情報セキュリティ10大脅威 2026 を、業務システムを持つ会社の目線で読む：ランサムウェア被害の統計と、発注・保守で決めておくこと

「10大脅威が発表されたけれど、うちは何をすればいいのか」。業務システムの開発や保守の相談で、こう聞かれることがあります。

IPA（情報処理推進機構）の「情報セキュリティ10大脅威 2026」は、2025年に起きた事故や攻撃をもとに、研究者や企業の実務担当者など約250人の選考会が投票で決めたものです。10の脅威が並ぶと、どれも大事に見えて、自社のどこから手を付けるかが分かりにくくなります。

そこで、この記事では、10の脅威を「業務システムを作ってもらう会社、動かしている会社」の目線で読み直しました。あわせて、警察庁が毎年まとめているランサムウェア被害の統計を読み、被害に遭った会社で何が起きていたかを数字で確かめています。

結論を先に書くと、次の3つです。

• 10の脅威のうち、業務システムに直接関わるのは半分ほど。 ランサム攻撃、委託先を狙った攻撃、システムの脆弱性、内部不正、DDoS 攻撃は、システムの作り方と保守の決め方で被害の大きさが変わる。
• ランサムウェアの入口は、ほとんどが外から使う仕組み。 被害に遭った会社への警察庁の調査では、感染の経路は VPN 機器とリモートデスクトップで87.0%。入口の機器に、まだ当てていない更新があった会社は56.3%だった。
• バックアップを取っていても、戻せない会社が多い。 バックアップから元に戻せなかった会社は79.8%。理由で最も多いのは、バックアップも暗号化・消去されたことだった。

使った資料

今回読んだのは、次の4つです。

10大脅威 2026 は2025年の出来事をもとにしているので、警察庁の統計も2025年の1年分を中心に使いました。2026年上半期の件数は、最新の動きとして別に書いています。

10大脅威 2026（組織）の一覧

組織向けの10の脅威は、次のとおりです。

出典：IPA「情報セキュリティ10大脅威 2026」（https://www.ipa.go.jp/security/10threats/10threats2026.html）を基に作成

読むときに気をつけたいことが、解説書の最初に書かれています。要点は3つです。

• 順位は、対策の優先順位ではない。 選考会の参加者が「社会への影響が大きかった」と判断した順で、自社にとっての危険の大きさとは別。たとえば、使っている製品に脆弱性の修正が出たら、その日は4位の脅威が最優先になる。
• 10の脅威がすべてではない。 たとえば「予期せぬ IT 基盤の障害に伴う業務停止」は2023年から圏外だが、起きれば影響は大きい。
• 攻撃の入口は似ている。 脆弱性、マルウェア、パスワードの窃取、設定の不備、データの暗号化、人をだます手口の6つに分けられ、それぞれの基本の対策（更新、セキュリティソフト、認証の強化、設定の見直し、バックアップ、手口を知ること）が多くの脅威に効く。

業務システムを持つ会社にとって、どの脅威が関わるか

10の脅威を、業務システムとの関わりで分けてみました。この分け方は IPA のものではなく、システムを作る側から見た私たちの整理です。

こう分けると、システムの作り方と保守の決め方で被害の大きさが変わる脅威が、1位、2位、4位、7位、それに公開しているサービスの9位と、AI を組み込む場合の3位だと分かります。以下では、このうち数字で確かめられるものを中心に見ていきます。

ランサムウェアの被害件数：2025年は226件、2026年上半期は過去最多

警察庁に報告されたランサムウェアの被害は、2025年の1年で226件でした。2026年上半期（1〜6月）は123件で、半期の件数としては、統計を取り始めた2020年下半期以降で最も多くなっています。

被害に遭った会社・団体を規模で分けると、2025年は次のとおりです。

出典：警察庁「令和7年におけるサイバー空間をめぐる脅威の情勢等について」統計編の図を基に作成。割合は件数から計算

中小企業が6割を占める傾向は、2026年上半期も同じです。業種では、2025年は製造業が91件で4割を占め、卸売・小売業（34件）、サービス業と情報通信業（各24件）が続きます。

大企業の被害は報道されやすい一方で、件数で見ると中小企業のほうが多い、というのがこの統計から分かることです。警察庁と政府広報も「中小企業で被害多数」という題で注意を呼びかけています。

被害に遭った会社で、何が起きていたか

警察庁は、被害に遭った会社・団体にアンケートをしています。質問ごとに答えた数（n）が違うので、それぞれの数字に n を添えます。また、ここからの数字は中小企業だけでなく、被害に遭ったすべての会社・団体の回答です。

