前回は「どれくらい増えているか」を見ました。今回は、実際にどんな手口で入ってくるのかを7つに絞って解説します。どれも、特別な大企業だけの話ではありません。
1. ランサムウェア（11年連続で1位）
データを暗号化して使えなくし、元に戻す代わりに金銭を要求する攻撃です。最近は「暗号化＋データを公開するぞと脅す」二重恐喝が主流で、バックアップまで一緒に暗号化されるケースも珍しくありません。
入口として多いのが、VPN機器やリモートデスクトップ（RDP）など、外からつながる機器の弱いパスワードや未修正の脆弱性です。
2. サプライチェーン・委託先経由
自社ではなく取引先や業務委託先が攻撃され、その影響が自分に及ぶ型です。2026年は「データサプライチェーン被害」（データを預けていた会社がやられ、預けた側が漏えいを発表する）が急増し、新しい分類として3位に入りました。
3. AIを使った攻撃
2026年の10大脅威で初めて3位に選ばれたのがこれです。AIによって、偽メールの日本語が不自然でなくなり、見破るのが難しくなりました。侵入から横展開までの時間も短縮され、平均29分という調査結果もあります（2024年比で約65%高速化）。
4. 既知の脆弱性の悪用
ニュースになるのは「未知の脆弱性（ゼロデイ）」ですが、実際に悪用されるのは「修正プログラムが出ているのに当てていない」既知の穴が大半です。WordPressのプラグインも同じです。
5. 標的型メール・フィッシング
取引先やクラウドサービス、銀行を装ったメールやSMSで、偽のログイン画面に誘導してID・パスワードを盗む手口です。フィッシングは4年で約8.6倍に増えています。
6. ビジネスメール詐欺（BEC）
取引先や経営者を装い、「振込先が変わりました」とメールを送って、別口座にお金を振り込ませる手口です。メールアドレスは巧妙に似せてあります。10大脅威に9年連続で入っています。
7. 不正ログイン
他のサービスで漏れたID・パスワードの使い回しを突く「パスワードリスト攻撃」や、「承認」ボタンを押すまで通知を繰り返すMFA疲労攻撃などがあります。2段階認証を入れていても、油断はできません。
まとめ：「入口」はだいたい決まっている
7つ挙げましたが、入口は大きく3つに集約されます。①外からつながる機器 ②メール ③IDとパスワードです。次回は、この3つをふさぐ具体的な対策を、効果の大きい順にお伝えします。
出典：IPA「情報セキュリティ10大脅威 2026」、CrowdStrike「2026 Global Threat Report」、Trend Micro（2026年10月16日）
コメント