2026年05月24日のサイバーセキュリティ動向まとめ

サマリ

2026年は日本企業にとってセキュリティ対策が急速に義務化される転換点を迎えています。IPA発表の「情報セキュリティ10大脅威2026」では、11年連続でランサムウェアが1位、サプライチェーン攻撃が2位となる一方で、初選出のAIリスクが3位に急浮上。同時に政府制度も矢継ぎ早に施行され、企業には技術面とガバナンス両面での対応が求められています。

詳細

ランサムウェア脅威の深刻化と新しい手口

最近では「データを復旧させるための身代金」だけでなく、「支払わなければ盗み出した機密情報をネット上に公開する」と脅す二重脅迫が主流となっており、企業にとって社会的信用の失墜という甚大なリスクを孕んでいますこれまでは高度なサイバー攻撃を実行するためには、専門的なプログラミングスキル・マルウェア作成の知識・ターゲットのリサーチに多大な時間と費用が必要でしたが、生成AIの普及により、これらの障壁が劇的に下がっていますプロンプトエンジニアリングの知識があれば、高品質なフィッシングメールを数秒で生成したり、既存のマルウェアコードを改変してセキュリティツールによる検知を回避したりすることが、技術的な専門知識のない攻撃者にも可能になりつつありますAIに関連したサイバー脅威やディープフェイクが主要な懸念事項として浮上し、これを挙げた回答者はグローバルで59％、アジア太平洋地域で60％に達しました。

政府による制度面での大規模な施行

2026年は制度変更の集中年です。EUでは2024年にサイバーレジリエンス法が成立し、2026年9月11日から脆弱性とインシデントの報告義務が適用開始されますSCS評価制度は経産省が主導する、企業のセキュリティ対策を★3〜★5で可視化する制度です。★3（自己評価・25項目）と★4（第三者評価・44項目）が2026年10月頃に運用開始予定です2025年5月16日にサイバー対処能力強化法が成立し、同月23日に公布されました。一部の規定を除き、2026年10月1日に施行されますサプライチェーン攻撃を防ぐには自社のセキュリティ対策だけでなく、取引先や委託先のセキュリティ基準を厳格に評価し、定期的な監査やセキュリティトレーニングを実施するなどの対策が必要となりますサプライチェーン全体が攻撃経路となり得る現在、ゼロトラストは厳格なアクセス制御によってリスク低減に寄与するだけでなく、不正侵入後の横展開を防ぎ、被害の最小化や不審な振る舞いの可視化にもつながります。

今後の展望

2026年のサイバーセキュリティ市場は、技術革新と規制強化が同時進行する歴史的な転換期を迎えています。単なる技術対策では不十分で、経営レベルでのガバナンス体制構築が急務です。

より高度化した攻撃が常態化し、生成AIやAI支援サービスの普及に伴い、AIを悪用した攻撃やAI自体の脆弱性を突く事例が拡大し、従来の境界防御だけでは対応困難になると予測されています。

特に中堅・中小企業は、SCS評価制度や政府制度への対応を通じて取引要件となるセキュリティ基準をクリアする必要があります。既知の脆弱性への対応、多要素認証の導入、オフラインバックアップ、EDR（侵入検知・対応）導入、従業員教育の強化といった基本対策の徹底が、もはや経営の必須要素となっています。

攻撃者のAI活用により、防御側もAI技術