入口は、外から使う仕組み

感染の経路を答えた92件のうち、VPN 機器が61件（66.3%）、リモートデスクトップが19件（20.7%）でした。不審なメールや添付ファイルは2件だけです。

10大脅威の解説書は、この2つを合わせた割合の推移を載せています。2022年80.4%、2023年81.8%、2024年86.0%、2025年87.0%と、年々高くなっています。

「怪しいメールを開かない」は今も大事ですが、会社としての被害の入口は、社外から社内のシステムにつなぐための仕組みに集まっています。業務システムを外から使えるようにしているなら、その入口をどう守っているかは、まず確かめたい所です。

入口の機器に、まだ当てていない更新があった

侵入の経路とされる機器について、更新（セキュリティパッチ）の状況を答えた71件のうち、まだ当てていない更新があったのは40件（56.3%）でした。2022年から毎年、半分前後で推移しています。

更新が出ていることは分かっていても、だれが当てるのか、業務を止めて当てられるのか、が決まっていないと、後回しになります。

バックアップから戻せなかった

バックアップから元に戻せたかを答えた99件のうち、戻せなかったのは79件（79.8%）でした。戻せなかった理由（72件）は、次のとおりです。

出典：警察庁「令和7年におけるサイバー空間をめぐる脅威の情勢等について」統計編の図を基に作成。割合は件数から計算

攻撃者は、暗号化の前にネットワークの中を探し回り、バックアップも一緒に暗号化することが多い、と警察庁は説明しています。同じネットワークにつながったままのバックアップは、守りになりません。「取っている」と「戻せる」は別のことです。

費用と期間

調査と復旧にかかった費用の総額を答えた89件のうち、1,000万円以上だったのは46件（51.7%）で、うち5件は1億円以上でした。

復旧にかかった期間を答えた107件では、1週間未満が29件、1週間〜1か月未満が31件で、1か月未満で戻れたのは合わせて56.1%です。答えた時点でまだ復旧中だった会社も25件ありました。

それでも、サイバー攻撃を想定した業務継続計画（BCP）を作っていた会社は、約18%にとどまります。

2026年上半期の報告でも、傾向は変わっていません。警察庁によると、復旧に1,000万円以上かかった会社は全体の6割、1か月未満で復旧できた会社は5割弱で、被害が長引く傾向が続いています。侵入の経路は、VPN 機器が約5割でした。

1位の対策として IPA が挙げていること

解説書は、ランサム攻撃への備えとして、システムを管理する側に次のようなことを勧めています。数字で見た弱い所と、そのまま対応しています。

• 不要なポートは閉じ、外に開くサービスを必要なものだけに絞る
• 多要素認証や、パスキーなどの FIDO の認証を使う
• バックアップの取得の日時と頻度を決め、書き換えられない仕組み（WORM など）でバックアップ自体を守る
• 暗号化された場合を想定して、システムをきれいな状態から作り直す手順（クリーンビルド）を決めておく
• 戻す練習を定期的にする
• 例外として認めた設定を定期的に見直し、例外の範囲を小さくする

あわせて、身代金は原則として払わずに復旧することも書かれています。払ってもデータが戻る保証はなく、払った会社として別の攻撃者から狙われるおそれがあるためです。また、日本では、ランサムウェアで払った身代金はサイバー保険の対象にならない、とも書かれています。

2位「委託先を狙った攻撃」：開発会社も委託先の一つ

2位の脅威は、守りの固い会社を直接狙わず、取引先や委託先などの弱い所から入る攻撃です。業務システムでいえば、開発会社や保守会社も「委託先」に当たります。

解説書が挙げた2025年の事例には、ソフトウェア開発の会社がランサムウェアの被害に遭い、業務を委託していた複数の会社が持つ個人情報が漏えいした件があります（株式会社東海ソフト開発の発表）。委託元の会社も、それぞれ被害を公表しました。

ランサムウェアの事例でも、委託先との関わりが出てきます。2025年10月に被害に遭ったアスクル株式会社は、調査結果の報告（第13報）で、業務委託先に渡していた管理者アカウントの ID とパスワードが漏れて使われたことを確認した、としています。このアカウントには、例外的に多要素認証をかけていませんでした。再発防止策の最初に挙げたのは、自社と委託先のすべてのリモートアクセスに多要素認証を徹底することです。

