情報セキュリティ10大脅威2026を家庭と小さな職場で読む｜脅威ごとの対策と戻せる控え

2026年1月末、IPA（情報処理推進機構）が「情報セキュリティ10大脅威 2026」を公表しました。ニュースで見出しを目にした人も、取引先の勉強会で一覧表を配られた人もいるはずです。ただ、並んでいるのは「サプライチェーン」「地政学的リスク」「DDoS攻撃」といった、大きな会社向けに聞こえる言葉です。家族のスマホとパソコン、数人で回している事務所や店で何をすればよいのかは、一覧を眺めただけでは見えてきません。

20の脅威を家庭と小さな職場の目線で読み直すと、やることは思ったより少なくなります。IPA自身が「情報セキュリティ対策の基本」として挙げる6つ（更新、セキュリティソフト、認証の強化、設定の見直し、バックアップ、手口を知る）に、ほぼ収まるからです。そのうえで、暗号化や削除、アカウントの停止で失ったデータを最後に取り戻せるのは、ネットワークから切り離しておいた「戻せる控え（バックアップ）」です。一方で、盗まれた情報、だまされて振り込んだお金、止められたウェブサイト、ネットに書かれた中傷は、控えがあっても元に戻りません。

家庭と小さな職場では、同じ脅威でも届き方が違います。組織編3位の「AIの利用をめぐるサイバーリスク」は、家では「AIで動画を作る」とうたう偽サイトや、人の顔と声をまねた詐欺の形で来ます。9位のDDoS攻撃は、自分が狙われるより先に、使っているサービスが止まる形で現れます。脅威の名前を自分の家や職場で起きる形に言い換えてから対策を選ぶと、やることの順番が決まります。

10大脅威2026は何を選んだ一覧か

2026年版は2026年1月29日に公表されました。IPAの説明では、2025年に起きた社会的に影響の大きかった事故や攻撃からIPAが候補を選び、約250人の「10大脅威選考会」が審議と投票で決めています。これから何が起きるかを当てる予想の一覧と受け取られがちですが、中身は前の年に実際に被害が大きかったものの記録です。

一覧は「組織」向けと「個人」向けの2部に分かれています。組織編には1位から10位まで順位が付き、1位は「ランサム攻撃による被害」で一覧への選出は11年連続11回目、2位は「サプライチェーンや委託先を狙った攻撃」で8年連続8回目です。初めて入ったのは3位の「AIの利用をめぐるサイバーリスク」だけで、2025年版で10位だった「不注意による情報漏えい等」は圏外に出ました。

脅威の名前が「ランサムウェア」ではなく「ランサム攻撃」と書かれている点も読み落とせません。データを暗号化して身代金を求める手口だけでなく、暗号化をせずに盗んだデータを公開すると脅す手口（ノーウェアランサム）も含めた言い方です。脅威の名前を引用するときは、この表記のまま使うと誤解が生まれにくくなります。

個人編には順位がない

個人編は、脅威の名前だけを五十音順で並べていて、順位を付けていません。順位表のように紹介している記事を見かけたら、五十音順の並びを順位と取り違えています。今回の版では「インターネットバンキングの不正利用」が4年ぶりに戻り、「ワンクリック請求等の不当請求による金銭被害」が外れました。「偽警告によるインターネット詐欺」は「サポート詐欺（偽警告）による金銭被害」に、「メールやSMS等を使った〜」は「メールやSNS等を使った〜」に名前が変わっています。

順位は対策の順番を示していない

IPAは組織編の解説書の冒頭で、順位は対策すべき優先順位ではないと断っています。たとえば自分の使っている製品に修正プログラムの知らせが出た日は、4位の「システムの脆弱性を悪用した攻撃」が優先して対策する課題になります。ランク外の脅威にも注意が要るとして、2023年以降は圏外になっている「予期せぬIT基盤の障害に伴う業務停止」を例に挙げています。システムの障害は攻撃でなくても起きますが、止まった機械を直し、手元の控えから仕事を再開するという動きは攻撃のときと同じです。一覧に名前が無いことは、備えなくてよい理由になりません。

