情報セキュリティ10大脅威2026｜組織編の全順位とエンジニアの対策

情報セキュリティ10大脅威2026とは｜IPAが毎年公表する脅威リスト

情報セキュリティ10大脅威は、IPAが前年に発生した社会的影響の大きい事案から脅威候補を選定し、外部有識者による選考会の投票で10項目に絞り込んだ年次リストです。企業のセキュリティ方針や社内教育の土台として参照されることが多く、案件の現場でも「10大脅威に沿って対策を整理する」という進め方を見かけます。

毎年1月下旬に発表され、その後に解説書やハンドブックが追加公開されるという流れになっています。

選考方法と2026年版の公開時期

IPAのプレス発表によると、2026年版は約250名のメンバーで構成する「10大脅威選考会」の投票によって決定されました。発表日は2026年1月29日です。

公開物は段階的に増えています。執筆時点で公式ページから確認できるのは、組織編の解説書（64ページのPDF）、社内研修に使えるプレゼン資料、そして2026年5月21日に公開された個人編ハンドブック（32ページのPDF）です。社内勉強会の資料を一から作る必要はありません。利用条件を確認したうえで、IPAの解説書（組織編）や公開資料を勉強会のたたき台にできるケースが多いです。

組織編は順位つき、個人編は五十音順

ここは読み間違えやすい部分です。公式ページには「『組織』向け脅威については順位を併記し、『個人』向けでは脅威名のみを五十音順で記載」と明記されています。

つまり個人編に1位・2位という序列はありません。個人編を「順位つきランキング」として引用している解説記事も見かけますが、公式の扱いとは異なります。個人向けの脅威は、人によって当てはまるものが違うため、序列をつけずに並べるという考え方です。

本記事が参照している版について

技術系の年次リストは、翌年版が出た時点で内容が変わります。本記事は執筆時点で公式ページに掲載されている2026年版（公開日2026年1月29日／最終更新2026年5月21日）を参照しており、順位・選出回数の表記はすべてIPA公式ページの記載に合わせています。

2027年版が公開された後に読んでいる場合は、必ずIPAの10大脅威ページで最新版を確認してください。本記事も新版の公開に合わせて更新する前提で書いています。

このセクションのよくある疑問

Q. 10大脅威に載っていない脅威は気にしなくていいのですか。

そうではありません。10大脅威は選考会の投票で上位に入ったものを並べたリストで、網羅的なリスク一覧ではないためです。自社・参画先の業種やシステム構成によっては、リスト外の脅威のほうが深刻なこともあります。

Q. 解説書と本体ページ、どちらを読めばいいですか。

順位と全体像だけ掴みたいなら本体ページで十分です。手口と対策を案件で説明する立場なら、解説書のほうが具体的です。

組織編の全10項目と2025年版からの変化

結論から書くと、上位2つは据え置きで、3位に新顔が入った結果として4位以下が1つずつ押し下げられた、という構図です。以下はIPA公式ページおよびプレス発表から確認できる内容を整理したものです。選出回数の表記は公式の書き方をそのまま使っています。

動きが大きかったのは3位と7位

目を引く変化は2つです。

1つはAIリスクの初選出（3位）。もう1つは内部不正による情報漏えい等が4位から7位へ下がったことです。

ただし順位が下がったからといって、その脅威が消えたわけではありません。10大脅威は相対的な投票結果であり、新項目が入れば既存項目は押し下げられます。内部不正の件数が減ったことを示すデータではない、という読み方が安全です。地政学的リスクが7位から6位へ、逆方向の動きを見せている点もあわせて見ておきたいところ。

個人編の10項目（五十音順）

個人編は以下の10項目です。順位はなく、括弧内はIPA公式ページに記載されている選出回数の表記です。

• インターネット上のサービスからの個人情報の窃取（7年連続10回目）

• インターネット上のサービスへの不正ログイン（11年連続11回目）

• インターネットバンキングの不正利用（4年ぶり8回目）

• クレジットカード情報の不正利用（11年連続11回目）

• サポート詐欺（偽警告）による金銭被害（7年連続7回目）

• スマホ決済の不正利用（7年連続7回目）

• ネット上の誹謗・中傷・デマ（11年連続11回目）

• フィッシングによる個人情報等の詐取（8年連続8回目）

• 不正アプリによるスマートフォン利用者への被害（11年連続11回目）

• メールやSNS等を使った脅迫・詐欺の手口による金銭要求（8年連続8回目）

注目すべきは「インターネットバンキングの不正利用」が4年ぶりに復活した点です。個人事業主として事業用口座を運用している人には直接関係します。後述します。

初選出「AIの利用をめぐるサイバーリスク」で何が問われているか

結論として、この項目は「AIを使った攻撃」だけの話ではありません。IPAのプレス発表では、次の3つが挙げられています。

• AIに対する不十分な理解に起因する意図しない情報漏えいや他者の権利侵害

• AIが加工・生成した結果を十分に検証せず鵜呑みにすることで生じる問題

• AIの悪用によるサイバー攻撃の容易化・手口の巧妙化

つまり攻撃者だけでなく、AIを業務で使う側の不注意も脅威として数えられているわけです。この構図は、生成AIを日常的に使っているエンジニアにとって他人事ではありません。

