【サイバー防御実務入門 第1回】サイバー攻撃の現状｜警察庁統計と10大脅威2026で読む5つの傾向

連載【サイバー防御実務入門】第1回

はじめに：まずは「敵」を知るところから

前回の第0回では、この連載の方針と全体像をお話ししました。今回はいよいよ本編のスタートです。

守り方を学ぶ前に、まず「いま何が起きているのか」を知っておく必要があります。とはいえ、ニュースの印象だけで判断すると、目立つ事件に引っ張られてしまいます。そこで今回は、警察庁の統計と、IPA（情報処理推進機構）の「情報セキュリティ10大脅威」という2つの公的な資料をもとに、現状を整理してみます。

1. 数字で見るサイバー攻撃の現状

警察庁は毎年、半年ごとに「サイバー空間をめぐる脅威の情勢等について」という報告書を公表しています。2026年9月に公表された最新版（令和8年上半期）と、2025年（令和7年）1年間の数字から、主なものを抜き出しました。

出典：警察庁「令和8年上半期におけるサイバー空間をめぐる脅威の情勢等について」（2026年9月）、同「令和7年における〜」（2026年3月）をもとに筆者作成

最後の「不審なアクセス」の数字は、ぜひ覚えておいてください。インターネットにつながっている機器には、特に狙われていなくても、1日に1万回以上「弱いところはないか」と探るアクセスが届いているということです。「うちは狙われるほどのものがないから大丈夫」という考えが通用しない理由が、ここにあります。

2. IPA「情報セキュリティ10大脅威 2026」

IPAは毎年、前年に社会的な影響が大きかった脅威を「情報セキュリティ10大脅威」として発表しています。研究者や企業の実務担当者など約250名の選考会が投票で決めるもので、2026年版は2026年1月29日に公表されました。

組織向けの10大脅威

個人向けの10大脅威（五十音順）

個人向けは、下位の脅威が軽視されないよう、順位をつけずに五十音順で紹介されています。

• インターネット上のサービスからの個人情報の窃取
• インターネット上のサービスへの不正ログイン
• インターネットバンキングの不正利用（4年ぶりに選出）
• クレジットカード情報の不正利用
• サポート詐欺（偽警告）による金銭被害
• スマホ決済の不正利用
• ネット上の誹謗・中傷・デマ
• フィッシングによる個人情報等の詐取
• 不正アプリによるスマートフォン利用者への被害
• メールやSNS等を使った脅迫・詐欺の手口による金銭要求

出典：IPA「情報セキュリティ10大脅威 2026」（2026年1月29日公表）をもとに筆者作成

3. 統計から読み取れる5つの傾向

2つの資料を読み比べて、私なりに大きな傾向を5つに整理してみました。

傾向① ランサムウェアは高止まり。狙われるのは大企業だけではない

ランサムウェアとは、パソコンやサーバーのデータを勝手に暗号化して使えなくし、「元に戻してほしければ身代金を払え」と要求する不正なプログラムです。最近は、暗号化の前にデータを盗み出し、「払わなければ公開する」と二重に脅す手口が主流になっています。

警察庁の報告書によると、2026年上半期の被害企業のうち約6割が中小企業で、業種では製造業が約3割を占めています。被害に遭った組織へのアンケートでは、復旧費用が1,000万円以上かかった組織が約6割、1か月未満で復旧できた組織は5割弱にとどまるなど、被害が大きく長引く傾向が示されています。

傾向② 入口は「インターネットに面した機器」

少し意外だったのが侵入経路です。報告書では、ランサムウェアの侵入経路としてVPN機器が約5割を占めるとされています。VPN機器とは、社外から社内ネットワークに安全に接続するための装置です。

かつては「怪しいメールの添付ファイルを開いて感染」というイメージが強かったのですが、現在は更新されていない機器の弱点（脆弱性）や、漏れたIDとパスワードを使って、外から直接入り込む手口が多くなっているそうです。前の章の「1日1万回以上の探索アクセス」とつながる話ですね。

傾向③ フィッシングと詐欺は、ますます見抜きにくく

フィッシングとは、実在する会社やサービスを装ったメールやSMSで偽サイトに誘導し、IDやパスワード、カード番号などを盗む手口です。報告件数は年間約245万件と増え続けています。