ここに書く事例と数字は、2026年10月時点で、被害に遭った組織の公表資料、官公庁の統計、報道で確かめられた範囲にとどめています。報道によって数字が揺れるものは幅か「報じられた」と添え、侵入の経路が公表されていないものは推し量って書いていません。

早見表｜20項目の現れ方と、今日やる対策

まず20項目を1枚ずつの表にまとめます。右端の列は、その脅威で失ったものを、切り離して保管した控えで取り戻せるかどうかです。「一部」と書いたものは、データは戻せても、漏れた情報や送ったお金は戻らない、という意味です。脅威の名前はIPAの表記のままにしました。

組織編（順位つき）

1位ランサム攻撃による被害
現れ方：パソコン、NAS、外付けHDDのファイルが暗号化される。盗んだデータを公開すると脅される
今日の対策：外からつなぐ機器の更新、使わない遠隔接続を止める、控えをつなぎっぱなしにしない
控えで戻せるか：一部（暗号化されたデータは、攻撃者の手が届かない控えから戻せる。盗まれた情報は戻らない）

2位サプライチェーンや委託先を狙った攻撃
現れ方：預けた名簿や顧客の情報が委託先から漏れる。委託先のシステムが止まる
今日の対策：預けたデータの一覧を作り、契約が終わったら消去を確かめる
控えで戻せるか：一部（手元の写しで業務は続けられる）

3位AIの利用をめぐるサイバーリスク
現れ方：偽のAIサイトからウイルスを入れる。業務の資料を個人のAIに貼る。偽の顔や声で送金を頼まれる
今日の対策：入手先が公式か確かめる、社外秘を入力しない、送金は別の経路で確かめる
控えで戻せるか：一部（感染した端末の作り直しには役立つ）

4位システムの脆弱性を悪用した攻撃
現れ方：更新の止まったパソコン、ルーター、カメラから入られる
今日の対策：自動更新をオンにする、サポートが終わった機器は買い替える
控えで戻せるか：一部（改ざんや暗号化の後に戻せる。漏れた情報は戻らない）

5位機密情報を狙った標的型攻撃
現れ方：取引先を装うメールやファイル共有の通知から感染し、取引先への足がかりにされる
今日の対策：添付とリンクは、差出人に別の連絡手段で確かめてから開く
控えで戻せるか：ほぼ戻せない（盗まれた情報は戻らない）

6位地政学的リスクに起因するサイバー攻撃（情報戦を含む）
現れ方：使っているサービスが止まる。偽情報が流れてくる
今日の対策：代わりの連絡手段を決める、出どころを確かめてから広める
控えで戻せるか：ほぼ戻せない（ランサム攻撃を装う型の暗号化は戻せる）

7位内部不正による情報漏えい等
現れ方：持ち出し、データの削除、USBメモリの紛失
今日の対策：アカウントを共用しない、持ち出しの決まりを作る
控えで戻せるか：一部（削除や改ざんは戻せる）

8位リモートワーク等の環境や仕組みを狙った攻撃
現れ方：自宅のルーター、VPN機器、遠隔操作の設定から入られる
今日の対策：ルーターの更新、多要素認証、使わない遠隔接続を止める
控えで戻せるか：一部（侵入後に暗号化されたデータは戻せる。盗まれた情報は戻らない）

9位DDoS攻撃（分散型サービス妨害攻撃）
現れ方：店のサイト、予約ページ、使っているメールが止まる。家のカメラが攻撃の踏み台にされる
今日の対策：告知と連絡の代わりの手段を用意する、機器の初期パスワードを変える
控えで戻せるか：戻せない

10位ビジネスメール詐欺
現れ方：取引先や社長を装ったメールで振込先を変えられる
今日の対策：振込先の変更は登録済みの電話で確かめ、2人で承認する
控えで戻せるか：戻せない

