情報セキュリティ10大脅威2026：企業サイトで対策すること

IPA（情報処理推進機構）は毎年、前の年に社会的な影響が大きかった情報セキュリティの事案をもとに「情報セキュリティ10大脅威」を公表しています。2026年版は2026年1月29日に公開されました。10大脅威は、IPAが選んだ候補をもとに、情報セキュリティの分野の研究者や企業の実務担当者などが審議と投票を行って決めています。ランキングを見て「うちには関係ない」と感じる会社もありますが、会社のホームページやサーバー、問い合わせフォーム、メールは、多くの脅威の入口や被害の場所になります。

この記事では、IPAの情報セキュリティ10大脅威2026の組織編の10項目を、会社のホームページやサーバーの担当者の目線で読み解き、確認することを表にまとめます。専門の担当者がいない中小企業の総務や広報の方でも、ここに挙げた確認から始められます。後半では、被害に気づいたときの最初の行動と、確認を続けるための体制もまとめています。

情報セキュリティ10大脅威2026（組織編）の10項目

2026年版の組織編の順位は次のとおりです。右の列は、ホームページやサーバー、メールの管理との関わりを示しています。

ホームページの担当者が特に確認したい5つの脅威

ランサム攻撃：バックアップから戻せるか

ランサム攻撃は、データを暗号化したり盗み出したりして、身代金を要求する攻撃です。ホームページのサーバーも対象になりえます。被害を小さくする基本は、サーバーとは別の場所にバックアップを持ち、実際に復元できるかを確かめておくことです。バックアップの取り方と保管の決め方はサーバーのバックアップと復元で説明しています。

委託先を狙った攻撃：制作会社や保守の会社との取り決め

ホームページの制作や保守を外部に任せている場合、委託先の管理の甘さが自社の被害につながることがあります。管理画面のアカウントを委託先と共用していないか、委託先のパソコンから接続するときの決まりがあるか、事故が起きたときの連絡の流れが決まっているかを確かめます。発注のときに決める要件はWebサイト制作の発注で決めるセキュリティ要件にまとめています。

脆弱性を悪用した攻撃：CMSと拡張機能の更新

WordPressなどのCMSや、その拡張機能（プラグイン）に見つかった弱点を突く攻撃は、ホームページの改ざんや乗っ取りの代表的な原因です。更新を止めているサイトは狙われやすくなります。更新の頻度、更新の後の表示の確認、使っていない拡張機能の削除を、保守の作業として決めておきます。更新が長く止まっている拡張機能は、代わりのものに置き換えることも検討します。対策の優先順位はWordPressのセキュリティ対策チェックリストで紹介しています。

内部不正とリモートワーク：アカウントの管理

退職した人のアカウントが残っている、一つのアカウントを何人かで使っている、管理者の権限を必要以上の人に与えている、といった状態は、内部不正や外部からの不正なログインの原因になります。担当者ごとにアカウントを発行し、退職や異動のときに必ず削除します。社外から管理画面に入る場合は、二段階認証や接続元の制限を組み合わせます。手順は退職者のアカウント整理で確認できます。

ビジネスメール詐欺：自社のドメインをなりすまされない

取引先や社長を装って送金を指示するメールは、自社が被害者になるだけでなく、自社のドメインが悪用されて取引先が被害に遭うこともあります。送信ドメイン認証（SPF・DKIM・DMARC）を設定すると、自社のドメインを装ったメールを受信側で見分けやすくなります。設定の手順は会社のメールが迷惑メールになる原因とSPF・DKIM・DMARCの設定手順で説明しています。

残りの5つの脅威とホームページの関わり

AIの利用をめぐるリスクは、社員が生成AIに顧客の情報や社内の資料を入力してしまうこと、AIで作った文章や画像を確認せずに公開してしまうことなどが考えられます。ホームページの原稿や画像に生成AIを使う場合のルールは生成AIの社内利用ルールの作り方で整理しています。

標的型攻撃は、問い合わせフォームや採用の応募を装ったメールで、不正なファイルを開かせる手口が知られています。フォームから届いたメールに添付ファイルやリンクがある場合は、送り主と内容を確かめてから開く習慣をつけます。不審なメールを受け取ったときに相談する先を社内で決めておくと、一人で判断して開いてしまうことを防げます。DDoS攻撃は、大量のアクセスを送りつけてサイトを表示できなくする攻撃で、ホームページの内容が書き換えられるわけではありませんが、問い合わせや予約を受けられない時間が生まれます。DDoS攻撃や地政学的な背景を持つ攻撃に対しては、サーバー会社やCDNの対策と、サイトが止まったときに気づける監視の仕組みが備えになります。

