読み方」で紹介しています。
よくある質問
「10大脅威」は特定のサイトの不具合を指すものですか？
いいえ。これは特定のCVE（個別の脆弱性）ではなく、IPAが前年に社会的影響の大きかった事例をもとに、脅威の種類を1位から10位までまとめた年次レポートです。個別の脆弱性ニュースとは分けて読む必要があります。
大企業の話で、自社には関係ないのでは？
ランキング2位は「サプライチェーンや委託先を狙った攻撃」です。これは、取引先や委託先となっている中小企業が、大企業へ侵入するための足がかりとして狙われる、という傾向を指しています。規模に関わらず関係する可能性があります。
何をすればいいですか？
ランキング上位の対策（バックアップ、委託先の確認、ソフトウェアの更新）は、これまでにHEIMVAILが紹介してきた基本の備えと重なります。教材やこのニュース欄の記事を、優先順位の参考として活用してください。
参考にした公開情報
この記事は公開情報をもとに、セキュリティ担当がいない方にも分かるよう編集部がまとめたものです。各脅威の詳細な解説は、IPA公式の解説書もご参照ください。個別のサイトの安全を保証するものではありません。