組織編を家庭と小さな職場の目で見ると、データそのものを人質に取られる1位・4位・8位と、データは手元に残ったままお金や信用を失う5位・9位・10位で、備え方がはっきり分かれます。2位・3位・7位はその中間で、手元のデータは控えで戻せても、外に出たものは取り戻せません。これは1位・4位・8位でも同じで、盗まれた情報は控えでは戻りません。

個人編（五十音順・順位なし）

インターネット上のサービスからの個人情報の窃取
現れ方：登録した通販や求人サイトから情報が盗まれる
今日の対策：使わないサービスは退会する、必須の項目以外は登録しない
控えで戻せるか：戻せない

インターネット上のサービスへの不正ログイン
現れ方：SNSや通販のアカウントに入られ、パスワードを変えられる
今日の対策：パスキーか多要素認証、パスワードを使い回さない
控えで戻せるか：一部（写真や連絡先の写しは残せる）

インターネットバンキングの不正利用
現れ方：偽サイトや電話で認証情報を取られ、不正に送金される
今日の対策：公式アプリかブックマークから開く、利用の通知を受け取る
控えで戻せるか：戻せない

クレジットカード情報の不正利用
現れ方：偽の通販サイトや改ざんされたサイトでカード情報を取られる
今日の対策：本人認証（3Dセキュア）、利用の通知、明細の確認
控えで戻せるか：戻せない

サポート詐欺（偽警告）による金銭被害
現れ方：偽の警告画面の番号に電話し、遠隔操作される
今日の対策：画面の番号に電話しない、ブラウザを閉じる
控えで戻せるか：一部（初期化した後にデータを戻せる）

スマホ決済の不正利用
現れ方：返金を装って送金させられる、偽の請求画面に誘導される
今日の対策：公式アプリから開く、返金の操作を求められても応じない
控えで戻せるか：戻せない

ネット上の誹謗・中傷・デマ
現れ方：家族や店が中傷される、デマを広めてしまう
今日の対策：投稿を記録して相談する、広める前に確かめる
控えで戻せるか：戻せない（記録は残す）

フィッシングによる個人情報等の詐取
現れ方：宅配、通信会社、税金を装うメールやSMSから偽サイトへ誘われる
今日の対策：メールやSMSのリンクから入力しない、パスキーを使う
控えで戻せるか：戻せない

不正アプリによるスマートフォン利用者への被害
現れ方：SMSの案内で入れたアプリに情報を取られ、自分のスマホから詐欺のSMSを勝手に送られる
今日の対策：アプリは公式のストアから入れる、使わないアプリは消す
控えで戻せるか：一部（初期化の後に写真や連絡先を戻せる）

メールやSNS等を使った脅迫・詐欺の手口による金銭要求
現れ方：「パソコンをハッキングした」と脅される、恋愛や投資を装って送金させられる
今日の対策：無視する、書かれた番号に電話しない、#9110や188に相談する
控えで戻せるか：戻せない

個人編の10項目のうち、控えが主に役立つのは3つほどで、残りはお金か情報か気持ちの被害です。「バックアップを取ればひと安心」とはいかない脅威が個人編の大半を占める、と読むのが実態に近いはずです。家庭で先に手を付けるのは、アカウントの守りと、お金を動かす前の確認のほうです。

20項目に共通する対策の基本は、6つしかない

組織編の解説書にも個人編のハンドブックにも、脅威の手口には共通の「攻撃の糸口」があるとして、それぞれに対応する「情報セキュリティ対策の基本」の表が載っています。項目は次の6つです。

• ソフトウェアの脆弱性に対して、ソフトウェアを更新する
• マルウェアの利用に対して、セキュリティソフトを使う
• パスワードの窃取に対して、パスワードの管理と認証を強める
• 設定の不備に対して、設定（初期設定を含む）を見直す
• データの暗号化に対して、バックアップを取る
• ソーシャルエンジニアリング（人をだます手口）に対して、脅威と手口を知る

この表を見ると、バックアップの役目がはっきりします。IPAが書いている目的は「PCやサーバーのデータ削除や暗号化に備える」ことで、詐欺やなりすましを防ぐ働きは、ほかの5つが受け持っています。個人編のハンドブックでも、ネットバンキングやスマホ決済のページで参照されているのはセキュリティソフト・認証・手口を知るの番号で、バックアップの番号は出てきません。