業務委託で生成AIを使うときの線引き

実務で問題になりやすいのは、客先のコードや仕様書を個人契約の生成AIサービスに貼り付ける行為です。参画先がAI利用ポリシーを定めている場合、秘密保持義務違反や社内ポリシー違反に当たる可能性があります。実際の評価は契約条項・参画先のポリシー・利用サービスの規約・入力内容の機密性によって分かれます。

案件開始時に確認しておきたいのは次の3点です。

1. 生成AIの業務利用が許可されているか、禁止されているか

2. 許可されている場合、使ってよいサービス・アカウント（会社提供の法人アカウントか、個人アカウントも可か）

3. 入力してよい情報の範囲（コード断片は可だが顧客データは不可、など）

ポリシーが明文化されていない現場もあります。その場合は「使ってよいか分からない」状態のまま進めず、PMや情シス窓口に一度確認し、やりとりをテキストで残しておくと後から揉めにくくなります。

LLMアプリそのものの実装リスクについては、プロンプトインジェクション対策｜LLMアプリのセキュリティ実装ガイドで個別に整理しています。診断側の仕事に関心があればAIレッドチーミング・LLMセキュリティ診断案件｜単価と必要スキルもあわせてどうぞ。実装観点のチェック項目としては、OWASP Top 10 for LLM Applicationsが参照先になります。

2位「委託先を狙った攻撃」はフリーランス自身が当事者

ここが本記事の中心です。

2位の「サプライチェーンや委託先を狙った攻撃」は、一般的な解説記事では「委託先をどう管理するか」という発注側の課題として書かれます。しかし業務委託で参画するフリーランスエンジニアの立場から読むと、意味がまるで変わります。あなたは管理する側ではなく、リストに名指しされている「委託先」そのものです。

発注元のセキュリティ担当者は、10大脅威の2位を根拠に委託先管理を強化します。その対象には、個人事業主として参画しているあなたも含まれます。

発注元から見た「リスク源」としての自分

この視点に立つと、現場で求められる手続きの意味が変わって見えます。

• 貸与PCの利用を求められる、持ち込みPCに制約がかかる

• 作業場所やネットワークを限定される

• アカウントの棚卸しや、契約終了時の返却・削除を厳密に求められる

• 再委託（自分がさらに誰かに手伝ってもらうこと）を禁止される

面倒な手続きに見えるかもしれませんが、発注元から見れば2位の脅威への対策そのものです。ここを理解して先回りできる人は、現場での信頼を得やすくなります。逆に「個人PCで作業したい」と押し通そうとすると、契約上のリスクとして扱われます。

委託先として求められる具体的な要件への対応は、客先セキュリティ要件対応｜ISMS・Pマーク・持ち込みPCの実務で実務ベースにまとめています。制度側の背景としては、経済産業省のサイバーセキュリティとサプライチェーンに関する取り組みも参考になります。

契約書で確認しておきたい4つの条項

業務委託契約には、セキュリティに関する条項が含まれているのが通常です。参画前に目を通しておきたいのは次の4つ。

特に見落とされやすいのが損害賠償の上限です。上限の定めがない契約では、個人事業主にとって賠償リスクが大きくなりやすいため、必要に応じて弁護士など専門家にも確認したいポイントになります。実際の賠償額は損害の範囲・因果関係・過失の程度によって判断されます。契約条項の読み方そのものは業務委託契約書の確認ポイント｜フリーランスエンジニアが締結前に見る条項とチェックリストで詳しく扱っています。

このセクションのよくある疑問

Q. 契約書のセキュリティ条項が厳しすぎると感じたら、交渉できますか。

再委託の可否や報告期限は、実態に合わせて調整に応じてもらえるケースがあります。一方で、発注元がISMS認証などを維持している場合、監査要件として動かせない条項も含まれます。どちらなのかを聞いてから交渉するほうが建設的です。

