情報処理推進機構（IPA）が発行する「10大脅威2026」で1位、2位を占めたのが「ランサムウエア攻撃」と「サプライチェーンへの攻撃」だ。これは4年連続で、もはや「定位置」になりつつある。

　また、昨今はそれぞれが単独の脅威ではなく、個社の被害がサプライチェーンに及ぶなどして拡大するケースも多い。「つまり、サプライチェーン上では、思いもよらない形で被害者にも、加害の起点にもなり得るのです」とIPAの安田 進氏は警告する。

　2024年度にIPAが行った「中小企業実態調査結果」でも、サイバーインシデント被害を受けた企業の約7割が「取引先に影響があった」と回答している。サプライチェーン全体でのサイバーセキュリティー対策、そしてレジリエンスの向上は喫緊の課題といえるだろう。

　こうした状況を踏まえ、経済産業省と内閣官房国家サイバー統括室は2026年3月に「サプライチェーン強化に向けたセキュリティ評価制度（SCS評価制度）」の制度構築方針を公表した。企業が取るべき適切な対策を提示し、その実装を促すとともに実施状況を確認できるようにする。

　SCS評価制度は経済産業省、国家サイバー統括室からの方針提示を受け、IPAが制度運営を担う。2026年10月下旬めどに具体的な評価ガイドなどを公表し、制度は2026年度末ごろに運用を開始する予定だ。「委託先はこの評価を取得することで、委託元に自社の対策レベルを客観的に示すことができます。委託元、委託先双方の対策決定を容易・適切なものにすることが狙いです」と安田氏は説明する。

　SCS評価制度は、当面2つの評価軸で運用していく。1つは最低限実装すべきセキュリティー対策を定義したもの。認知された脆弱性などを悪用するサイバー攻撃を想定したもので、要求事項は全部で26件ある。登録希望組織が自己評価を行ったのち、「SCSセキュリティ専門家」による確認を経て事務局へ申請することで登録される。

　2つ目は、システム停止や情報漏洩によりサプライチェーンに大きな影響をもたらすサイバー攻撃を想定したものである。被害拡大の防止など、サプライチェーン強靭化策を定義したもので、要求事項は全43件。登録希望組織は自己評価の上、評価機関に評価を依頼する。その評価機関が実地審査および技術検証による第三者評価を行い、適合と評価された組織が事務局へ申請することで登録される。

　「SCSセキュリティ専門家は指定委員会が指定した研修事業者の研修を受けて登録されます。研修事業者は、2026年12月ごろに公表予定です」と安田氏は言う。

　企業に過度な負担をかけないよう、様々な支援サービスも検討している。一例が「サイバーセキュリティお助け隊サービス（新類型）」だ。その実証事業では、制度取得を目指す中小企業のセキュリティー対策状況を診断し、未対応項目の改善に向けて伴走支援するという。

　「『中小企業の情報セキュリティ対策ガイドライン』も改訂しました。最新版では、SCS評価制度を踏まえた取り組むべきセキュリティー対策を盛り込むとともに、情報セキュリティ関連規程（サンプル）についても、制度との整合を踏まえて見直しています」と安田氏は続ける。

　SCS評価制度は企業をふるいにかけるのではなく、日本のサプライチェーン全体のセキュリティー向上を目指すものだ。評価の取得を目的にしなくても、実施すべき対策を明確化する際のチェックリストとして活用できる。「取引先との対話や社内での計画立案、経営層と現場の対話など、セキュリティー要件を共有する際のコミュニケーションツールになることを期待しています」と安田氏は強調する。

　IPAはSCS評価制度のホームページを開設し、メールニュースも発信している。より詳しい内容や最新情報はこちらもチェックしてほしい。

　データを暗号化し、復元と引き換えに金銭を要求するランサムウエア攻撃。情報処理推進機構（IPA）の「情報セキュリティ10大脅威」では6年連続で1位にランキングされている。警察庁のレポート^※でも、2022年以降は被害報告数が毎年200件を超える水準で高止まりしている。「被害を受けた組織の過半数が中小企業です。業種に関係なく、ほぼすべての組織で業務継続に何らかの支障が出ています」と日経クロステックの勝村 幸博は話す。

　また、最近は大手飲料メーカーの物流停止に伴う店頭での欠品や、物流企業の受注・出荷停止などのように、影響が特定企業内にとどまらない事例も発生。人々の暮らしや社会インフラの維持に影響を及ぼすケースも増えている。

　「侵入経路はインターネットとの境界上に設置されるVPN装置の脆弱性悪用が多く、2025年は92件中61件と全体の3分の2を占めていました^※。また、ランサムウエアの手口も変化しているため、対策は容易ではありません。以前は不特定多数を狙うばらまき型が中心でしたが、最近は特定組織を狙う侵入型（標的型）が主流になっています」と勝村は続ける。さらに近年は、フィッシング詐欺やインフォスティーラー（情報窃盗型マルウエア）で盗んだ正規のID・パスワードを用いて侵入する手口も増えている。攻撃者は認証情報を使ってログインするため、既存の対策で検知しにくい点が問題だ。