家庭や数人の職場で順番を付けるなら、見分け方を覚えるより先に、設定でできることを片付けましょう。自動更新をオンにする、主なアカウントにパスキーか多要素認証を付ける、機器の初期パスワードを変える、の3つは一度済ませれば毎日の注意力に頼らずに済みます。偽のメールや画面を見抜く力は、疲れている日や急いでいる日には落ちるからです。

セキュリティソフトについては、警察庁の令和7年（2025年）の統計に考えさせられる数字があります。ランサムウェアの被害に遭った組織のうち、ウイルス対策ソフトなどを入れていたのは回答119件中105件で、そのソフトで「検出なし」だったのは回答89件中64件でした。ソフトを入れることに意味が無いわけではありませんが、ソフトだけに頼る守りでは足りず、6つを組み合わせることが前提になります。

戻せる控えが役に立つ脅威と、役に立たない脅威

控えができるのは、ある時点のデータの状態を、別の場所に残しておくことです。暗号化された、消された、書き換えられた、アカウントに入れなくなった、という被害なら、控えの時点まで戻せます。一方、すでに人の目に触れた情報、口座から出て行ったお金、止められていた時間は、控えを持っていても巻き戻せません。

ランサム攻撃でさえ、控えだけで片付く話ではなくなっています。警察庁の令和7年の統計では、手口が分かった153件のうち136件（88.9%）が、暗号化に加えてデータを盗み、公開すると脅す「二重恐喝」でした。武蔵野大学は、2026年6月に被害を公表した際、バックアップで復旧して運営に支障は出なかったと発表しましたが、9月の続報で共有フォルダの一部のファイルが流出していたと報じられています。業務は控えで戻せても、盗まれた情報は戻らないという例です。

手元の被害を「戻せるもの」と「戻せないもの」に分けて考える道すじを図にしました。上から順に当てはまるかを見ていき、当てはまったところで取る動きが決まります。

控えがいちばん役に立つ場面

控えが中心になるのは、データそのものが使えなくなったときです。ランサム攻撃でファイルが暗号化された、内部の人に消された、更新の止まった機器から入られてホームページを書き換えられた、という場面では、攻撃者の手が届かなかった控えから戻すのが復旧の本筋になります。

サポート詐欺の後始末も同じです。IPAは、遠隔操作されてしまったパソコンについて、影響の範囲を判断できないため、Windowsの「システムの復元」か、それができなければ初期化を勧めています。初期化すると中のデータは消えるので、写真や書類の控えが別の場所にあるかどうかで、その後の手間がまるで変わります。不正アプリを入れたスマホを初期化する場合も同じことが言えます。

アカウントに入れなくなったときも、控えが助けになります。乗っ取られてパスワードを変えられた、規約の判断でアカウントを止められた、という場面では、クラウドの写真や動画に手が届かなくなります。端末とクラウドのほかに、もう1か所に写しがあれば、アカウントの復旧を待つあいだも手元の記録は失われません。

控えでは戻らないもの

情報の漏えいは、控えでは戻りません。名簿や顧客の情報が外に出たら、することは本人への連絡と、必要な報告です。個人情報保護委員会のガイドラインは、ランサムウェアで個人データが暗号化されて戻せなくなった場合を「毀損」の例としつつ、同じ内容のデータがほかに保管されていれば毀損には当たらないと整理しています。ただし、同時にデータが盗まれていれば「漏えい」にも当たるので、控えがあるから報告は要らない、とは言えません。

だまし取られたお金も、控えとは関係がありません。ビジネスメール詐欺、ネットバンキングの不正送金、スマホ決済の返金詐欺、サポート詐欺の支払いは、送金した時点で被害が確定します。ここで役に立つのは、送金の前に別の経路で確かめる手順と、送ってしまった直後に銀行へ連絡する速さです。

