IPA「情報セキュリティ10大脅威 2026」組織編の要点と、メール訓練への生かし方

この記事は2026年1月29日に公表された資料（解説書［組織編］は2026年3月12日公開）をもとにしています。

何が公表されたか

IPA（情報処理推進機構）は、2026年1月29日に「情報セキュリティ10大脅威 2026」を公表しました。2025年に起きた、社会的に影響が大きかった事故や攻撃をもとにIPAが候補を選び、研究者や企業の実務担当者など約250名の「10大脅威選考会」の審議・投票で決めたものです。

「組織」向けには順位が付いています（「個人」向けは五十音順で、順位はありません）。2026年3月12日には、脅威ごとの手口と対策をまとめた「解説書［組織編］」も公開されました。組織編の順位は次のとおりです。

順位	脅威
1位	ランサム攻撃による被害
2位	サプライチェーンや委託先を狙った攻撃
3位	AIの利用をめぐるサイバーリスク
4位	システムの脆弱性を悪用した攻撃
5位	機密情報を狙った標的型攻撃
6位	地政学的リスクに起因するサイバー攻撃（情報戦を含む）
7位	内部不正による情報漏えい等
8位	リモートワーク等の環境や仕組みを狙った攻撃
9位	DDoS攻撃（分散型サービス妨害攻撃）
10位	ビジネスメール詐欺

出典：IPA「情報セキュリティ10大脅威 2026」（組織編の順位をもとに作成）

3位の「AIの利用をめぐるサイバーリスク」は、2026年が初めての選出です。

要点

標的型攻撃は5位、11年連続で選出

「機密情報を狙った標的型攻撃」は5位で、2016年から11年連続11回目の選出です。解説書は、入口の一つとしてメールを使う攻撃を挙げ、本文・件名・添付ファイル名が業務や取引に関係する内容に偽装され、実在する組織の差出人名が使われることもあると説明しています。従業員の対策としては、添付ファイルやリンク・URLを安易に開かないことが挙げられています。

ビジネスメール詐欺は10位、なりすましの型が広がる

「ビジネスメール詐欺」（BEC）は10位で、2018年から9年連続9回目です。解説書は、取引先へのなりすまし、経営者へのなりすまし、弁護士など社外の権威ある第三者へのなりすましの3つの手口を挙げています。「緊急」「他の従業員には秘密」と添えるケースや、社長や役員を装ってLINEグループの作成を依頼する簡潔なメールが2025年12月以降に相次いでいることも紹介されています。

ランサム攻撃は1位。ただし入口はメール以外が中心

「ランサム攻撃による被害」は11年連続11回目で、1位です。解説書は、添付ファイルや本文のリンクから感染させる手口も挙げています。一方で、8位の解説に載っている警察庁の統計では、ランサムウェアの感染経路はVPN機器とリモートデスクトップが大半で、2025年は両方の合計で87.0%でした。「メール・添付ファイル」は2025年に2.2%です。

報告しやすい環境づくりが対策に入っている

BECの対策には、金銭の支払いを複数人で審査・承認する流れをつくること、振込先の変更依頼は普段と別の連絡手段で確かめること、普段と違う言い回しや判断を急がせるメールに注意することが並んでいます。被害を受けた後の対応には、適切な報告・連絡・相談が挙げられています。

メール訓練にどう生かすか

訓練の目的

順位を見ると、メールだけに備えればよいわけではないことがわかります。ランサム攻撃の入口は機器や認証情報が中心なので、メール訓練で防げる範囲を言いすぎないことが大切です。メール訓練の目的は、標的型攻撃やなりすましのメールに対して「開かない」「確かめる」「報告する」を身につけることに置くと、社内に説明しやすくなります。

文面への反映

• 業務や取引に関係する件名（見積・請求・納期の連絡など）で、実在しそうな差出人名を使う型
• 社長や役員を名乗り、「至急」「内密に」と添えて、SNSのグループ作成や返信を求める型
• 取引先を名乗り、支払い先の変更を知らせる型

文面の作り方は「訓練メールの文例・件名の作り方」で解説しています。

教育への反映

BECの型は、開封やクリックではなく「言われたとおりに振り込む」ことで被害が出ます。訓練後の教育では、経理や財務の担当者に、別の連絡手段で確かめる手順と、複数人で承認するルールを伝えましょう。報告が上がりやすい仕組みは「不審メールの報告が上がらない組織の対策」で解説しています。訓練サービスの違いは比較表で確認できます。

まとめ

• 2026年1月29日公表の組織編では、ランサム攻撃が1位、標的型攻撃が5位、ビジネスメール詐欺が10位です
• 標的型攻撃は業務や取引を装うメールが入口の一つで、BECは経営者や取引先などへのなりすましが手口です
• ランサムウェアの感染経路はVPN機器とリモートデスクトップが中心で、メール訓練だけで防げるものではありません
• 訓練では「開かない」「別の手段で確かめる」「報告する」を目的にし、なりすましの型を文面に取り入れましょう