　「侵入した攻撃者は、PCに標準搭載されたPowerShellなどの正規プログラムを悪用する『LOTL（Living off the Land：環境寄生）型攻撃』を行うことで検知を回避します。Active Directoryサーバーを乗っ取って侵害の拡大を図るほか、EDRを無効化することで監視のすり抜けを試みます」と勝村は言う。加えて、直近ではこれら一連の攻撃をAIエージェントに実行させる手口も出現しているという。

　このように、進化し続ける攻撃に対抗するためにはどうすればいいのか。

　まず、侵入を防ぐ策としては、VPN装置のセキュリティーパッチ適用の迅速化や、ゼロトラスト構成への移行が効果的だ。盗まれたID・パスワードによる侵入を防ぐため、パスキーなどの多要素認証の導入も検討すべきといえる。

　「被害を最小化するためには、『ランサムウエア攻撃は防げない』という認識を持って、迅速に復旧する能力、すなわち『サイバーレジリエンス』を高める視点が必要です」と勝村は強調する。復旧が遅れるほど被害額は増大するため、対応スピードを上げることが肝心だ。

　重要なことの1つがバックアップである。ただ、バックアップをしていても復元できなかったケースは多い。警察庁のレポート^※によれば、2025年は回答99件中、79件がこれに該当していたという。「理由は、攻撃者は侵入後、真っ先にバックアップサーバーを探索してデータを暗号化・消去するからです」と勝村は述べる。

　これを防ぐには、データを3カ所に保存し、2種類のデバイスに分け、1カ所は隔離環境にする「3-2-1ルール」の徹底が効果的だ。さらに、復元に向けた体制を整え、手順を日ごろから訓練しておくことも重要といえるだろう。

　「いずれにせよ、サイバーセキュリティーに『これさえ行えば完璧』という唯一絶対の対策は存在しません。様々な対策を打ち、少しでも攻撃のコストを上げることが企業・組織に求められています」と勝村は力を込める。多面的な対策を実施し、粘り強く取り組むことが、組織全体の耐性を高めるためのカギとなる。

• ※「令和7年におけるサイバー空間をめぐる脅威の情勢等について」、警察庁サイバー警察局

　AIの利用シーンが広がる一方、管理部門の承認なく従業員がAIを勝手に使ってしまう「シャドーAI」のリスクが高まっている。「AIツールが急増・多様化し、管理する側が把握しきる前に使う側の選択肢がどんどん増えています。スマートフォンひとつで、無料で使えることも、シャドーAI対策を難しいものにしています」とAIガバナンス協会の宮原 瑞穂氏は指摘する。

　また、リスクはシャドーAI以外にもある。日常的に使うソフトウエアなどのアップデートによるAI機能の追加や外部パートナーによるAI利用など「いつの間にか」業務に入り込むAIのリスクが、無視できないものになっているのだ。「機密情報をプロンプトに書き込んでしまい、そこから情報漏洩が生じれば被害は深刻なものとなります。特にシャドーAIは、従業員が行った行為ゆえに、企業は直接的に責任を問われることになるでしょう」と宮原氏は警鐘を鳴らす。

　この状況を踏まえ、AIガバナンス協会は2026年1月に、調査レポート「『いつの間にか』AIのリスク実態調査」を公表した。シャドーAIをはじめ、気付かないうちに組織に入り込むAIのリスク管理状況や対策についてまとめたものだ。ここからは、その結果を基にリスクの実態を紹介する。

　まず、組織にAIが気付かないうちに入り込む経路は大きく3つある。1つ目は既存システムへの組み込み・アップデートAIだ。Microsoft 365のCopilot機能やGoogle WorkspaceのAI機能などがこれに当たる。「アップデート情報や利用規約変更の把握が追い付いていない」「特定部門が使っているツールのAI機能追加までは追いきれていない」という声が管理部門からは多かった。

　2つ目が業務委託先（外部パートナー）によるAI利用だ。「契約にAI利用に関する記載がない」「委託先の業務にまで口は出せない」という事情が背景にはある。「これは最もAIリスクへの対策が手薄な経路といえます。ガイドラインやポリシーの順守を義務化したり、自社が契約するAI環境を提供したりするなどの対応が必要です」と宮原氏は言う。

　3つ目は従業員が個人利用するAI（シャドーAI）だ。「個人のPCやスマホは管理できない」「個人のメールアドレスでログインするAIサービスは検知不能」など管理部門からは切実な声が寄せられた。

　さらに調査では、特に組織内のAIツール・サービスの管理において先駆的な取り組みを進める6社に追加インタビューも実施した。「各社とも、完璧な統制は不可能という認識に基づくリスクベースアプローチを実践していたことが共通点でした」と宮原氏は語る。

