チップス
どんぐり大学卒、一般企業の情報システム部で働く若手エンジニア。
入社1〜3年目らしい悩みを抱えつつ、日々の運用やセキュリティ対応に奮闘中。慌てんぼうだが素直で吸収力が高く、ボスに鍛えられながら着実に成長している。
ボス
セキュリティ、インフラ、運用の修羅場をくぐってきた歴戦のエンジニア。サイバーセキュリティラボの所長でボスと呼ばれている。
現場視点と経営視点の両方から、本当に使えるセキュリティとキャリア戦略を叩き込む。口は悪いが面倒見はよく、若手育成と実践的な情報発信に力を注いでいる。
「生成AIを業務で使い始めたが、セキュリティ面で何に気をつければいいか分からない」
「IPAの10大脅威でAIリスクが急上昇したと聞いたが、自社への影響が見えない」
チップスボスっ！IPAが2026年の10大脅威を発表したでしゅ。AIリスクがいきなり3位に入ったって本当でしゅか？
ボス本当だ。2026年1月29日にIPAが発表した最新のランキングで、「AIの利用をめぐるサイバーリスク」が初登場で3位に入った。
生成AIが企業の現場に急速に浸透している今、この結果は当然ともいえるな。
毎年注目されるIPAの情報セキュリティ10大脅威に、ついにAIリスクが姿を現しました。
「うちはまだ生成AIを本格導入していないから関係ない」と思っていると、気づかないうちに攻撃の入口を増やしている可能性があります。
本記事を読めば、2026年に日本企業が直面するセキュリティリスクの全体像と、AIリスクへの具体的な対処方針が分かります。
2026年1月29日、IPAが「情報セキュリティ10大脅威 2026」を発表しました。
選考は情報セキュリティ分野の研究者・企業実務担当者など約250名が参加する選考会の投票で決まります。
2026年版の組織向けランキングは以下の通りです。
| 順位 | 脅威 | 前年比 |
|---|---|---|
| 1位 | ランサム攻撃による被害 | 11年連続 |
| 2位 | サプライチェーンや委託先を狙った攻撃 | 8年連続 |
| 3位 | AIの利用をめぐるサイバーリスク | 初登場 |
| 4位 | システムの脆弱性を悪用した攻撃 | 6年連続9回目 |
| 5位 | 機密情報を狙った標的型攻撃 | 11年連続 |
1位のランサムウェアは11年連続、2位のサプライチェーン攻撃は8年連続と、上位2つの顔ぶれは変わっていません。
そこへ初登場のAIリスクが3位に割り込んできた点が、2026年版最大の変化といえます。
ランサムウェアは依然として企業の事業継続を最も脅かす攻撃です。
攻撃者は身代金要求に加えて窃取データの公開を脅し材料にする「二重脅迫」を常態化させています。
サプライチェーン攻撃も深刻で、自社のセキュリティ対策が万全でも、取引先や委託先の脆弱性を踏み台にされるリスクがあります。
主なリスクポイントは次の通りです。
IPAはサプライチェーンリスク管理として、委託先の選定基準にセキュリティ要件を盛り込み、定期的な評価を実施することを推奨しています。
「AIの利用をめぐるサイバーリスク」は、AIそのものへの攻撃と、AIを道具として使う攻撃の2つの側面があります。
チップスAIって便利な道具なのに、まさか攻撃にも使われているんでしゅか？
ボスその通りだ。フィッシングメールの文面生成や攻撃スクリプトの作成、偵察フェーズでの情報収集など、攻撃者がAIを使いこなしている事例はすでに報告されている。
国家支援グループが生成AIを実際の攻撃に活用しているのも確認されているな。
AIシステムへの攻撃手法として特に注意が必要なのが、プロンプトインジェクションです。
攻撃者が悪意ある指示をウェブページやドキュメントに埋め込み、AIがそれを読み込んだ際に本来の動作を乗っ取る手口です。
具体的な被害シナリオは次の通りです。
また、生成AIを使ったフィッシングメールの精度が劇的に上がっています。
従来は日本語の不自然さで見抜けたメールが、今では人が書いたものとほぼ区別できません。
AIへの攻撃だけでなく、従業員がAIを使う際のリスクも見逃せません。
IPAが指摘するAI利用リスクの類型は次の通りです。
ツールを禁止するだけでは解決しません。
どのような情報をAIに入力してはいけないか、ルールを具体的に定めて全員に周知する必要があります。
チップスAIリスクが3位に入ったでしゅ……うちの会社、生成AI使い始めたばかりなのに、いきなり対策が必要でしゅか？
ボスふふふ。焦らなくていい。まず「何をAIに入力してはいけないか」を明文化することだ。
ランサムウェアもサプライチェーンもAIリスクも、根っこは同じで「人とプロセスの穴を突く」攻撃だ。基本を固めれば、新しい脅威にも対応できる。
IPA「情報セキュリティ10大脅威 2026」が示すのは、攻撃のトレンドが着実に進化しているという現実です。
企業が今すぐ取り組むべき対策のポイントは次の通りです。
セキュリティ対策に終わりはありませんが、最初の一歩はリスクの現状を正確に把握することです。
IPAの10大脅威は、その羅針盤として毎年活用すべき情報源といえます。
（参照：IPA「情報セキュリティ10大脅威 2026」）