DDoS攻撃と誹謗中傷も、データは手元に残ったまま起きる被害です。止められたサイトは攻撃が終われば戻りますが、そのあいだの予約や問い合わせは取り戻せません。中傷の書き込みは、消してもらう手続きと相談が中心になります。どちらも、控えの代わりに「記録を残す」ことが後で役に立ちます。

控えを持っていたのに戻せなかった理由

警察庁の令和7年の統計は、控えの持ち方を考えるうえで外せません。ランサムウェアの被害に遭った組織のうち、バックアップを取っていたのは回答116件中105件で、9割を超えていました。ところが、バックアップから被害の直前の水準まで戻せたのは、回答99件中20件にとどまります。戻せなかった理由の最多は「バックアップも暗号化された」で、回答72件中48件でした。

攻撃者は侵入したあと、時間をかけて内部を調べ、重要なデータと一緒にバックアップの置き場所も探します。警察庁もIPAも、そう説明しています。同じネットワークにつながったままの控えは、元のデータと同じ日に暗号化されてしまいます。控えを「取っているか」より先に、「攻撃者の手が届かない場所にあるか」「その時点まで戻して使えるか」を確かめる必要があります。

1位 ランサム攻撃｜数人の職場でも、狙われるのはつなぎっぱなしの控え

警察庁が2026年3月に公表した統計では、令和7年（2025年）に警察へ報告されたランサムウェアの被害は226件でした。国内で起きた被害の総数ではなく、報告された件数です。そのうち中小企業が143件（63.3%）を占め、業種では製造業が約4割でした。2026年9月に公表された令和8年上半期の件数は123件で、統計を取り始めてから半期として最も多くなっています。

大きな会社の事件として報じられることが多い攻撃ですが、数字の上では被害の6割強が中小企業です。社員が数人の会社でも、取引先とつながる受発注の仕組みや、外から社内のパソコンにつなぐ設定があれば、狙われる条件は大きな会社とあまり変わりません。

どこから入られたかは、メールの添付を思い浮かべる人が多いかもしれません。被害に遭った組織への警察庁のアンケート（令和7年、有効回答92件）では、VPN機器が61件（66.3%）、リモートデスクトップが19件（20.7%）でした。外から社内につなぐための仕組みが、合わせて9割近くを占めています。不審なメールやその添付ファイルは2件だけです。

ここで言う「VPN機器」は、機器の弱点を突かれた例だけでなく、漏れたIDやパスワード、弱いパスワード、設定の不備を使われた例も含む分類です。侵入経路とされた機器に適用されていない修正プログラムがあったのは、回答71件中40件（56.3%）でした。更新を当てることと、外からつなぐためのIDを使い回さないことが、そのまま1位への備えになります。

止まったあとの重さも、統計に出ています。令和7年に復旧の期間を答えた107件のうち、1か月未満で復旧できたのは5割強にとどまり、調査と復旧にかかった費用を答えた89件のうち46件（51.7%）が1,000万円以上でした。サイバー攻撃を想定した業務継続の計画（BCP）を作っていたのは、回答111件中20件（18.0%）です。止まった日に誰が何をするかを決めていない組織が大半だった、という数字でもあります。

控えが明暗を分けた事例もあります。2021年10月に攻撃を受けた徳島県のつるぎ町立半田病院では、バックアップサーバーと電子カルテ部門のNASまで暗号化されましたが、2018年までにオフラインで保管していた控えは被害を受けず、復旧に使えました。身代金は支払っていないと調査報告書に明記されており、通常の診療を再開したのは2022年1月4日、約2か月後のことです。

2022年10月の大阪急性期・総合医療センターでは、院内にあったテープのバックアップ装置は暗号化されましたが、遠隔地に保管していたテープは正常に読み出せ、電子カルテを参照するための環境づくりに使われました。それでも、部門のシステムまで含めた全体の復旧には73日かかっています。調査委員会は報告書で、オフラインのバックアップの確実な取得に加え、戻すためのサーバーや読み出す装置の確保、正常に取れているかの定期的な確認を提言しました。