IPA が委託する側に勧めている対策には、次のようなものがあります。

• 委託先や取引先を、複数の候補から信頼性や品質の基準で選ぶ
• 契約で、セキュリティ上の責任の範囲を決め、賠償の条項も入れる
• 委託先の対策の状況を、定期的に確かめられる契約にする
• 納品物に含まれるソフトウェアを把握し、脆弱性に対応する（部品の一覧である SBOM の導入も検討する）
• 委託先の ID やネットワークのつながりを把握する

開発会社の側から見ても、これは当然確かめてほしいことです。発注する前と公開する前に確かめる項目は、開発会社に確認したいセキュリティの項目にチェックリストでまとめています。

中小企業の側の実態も見ておきます。IPA の中小企業4,191社への調査では、取引先（発注元）からセキュリティ対策を求められたことがある会社は1割強でした。求められた内容は「秘密保持のための措置」が79.6%で最も多く、対策を進めるうえでの課題には「費用の用意・負担の検討」（51.3%）に次いで、「発注元との契約内容の明確化」（47.0%）が挙がっています。頼む側と受ける側が、セキュリティについて何を決めるかを話せていない様子がうかがえます。

同じ調査では、中小企業の基本の対策の状況も分かります。IPA の「5分でできる！情報セキュリティ自社診断」の25項目のうち、「実施している」と「一部実施している」を合わせた割合が最も高かったのは、OS やソフトウェアを最新にすること（73.0%）とウイルス対策ソフト（71.4%）でした。低かったのは、新しい脅威や手口を社内で共有する仕組み（37.9%）、対策をルールにして従業員に示すこと（39.2%）、事故に備えた体制や手順の準備（39.8%）です。

端末の対策は進んでいても、組織として決めておくことが遅れています。委託先との取り決めも、その「組織として決めること」の一つです。

4位「システムの脆弱性」：修正が出てから攻撃までが短くなった

解説書は、脆弱性が見つかってから、それを使った攻撃が起きるまでの時間が短くなっていると指摘しています。

例に挙がっているのは、2025年12月3日に公表された React Server Components の脆弱性です。深刻度は最も高い10.0で、翌日には攻撃を試すためのコードが公開され、国内外で多くの攻撃が確認されました。IPA も早急な対策を呼びかけています。React は、いまの Web の業務システムでよく使われる部品です。

2026年10月にも、PHP の重大な脆弱性で、国内のサービスの停止が相次ぎました。経緯はPHPの重大な脆弱性で何が起きたかにまとめています。

業務システムは、たくさんの部品（ライブラリやフレームワーク）を組み合わせて作られています。作ったときに最新でも、部品の更新を当て続けなければ、数年で「まだ当てていない更新がある」状態になります。前の章の警察庁の数字（56.3%）は、その結果です。

IPA が利用する側に勧めているのは、使っている資産の把握、サポートが続いている版を使うこと、脆弱性の情報を集めて優先順位を付けること、更新の管理です。発注の段階で、だれがそれをするのかを決めておくと、後回しになりにくくなります。

3位「AI の利用」：作る側では、AI が書いたコードにも気をつける

今回初めて選ばれた3位は、主に AI を使う側のリスク（許可なく AI に業務データを入れること、もっともらしい誤りを信じること、攻撃者が AI を使うこと）を扱っています。

システムを作る側から見て押さえておきたいのは、解説書のコラムにある次の2点です。

• AI を組み込んだシステムの弱点。 AI が参照したメールや文書に紛れた不正な指示を、AI が実行してしまう攻撃（間接プロンプトインジェクション）が報告されている。技術で完全に防ぐ方法は知られておらず、AI に読ませるデータの範囲を決めることが大事になる。
• AI が書いたコードの弱点。 AI が実在しない部品の名前を提案し、攻撃者がその名前で不正な部品を登録しておく手口が報告されている。AI が生成したコードには脆弱性が含まれることがある、とも書かれている。

AI で作ったアプリを公開する前の確かめ方は、バイブコーディングのデメリットとセキュリティとSupabase のセキュリティ、AI で開発するときの社内のルールはClaude Code を会社で安全に使うにまとめています。

8位「リモートワーク」：入口の機器は、作った後も守り続けるもの

8位は、リモートワークのために入れた VPN 機器やリモートデスクトップを狙う攻撃です。前の章で見たとおり、ランサムウェアの入口の大半がここに集まっています。

IPA は、システムを管理する側に、外からつなぐ仕組みそのものを安全なもの（VDI やゼロトラスト型の接続など）にすること、導入したときの暫定の設定や例外を見直すこと、サポートが切れた機器や更新できない機器を使わないこと、多要素認証を使うことを勧めています。