　ある企業はEU AI法などを参考にして、「高リスク8類型」を明文化していた。該当するAIを開発・市場投入する際は、リスク管理部門への連絡を義務化する。また別の企業は、既存のEUC（エンドユーザーコンピューティング）管理における「重要EUC」区分を転用し、AIリスクの段階的審査を実施していた。「既存のルールをAIに転用するアプローチなので、EUC管理を行っている企業は取り入れやすいと思います」と宮原氏は評価する。

　誰でも高度なAIツールを使える今、過剰な禁止は個人利用AI（シャドーAI）の流入リスクを高める恐れがある。この考え方のもと、従業員のリテラシー向上に取り組む企業もあった。例えば、気軽に視聴できる1～2分の教育動画を従業員向けに配信したり、グループ全体でAI利活用・ガバナンス研修を必須化したりするのがその例だ。

　「『いつの間にか』AIは、誰かが悪意を持って起こす問題ではありません。自社の“死角”がどこにあるかを知ることが、リスク管理の出発点です」と宮原氏は話す。調査結果の全容はAIガバナンス協会のWebサイトで公開されている。自社の課題の洗い出しや対策立案の参考として、ぜひ生かしてもらいたい。

　ランサムウエアをはじめとするサイバー攻撃や、なりすましなどによるサイバー詐欺の被害が拡大している。「これらは事業の存続を左右する重大な経営問題である」と警鐘を鳴らすのが、日経BPで記者や編集長を経験し、現在はKMC代表を務める中村 建助氏である。中村氏は、サイバー攻撃の被害に遭った会社が決算資料や損益計算書の中で「システム障害対応費用」や「情報セキュリティー対策費」といった品目を立てて費用を計上・公表していることに着目。独自に調査を進めてきた。

　「損失計上企業がここ数年で急増しています。2020年に発表された決算で確認できたのが1社だったのが、毎年のように過去最多を更新し、2026年は上半期時点で既に17社となっています。損失金額も、2020年1月から2025年2月までの累計で118億円だったのに対し、この1年だけで2倍の236億円が計上されました。深刻な事態です」（中村氏）

　ランサムウエア攻撃を見ると、1企業社当たりの被害額が桁違いに増大したのも近年の特徴だ。中村氏が前回調査した際には、出版・コンテンツ大手が約24億円の損失額、逸失利益が数十億円というのが被害の最大値だったが、2025年9月にランサムウエアの被害に遭った酒類・飲料大手は約170億円の損失を計上し、逸失利益は数百億円に上ることを明らかにしている。

　「この酒類・飲料大手は、決算発表を約5カ月延期しました。決算発表の遅延は上場企業として避けるべきことで、これも経営に直結した問題です」と中村氏は説明する。

　2025年10月に被害に遭ったオフィス用品通販大手も、システム障害対応費用として51億円を計上し、221億円の最終赤字となっている。一時的とはいえ、法人向け通販などで受発注を停止したのが響いた。

　不正アクセスに端を発するサイバー攻撃に注目が集まるが、「サイバー詐欺」も数十億円規模の被害をもたらす。メールやチャット、ビデオ会議、SNS、電話などを使ったなりすまし詐欺全般を指すもので、CEO（最高経営責任者）詐欺などに代表されるビジネスメール詐欺（BEC）、サポート詐欺などの手口に分かれる。

　「サイバー詐欺は、技術的な対策だけでは防げない犯罪です。2025年のFBI調査では世界で2.5万件、30億ドル（約4600億円）もの被害が確認されており、IPAの「情報セキュリティ10大脅威」でも9年連続ランクインしています」（中村氏）

　サイバー詐欺関連で被害額が多い典型的手口にCEO詐欺がある。発信者番号や声を偽装した社長を名乗る人物からの電話で始まり、極秘のM&A案件などに関する送金が指示され、架空の弁護士も絡んだメールでのやり取りが続く。そして短時間で複数回の送金が促され、詐欺だと気付いたころには多額の資金が流出している。

　石油製品大手が被害に遭ったCEO詐欺では、香港子会社の責任者に本社社長を名乗る人物から電話があり、5日間に分けて計1600万ドルが不正な口座に送金された。詐欺が発覚したのは約3週間後だったという。

　BECでは、取引先を装って、偽の取引先口座に送金させる手口もよく見られる。偽のマルウエア感染警告画面をPCに表示し、電話で遠隔操作ソフトを導入させ、ネットバンキングで不正送金させるサポート詐欺の被害も増えている。

　サイバー攻撃やサイバー詐欺を防ぐには「モノ・仕組み・人の3方向での再発防止策が必要」だと中村氏は説く。モノとは、セキュリティーツールやサービスの導入を指す。侵入やなりすましを前提に、検知・遮断・復旧のための環境を整備することが重要だ。仕組みでは、組織や規程、運用体制の構築や強化を通じて、普段からリスクに備えたガバナンス体制を準備する。人に関しては、経営者や社員のリテラシー向上と意識変革が欠かせない。一人ひとりの意識が変わればモノと仕組みの効果も高まる。

　中村氏は「サイバーセキュリティーは経営に不可欠な備えです」と改めて強く呼びかけた。