Q. 損害賠償保険には入っておくべきですか。

受託する業務の規模と、契約の賠償条項の内容次第です。上限の定めがない契約を複数抱えているなら、検討する価値はあります。

常駐・リモート参画で直撃する脅威（1位・4位・8位）

結論として、参画先の環境に手を入れる立場なら、1位・4位・8位の3つは自分の作業に直結します。順に見ていきます。

1位ランサム攻撃と、8位リモートワーク環境への攻撃はつながっている

ランサム攻撃は11年連続で組織編に入り続けている脅威です。そして8位の「リモートワーク等の環境や仕組みを狙った攻撃」は、VPN機器やリモートデスクトップといった外部接続の入り口を狙うものを含みます。

フルリモートや一部在宅で参画している場合、あなたの自宅環境は参画先ネットワークの端点のひとつになります。ここで実務として効くのは、派手な対策よりも地味な運用です。

• 貸与された接続手段（VPNクライアント、仮想デスクトップ等）以外の経路を自分で作らない（私物のリモート操作ツール、個人クラウド、独自VPN、私物NAS経由の持ち出しなどが該当します）

• 業務用の端末と、プライベートの端末・アカウントを混在させない

• 自宅ルーターのファームウェアを更新する。買い替えから年数が経っていて更新提供が終わっているなら交換を検討する

• 家族共用PCで業務データを開かない

複数案件を並行している人ほど、ブラウザのプロファイルやパスワードマネージャーの使い分けが曖昧になりやすい傾向があります。案件ごとにプロファイルを分けるだけでも、誤送信や誤共有はかなり減ります。

境界型防御からの移行という文脈では、ゼロトラストとは｜境界型との違い・主要技術・案件動向を解説が全体像の整理に使えます。認証基盤側の話は認証基盤・IDaaSエンジニアのフリーランス案件動向｜単価・必要スキル・主要製品にまとめました。

4位の脆弱性悪用は「優先度づけ」が実務の山場

4位「システムの脆弱性を悪用した攻撃」について、開発・運用で参画しているなら、依存ライブラリの脆弱性報告にどう対応するかが日々の判断になります。

すべての報告に即日対応するのは現実的ではありません。深刻度と影響範囲で優先度をつける作業が必要です。その共通言語になるのがCVSSで、考え方はCVSSとは｜脆弱性の深刻度評価と対応優先度の決め方で解説しています。

アプリケーション実装レベルの定番の穴については、SQLインジェクションとは｜仕組み・主要攻撃4種・実装対策と検知方法とXSSとは｜仕組み・3種類の攻撃・実装対策とCSP設計を参照してください。10大脅威は経営・組織レベルの整理なので、実装の具体はこうした個別トピックで補うのが実務的です。

個人編10項目を個人事業主の目線で読み直す

本題は組織編ですが、個人事業主の読者に直結するため個人編も公式表記ベースで扱います。結論を先に書くと、事業用の口座・クレジットカード・GitHubやクラウドの個人アカウントが要注意です。

個人編は「一般の個人向け」として書かれています。ただしフリーランスは事業と生活の境界が薄いため、個人編の脅威がそのまま事業リスクになります。ここは一般向け解説記事があまり踏み込まない部分です。

事業用口座・クレジットカード・スマホ決済

個人編には「インターネットバンキングの不正利用」が4年ぶりに復活しました。報酬の振込先として事業用口座を使っているなら、この項目は生活費と運転資金の両方に関わります。

実務的にやっておきたいことは3つです。

1. 事業用口座とプライベート口座を分け、事業用のほうにはログイン通知と出金通知を必ず設定する

2. 経費決済に使うクレジットカードの利用明細を、月次の記帳タイミングで必ず突き合わせる。確定申告のために毎月記帳しているなら、不正利用の発見が自然に早まります

3. 会社貸与端末や業務専用端末では私的な決済アプリを避け、用途ごとに端末を分ける（BYODが前提の現場では、参画先の規程に合わせる）

2つめは本来の目的が記帳でも、結果として不正利用の早期発見につながる動きです。月1回の記帳習慣がない人ほど、検知が遅れます。

屋号アカウントへの不正ログインとフィッシング

「インターネット上のサービスへの不正ログイン」と「フィッシングによる個人情報等の詐取」は、個人編でそれぞれ11年連続・8年連続で選ばれている項目です。

フリーランスの場合、被害範囲が自分だけに留まらない点が厄介です。GitHubやクラウドの個人アカウントが乗っ取られれば、参画先のコードやインフラに影響します。その瞬間、あなたは2位の「委託先を狙った攻撃」の経路そのものになります。

多要素認証の有効化は最低限として、認証方式の棚卸しをしておきたいところです。SMSベースの認証しか設定していないアカウントがないか、確認してみてください。トークンの扱いについてはJWTとは｜仕組み・セッション認証との違い・実装の注意点でも触れています。