業務システムを社外から使えるようにするとき、入口の機器は開発の範囲の外に置かれがちです。だれが機器の更新を見るのかを、システムの保守とあわせて決めておくと、抜けが出にくくなります。

7位「内部不正」と9位「DDoS 攻撃」：システムの機能で決まること

7位の内部不正では、正当な権限の悪用と、退職した人のアカウントがそのまま使えることが、手口として挙がっています。IPA は、権限を必要な分だけ付けること、異動や退職で不要になった ID をすぐ消すこと、操作の記録を残して見ることを勧めています。

これらは、業務システムでは画面や機能として作るものです。「だれが、どのデータを見られるか」「操作の記録をどこまで残すか」「アカウントをだれが止めるか」は、要件を決める段階で決めておかないと、あとから足すのは手間がかかります。

9位の DDoS 攻撃は、外に公開しているサイトやサービスが対象です。警察庁によると、2026年2月にも、政府機関や交通機関、金融機関などを狙った DDoS 攻撃で、Web サイトが見られなくなる障害が相次ぎました。少額で攻撃を請け負う代行サービスがあり、専門の知識がなくても攻撃できる状況です。IPA は、負荷を分散する CDN や、不正な通信を止める WAF の利用に加えて、止まったときの手順書、代わりのサーバー、SNS などでの告知の手段を用意しておくことを勧めています。

業務システムを作る側から見た、この数字の読み方

ここまでの数字を、業務システムの開発と保守をしている立場から読むと、3つのことが言えます。

1つ目は、被害の多くは、平時に決めておけば防げる所から起きていることです。入口の機器の更新、委託先のアカウントの多要素認証、つながっていないバックアップは、どれも新しい技術ではありません。決まっていなかったか、例外のまま残っていたことが、事例からも統計からも見えます。

2つ目は、セキュリティは、作るときより動かしている間の話になることです。公開した日に安全でも、部品の更新を当て続けなければ、半年後には弱い所が出てきます。保守の契約で、更新の確認と適用をどこまで頼むかを決めておくことが大事です。

3つ目は、「戻せるか」は試さないと分からないことです。バックアップを取っている会社でも、8割が戻せていません。実際に戻す練習をしてみて初めて、どこが足りないかが分かります。

自社の現在地を確かめる6つの問い

社内で話すときのきっかけとして、6つの問いにしました。

1. 社外から社内のシステムにつなぐ入口（VPN、リモートデスクトップ、管理画面）を、すべて挙げられるか。
2. その入口に、多要素認証がかかっているか。委託先に渡したアカウントに、例外は残っていないか。
3. システムで使っている部品の更新を、だれが、どの頻度で確かめて当てているか。
4. バックアップは、ふだんのネットワークから切り離された所にもあるか。最後に戻す練習をしたのはいつか。
5. 退職した人や、契約が終わった委託先のアカウントは、すぐ止める手順になっているか。
6. システムが止まったとき、だれに連絡し、お客様にどう知らせるかが決まっているか。

答えに詰まる問いがあれば、そこが優先して手を付ける所です。IPA は、中小企業向けに25の項目で確かめられる「5分でできる！情報セキュリティ自社診断」も公開しています。

調査の数字を、社内の説明に使うときは

10大脅威の資料は、出典（IPA の名前、資料名、URL）を書けば、社内の資料に引用できます。IPA は、できるだけ原文のまま使うこと、変えて使うときは「〜を基に作成」と分かるようにすることを求めています。

社内で説明するときは、順位よりも、警察庁の統計のような「被害に遭った会社で何が起きていたか」の数字のほうが、自社の対策に結びつけやすいと感じています。

資料を読むときの注意

• 10大脅威は、被害の件数ではなく、選考会の投票で決めた順位です。
• 警察庁の件数は、警察に報告された被害の数です。報告されていない被害は含まれません。
• 警察庁のアンケートは、質問ごとに答えた数が71〜107件と少なく、年ごとの増減は大きく出やすい数字です。
• IPA の中小企業の調査は2024年度に行ったもので、ウェブのアンケートです。

おわりに

10大脅威の一覧を見ると、新しい攻撃に目が向きがちです。けれども、統計から見えるのは、外から使う入口、更新の遅れ、戻せないバックアップ、例外のまま残った委託先のアカウントといった、基本の所で起きている被害でした。

業務システムを作ってもらうときは、作る範囲だけでなく、公開した後にだれが何を見るかまで、開発会社と一緒に決めておくことをおすすめします。いま動いているシステムの更新や保守の進め方に不安があれば、システムの保守を引き継いだら、最初にやることもあわせて読んでみてください。