ホームページの担当者のための確認表

10項目を、ホームページの担当者が確認できる5つの作業に整理しました。毎月または四半期ごとに確認し、結果を記録しておくと、取引先から対策を聞かれたときに説明できます。

停止に気づく仕組みはホームページの死活監視で、改ざんされたときの初動はホームページ改ざん・WordPress乗っ取りの対処で紹介しています。

被害に気づいたときに最初にすること

どれだけ備えても、被害を完全に防ぐことはできません。ホームページの改ざんや乗っ取り、サーバーの異常に気づいたときに慌てないよう、最初の行動を決めておきます。

1. 見つけた状態を画面の写真などで記録し、責任者と保守の担当に連絡する。
2. 被害が広がるおそれがあれば、サイトを一時的に止める判断をする。
3. 管理画面やサーバー、関連するサービスのパスワードを変更し、不明なアカウントがないか確かめる。
4. バックアップから戻す前に、原因（どの弱点から入られたか）を調べる。原因を残したまま戻すと、同じ被害を繰り返す。
5. 問い合わせフォームなどで個人情報を扱っていた場合は、漏えいのおそれがないかを確かめ、必要な報告に備える。

個人情報が漏れたおそれがあるときの対応は問い合わせフォームから個人情報が漏れたらで解説しています。

中小企業が使える公的な資料

対策を進めるときは、公的な資料を物差しにすると、何から手をつけるかを決めやすくなります。IPAの中小企業の情報セキュリティ対策ガイドラインは、2026年3月に第4.0版が公開されました。情報セキュリティ5か条に「バックアップを取ろう!」が加わって6か条になり、「5分でできる!情報セキュリティ自社診断」には、ウェブサイトの安全な運用に関する項目なども加わっています。

ホームページの作り方の面では、IPAの安全なウェブサイトの作り方が、代表的な脆弱性の原因と対策、確認用のチェックリストをまとめています。制作会社に依頼するときに「この資料のチェックリストに沿っているか」を確かめると、話がかみ合いやすくなります。

確認を続けるための体制

対策は一度で終わりではありません。CMSの更新は毎月のように出てきますし、担当者の異動や退職、委託先の変更も起きます。確認を続けるには、次のことを決めておきます。

• 確認表の作業ごとに担当者を決める。社内で難しい作業は、保守の契約で委託先に任せる。
• 確認した日と結果を、共有の場所に記録する。
• 異常に気づいたときに誰に連絡し、誰が判断するかを一枚の紙にまとめ、関係者が見られるようにする。
• 年に一度、10大脅威の最新版を読み、確認表に足りない項目がないかを見直す。

担当者が一人しかいない会社では、その人が休んだときに確認が止まらないよう、もう一人が手順を知っている状態にしておくと安心です。

よくあるご質問

小さな会社のホームページも狙われますか？

狙われます。多くの攻撃は、会社の規模ではなく、更新されていないCMSなど弱点のあるサイトを機械的に探して行われます。会社案内だけのサイトでも、改ざんされて不正なサイトへの誘導に使われることがあります。

10大脅威は毎年変わりますか？

毎年、前の年の事案をもとに選ばれるため、順位や項目は変わります。ただし、ランサム攻撃や脆弱性、委託先を狙った攻撃のように、何年も続けて上位に入っている脅威もあります。

どこから手をつければよいですか？

確認表の「更新」「バックアップ」「アカウント」の3つから始めることをおすすめします。この3つは、多くの脅威に共通する基本の対策です。そのうえで、監視とメールの設定に進むと、無理なく範囲を広げられます。

取引先から10大脅威への対策を聞かれました。どう答えればよいですか？

確認表の5つの作業について、実施している内容と頻度、記録の有無を答えると具体的になります。実施していない項目は、予定の時期を添えて正直に伝えます。

個人向けの10大脅威も確認した方がよいですか？

IPAは個人編も公表しています。社員一人ひとりが被害に遭わないための内容で、社内の研修の教材として使えます。

ホームページの対策を任せる場合

フェニックスデザインでは、ホームページとサーバーの更新、バックアップの確認、監視、アカウントの棚卸しを保守として行い、取引先に説明できる記録を残しています。詳しくはWEBサイトのセキュリティ対策をご覧ください。

まとめ

• 2026年版の組織編は、ランサム攻撃、委託先を狙った攻撃、AIの利用をめぐるリスクが上位です。
• ホームページやサーバー、メールは、多くの脅威の入口や被害の場所になります。
• 担当者が確認することは、更新、バックアップ、アカウント、監視、メールの5つに集約できます。
• 確認の結果を記録し、取引先から聞かれたときに説明できるようにします。
• 被害に気づいたときの最初の行動と連絡先を、あらかじめ一枚にまとめておきます。
• IPAのガイドラインや安全なウェブサイトの作り方を物差しにし、年に一度は確認表を見直します。