IPAの個人編ハンドブック（PDF）は一般利用者向けに平易に書かれているので、家族と共有する資料としても使えます。

立場別・優先度の決め方

10項目すべてに同じ熱量で取り組む必要はありません。参画の形態によって、効くものが変わります。以下はIPAの脅威分類を前提に、フリーランスの参画形態へ落とし込んだ実務上の優先度整理です。

ケース1：金融・公共系に客先常駐している

優先すべきは5位（標的型攻撃）、6位（地政学的リスク）、7位（内部不正）です。

このレンジの現場では、持ち込み機器の制限や入退室管理が厳格で、手続き面はすでに整っているケースが多いもの。むしろ自分が「内部不正の監視対象に含まれている」という前提を理解して、ログが残る形で作業する姿勢が求められます。公共系案件の要件については官公庁・公共系のフリーランスエンジニア案件｜単価相場・契約形態・セキュリティ要件を徹底解説を、身分確認の制度面はセキュリティクリアランス制度とエンジニア案件｜対象・適性評価7項目・IT案件への影響を参照してください。

ケース2：フルリモートで複数案件を並行している

優先すべきは8位（リモートワーク環境）、2位（委託先）、3位（AIリスク）。

混線が最大のリスクです。A社の情報をB社のチャットに貼る、全案件で同じ生成AIアカウントを使う、といった事故は環境の分離で防げます。案件ごとに端末プロファイル・ブラウザ・パスワード保管を分けるところから始めるのが現実的でしょう。

ケース3：個人で受託開発を請けている

優先すべきは1位（ランサム）、4位（脆弱性）、10位（ビジネスメール詐欺）です。

納品物の管理責任が自分にあるため、開発環境のバックアップが生命線になります。そして請求のやりとりがメール中心なら、10位のビジネスメール詐欺の射程に入ります。振込先口座の変更依頼がメールで届いたら、別の手段で確認する。この一手間だけで防げる類型です。

小規模事業者向けの基本対策は、IPAの中小企業の情報セキュリティにまとまっています。

フリーランス向け実践チェックリスト

10大脅威2026を、個人事業主が今日から点検できる項目に置き換えたものです。このページ独自の整理なので、参画前チェックとしてそのまま使ってください。

参画初日までに埋まっているのが理想ですが、全部を一度にやる必要はありません。契約の4項目だけ先に潰しておくと、後から効いてきます。

セキュリティの理解は案件選びにも効く

セキュリティ要件の厳しい現場ほど、要件を理解して自走できる人を求めます。契約条項とセキュリティ運用を自分の言葉で説明できることは、商談での説得材料になります。

キャリアとして踏み込むなら、セキュリティエンジニアとは？年収・将来性・キャリアパス・スキルまで徹底解説やセキュリティ資格おすすめ｜支援士・CISSP・CEHの難易度と案件影響が入口になります。現在の自分がどのくらいの条件を狙えるか把握しておきたい方は、無料のフリーランスエンジニア単価診断で市場単価の目安を確認できます。

まとめ

情報セキュリティ10大脅威2026で、フリーランスエンジニアが真っ先に読むべきは2位「サプライチェーンや委託先を狙った攻撃」です。あなたは管理する側ではなく、管理される委託先そのものだからです。

• 執筆時点の最新版は2026年版（IPA公開日2026年1月29日、最終更新2026年5月21日）。組織編は順位つき、個人編は五十音順

• 組織編1位はランサム攻撃（11年連続11回目）、2位はサプライチェーンや委託先を狙った攻撃（8年連続8回目）

• 3位に「AIの利用をめぐるサイバーリスク」が初選出。攻撃への悪用だけでなく、使う側の理解不足による漏えいも含む

• 個人編では「インターネットバンキングの不正利用」が4年ぶりに復活。事業用口座の通知設定を見直す契機になる

• 参画前にやるべきは契約4条項の確認、端末と回線の分離、生成AI利用範囲の合意の3点

• 順位は毎年動く。翌年版が公開されたら必ず公式ページで差分を確認する（本記事も2027年版の公開後に差分を確認のうえ更新する予定です）

次の一歩としては、本記事のチェックリストのうち契約欄の4項目を、現在参画中の案件について確認するところから始めてみてください。

参照した一次情報は以下のとおりです。

• IPA「情報セキュリティ10大脅威 2026」

• IPA プレス発表「「情報セキュリティ10大脅威 2026」を決定」

• IPA「情報セキュリティ10大脅威 2026 解説書（組織編・PDF）」

• IPA「情報セキュリティ10大脅威 2026 個人編ハンドブック（PDF）」

• IPA「中小企業の情報セキュリティ」

• 経済産業省「サイバーセキュリティとサプライチェーン」

• 警察庁「サイバー空間をめぐる脅威の情勢等」