さらに、AIによって文章が自然になり、見抜きにくくなっていることが指摘されています。電話で企業に連絡して誘導する「ボイスフィッシング」や、社長になりすましてメールで送金を指示する「ニセ社長詐欺」（2026年1〜6月で127件、約38.8億円）など、メール1通では終わらない手口も増えています。

傾向④ AIは「守る側」だけでなく「攻める側」の道具にも

警察庁の報告書では、生成AIを悪用してランサムウェアを作成したとして19歳の会社員が逮捕された事例が紹介されています。専門知識がなくても攻撃の道具を手にできてしまう――攻撃のハードルが下がっていることは、守る側として知っておくべき変化です。

傾向⑤ 家庭のIoT機器が「踏み台」にされている

個人的にいちばん身近に感じたのがこの話です。家庭のルーターやネット接続機器が、持ち主の知らないうちに乗っ取られ、犯罪者の通信を中継する「踏み台」として使われる事例が多発しているそうです。2025年のネットバンキング不正送金では、少なくとも737件でこうした中継の仕組みが使われていたとされています。

「テレビで海外の動画が無料で見られる」とうたう怪しい機器や、無料のVPNアプリなどに、最初から不正なプログラムが仕込まれていた例もあるとのことです。自分が被害者であると同時に、知らないうちに加害の手助けをしてしまう可能性がある、というのは怖い話です。

4. 国の動き：守り方も変わりつつある

攻撃が増えるなかで、国の体制も変わってきています。

• 2025年5月、いわゆる「能動的サイバー防御」を導入するための法律（サイバー対処能力強化法など）が成立しました。重大なサイバー攻撃のおそれがある場合に、攻撃に使われているサーバーなどにアクセスして無害化する措置などが盛り込まれています。
• この法律は2026年10月1日に一部が施行され、自衛隊によるアクセス・無害化措置などが始まったと報じられています。警察による同様の措置の規定は、2026年11月までに施行される予定とされています。
• 2025年7月には、政府のサイバーセキュリティの司令塔だった内閣サイバーセキュリティセンター（NISC）が改組され、内閣官房に「国家サイバー統括室（NCO）」が設置されました。

ただし、こうした国の取り組みが私たちのパソコンやスマホを直接守ってくれるわけではありません。自分の機器を守るのは、やはり自分自身です。

用語メモ

ランサムウェア

データを暗号化して使えなくし、元に戻す対価（身代金）を要求する不正なプログラム。

フィッシング

実在する組織を装ったメールなどで偽サイトに誘導し、ID・パスワードやカード番号などを盗む手口。

脆弱性（ぜいじゃくせい）

ソフトウェアや機器の設計・作りの不備によって生じる、セキュリティ上の弱点。

VPN

インターネット上に暗号化された専用の通り道を作り、離れた場所から安全に接続する仕組み。

IoT機器

ネットにつながる家電や機器（ルーター、ネットワークカメラ、テレビ周辺機器など）。

踏み台

攻撃者に乗っ取られ、身元を隠すための中継地点として悪用される機器。

まとめと、今日からできる3つのこと

• ランサムウェア被害は高い水準が続き、2026年上半期は半年として過去最多でした。被害の約6割は中小企業です。
• IPAの10大脅威2026では、「AIの利用をめぐるサイバーリスク」が初登場で3位に入りました。
• 侵入の入口は、更新されていない機器や漏れたパスワード。狙われていなくても探索アクセスは毎日届いています。
• 家庭の機器も、被害者になるだけでなく「踏み台」にされるおそれがあります。

参考資料

• IPA「情報セキュリティ10大脅威 2026」
• IPA プレスリリース「情報セキュリティ10大脅威 2026」を決定（2026年1月29日）
• 警察庁「令和8年上半期におけるサイバー空間をめぐる脅威の情勢等について」（2026年9月）
• 警察庁「サイバー空間をめぐる脅威の情勢等」（令和7年版ほか）
• @IT「政府が『攻撃元サーバ』に踏み込む 10月始動『能動的サイバー防御』で何が変わる？」（2026年10月5日）

※本記事は2026年10月時点の公表資料をもとに作成しています。数値は各資料の記載に基づきます。