情報処理推進機構（IPA）の福井章人氏は、IPAが2006年から毎年発表している「情報セキュリティ10大脅威」の2026組織編から、特に注意すべき三つの脅威を抜粋し、それぞれの手口や被害事例、具体的な対策について解説した。


　組織編10大脅威の第1位は「ランサムウェア攻撃による被害」。近年はランサムウェアを使用せず、窃取して情報を公開すると脅すノーウェアランサムも増加中だ。手口にはVPN機器などの脆弱性を突く不正アクセス、Webサイトやメールの悪用があり、AIの利用で手口が高度化している。大手飲料食品グループでサーバーが暗号化され生産・出荷業務が停止したケースや、大手通販会社で業務委託先から管理者アカウントが漏えいしサイトが停止した事例を紹介した。福井氏は、直接的な対策や予防策に加え「被害を受けた後の対策を強化して、レジリエンスを高めることが非常に重要」と強調。バックアップの適切な確保や復旧手順の整備、身代金を支払わない姿勢の明確化を訴え、「サイバーセキュリティ経営ガイドライン」や、IPAの「中小企業の情報セキュリティ対策ガイドライン」の活用を推奨した。

　脅威の第2位は「サプライチェーンや委託先を狙う攻撃」。取引先や外部サービスなどのビジネス面と、ソフトウェア開発などの両面が標的になる。事例として、大手損保の委託先サーバーが不正アクセスを受けたケースや、ソフトウェアベンダーの公式サイトで偽インストーラーが配信されたケースを挙げた。福井氏は「自組織内のセキュリティー対策だけでは防ぎ切れないリスクが拡大している」と警鐘を鳴らす。対策としては、委託先などのセキュリティー実施状況を契約書などで合意し、定期的に把握することが求められる。また、2026年度末に開始予定の「SCS評価制度（サプライチェーン強化に向けたセキュリティ対策評価制度）」の活用を薦めた。

　脅威の第3位には、今年初めて選出された「AIの利用をめぐるサイバーリスク」を挙げた。この脅威は、未許可AIへの機密情報入力などの「不十分な理解や不適切な利用から生じるリスク」と、巧妙なフィッシングメール作成やディープフェイクなどの「悪用によるリスク」に大別される。事例として、香港の企業がディープフェイクによる偽のビデオ会議で幹部になりすまされ、多額の資金を送金させられた事案を紹介した。対策には、AI利用ポリシー策定や教育などの人的対策と、機密情報の入力を防ぐ技術的対策の両輪が不可欠になる。ここでは、IPAの「AI利用者のためのセキュリティ豆知識」の活用を呼びかけた。

　最後に福井氏は、「数多くの脅威がある一方で、攻撃の手口自体は似ている部分も多い。その点から、情報セキュリティー対策の基本は年月が経っても変わらない」と総括し、基本対策の徹底と最新状況の継続的な把握を両立していく重要性を訴えた。