IPA が公表した「情報セキュリティ10大脅威 2026」の組織編を、初選出年と連続選出の回数とともに整理。AI の利用をめぐるリスクが初めて選ばれ 3 位に入った一方、ランサム攻撃は 11 年連続で選出。各脅威を、情報処理安全確保支援士試験で扱われる知識と対応づけて読みます。
IPA は毎年、前年に社会的な影響が大きかった情報セキュリティの事案をもとに「情報セキュリティ10大脅威」を公表しています。2026 年版は 2026 年 1 月 29 日に公開されました。組織向けには順位が付き、個人向けは脅威名のみを五十音順で並べる形です。このコラムでは組織編を取り上げ、試験で押さえる知識とどう繋がるかを整理します。
| 順位 | 脅威 | 初選出 | 10大脅威での取り扱い |
|---|---|---|---|
| 1 | ランサム攻撃による被害 | 2016年 | 11年連続11回目 |
| 2 | サプライチェーンや委託先を狙った攻撃 | 2019年 | 8年連続8回目 |
| 3 | AIの利用をめぐるサイバーリスク | 2026年 | 初選出 |
| 4 | システムの脆弱性を悪用した攻撃 | 2016年 | 6年連続9回目 |
| 5 | 機密情報を狙った標的型攻撃 | 2016年 | 11年連続11回目 |
| 6 | 地政学的リスクに起因するサイバー攻撃（情報戦を含む） | 2025年 | 2年連続2回目 |
| 7 | 内部不正による情報漏えい等 | 2016年 | 11年連続11回目 |
| 8 | リモートワーク等の環境や仕組みを狙った攻撃 | 2021年 | 6年連続6回目 |
| 9 | DDoS攻撃（分散型サービス妨害攻撃） | 2016年 | 2年連続7回目 |
| 10 | ビジネスメール詐欺 | 2018年 | 9年連続9回目 |
IPA は、順位にかかわらず、各自の環境に照らして選出された脅威には極力もれなく対策を行うことが求められる、と添えています。順位の上下を覚えることより、どの脅威が自組織に当てはまり、それぞれ何で守るのかを言えることのほうが、実務でも試験でも役に立ちます。
ランサム攻撃、標的型攻撃、内部不正の三つは、2016 年から 11 年連続で選ばれています。手口は年ごとに変わっても、狙われる構造は変わっていない、ということです。ランサム攻撃は外から入られる話、内部不正は正規の権限を持つ人の話で、守り方の系統が違います。前者には入口の手当てと戻せる備えを、後者には権限の最小化と操作の記録を——と、分けて考えます。
2026 年版で初めて選ばれ、いきなり 3 位に入ったのが「AIの利用をめぐるサイバーリスク」です。IPA の解説書は、AI への理解が不十分なまま使うことで生じる問題として、他者の権利侵害、情報漏えい、生成された結果を十分に検証せず鵜呑みにすることを挙げ、あわせて AI の悪用による攻撃の容易化や手口の巧妙化にも触れています。具体例として、職場が把握していない AI サービスへ業務データを入力してしまう「シャドーAI」や、実在しない情報をもっともらしく生成する「ハルシネーション」が取り上げられています。
試験の観点では、新しい技術の名前そのものより、従来の考え方をどう当てはめるかが要になると考えられます。シャドーAI は「把握していない資産・経路からの持ち出し」、ハルシネーションは「出力の検証」の問題として整理できます。管理されていない IT 資産が狙われる構図（令和7年度 春期 午後 問4 の題材）と同じ形です。
DDoS 攻撃は「2年連続7回目」です。一度は圏外になり、また選ばれるようになりました。可用性の脅威は、機密性や完全性の対策とは守り方が違います。回線が埋まる規模は自社の機器では止まらず、上流で受ける必要がある——この構図は、過去問編③（令和6年度 春期 午後 問2 に沿わせた回）で手を動かして確かめられます。