2025年の大きな事例では、アサヒグループホールディングスが、グループの拠点にあるネットワーク機器を経由して侵入され、管理者の権限を奪われたと2026年2月に公表しました。同社は封じ込めの際にバックアップの仕組みを一時止めて守り、安全性を確かめたバックアップからシステムを戻しましたが、受注の再開までは約2か月かかりました。経緯と、同じ年のアスクルの事例から中小の職場が学べる点は、大手企業のランサムウェア被害に学ぶ記事で順に追っています。

家庭と小さな事務所のNASと外付けHDD

家庭や数人の事務所でよく使われるネットワーク接続のHDD（NAS）も、それ自体が暗号化の対象になります。2022年1月から広がった「DeadBolt」と呼ばれるランサムウェアは、インターネットから直接アクセスできる状態のNASを狙い、オランダ警察の説明では、世界で2万台を超える機器を暗号化しました。家の中に置いてある機器でも、外から届く設定のまま、古いファームウェアや弱いパスワードで使っていれば、被害の対象になります。

国内でも、小さな組織や部署のNASの被害が続けて公表されています。一般社団法人の日本ご当地キャラクター協会は2026年6月、データ保管用のNASがランサムウェアに感染し、キャラクターの連絡先のデータが流出した可能性があると公表しました。9月には佐賀大学で、事務部門のNASのファイルが暗号化され、NASを隔離して事務用の端末を数日止めています。どちらも、事務用やデータ保管用に置かれたNASでした。

NASや外付けHDDに自動でバックアップを取る設定は便利ですが、常につながっているあいだは、パソコンが暗号化されたときに一緒に暗号化されるおそれがあります。バックアップに使う装置や媒体は、バックアップのときだけパソコンにつなぐよう、IPAの「5分でできる！情報セキュリティ自社診断」が求めています。NASの設定の見直し方と、つなぎっぱなしにしない控えの回し方はNASや外付けHDDごと暗号化されるランサムウェアの記事にまとめました。

今日やること

数人の職場なら、まず外からつなぐ仕組みの棚卸しをしましょう。確かめるのは3つです。VPN機器やルーターのファームウェアは最新か、辞めた人や使っていない保守用のVPNアカウントが残っていないか、リモートデスクトップがインターネットに向けて開いたままになっていないか。機器を管理している人か、保守を頼んでいる会社に聞きましょう。外からのログインには多要素認証を付け、管理者のパスワードを全部の機械で同じにしないことも、事例の調査報告書で繰り返し指摘されています。

家庭のWindowsパソコンには、ランサムウェアからフォルダーを守る標準の機能があります。「Windows セキュリティ」の中の「コントロールされたフォルダー アクセス」（表示は版によって「フォルダー アクセスの制御」）です。「ウイルスと脅威の防止」のランサムウェアの保護の項目からオンにでき、Microsoftの説明では、既定でドキュメント、画像、ビデオ、ミュージック、デスクトップといったフォルダーを守ります。許可していないアプリはそれらのフォルダーに書き込めなくなるので、動画の編集ソフトなどは許可の一覧に加える手間がかかります。

身代金を求められたときの考え方も、先に決めておきましょう。IPAは組織編の解説書で、原則として身代金は支払わずに復旧を行うこと、支払ってもデータの復元や流出の防止は保証されないこと、支払った組織として再び狙われるおそれがあることを書いています。払わずに済む状態をつくるのが、切り離した控えです。

2位 委託先を狙った攻撃は、預ける側にも預かる側にも関係する

2位の「サプライチェーンや委託先を狙った攻撃」は、守りの固い組織を直接ではなく、つながりのある関連会社や委託先の弱い所から攻める手口です。大企業の部品の取引の話に聞こえますが、小さな職場も、給与の計算、名簿の管理、印刷、ホームページの運用を外に頼む「預ける側」であり、取引先の顧客データを扱う「預かる側」でもあります。

印刷や発送を請け負っていたイセトーは、2024年5月にランサムウェアの被害に遭い、VPNからの不正アクセスで、委託元の自治体や金融機関の情報が盗まれました。和歌山市の課税の情報など15万1,421件、伊予銀行の約25万件など、委託元ごとに件数が公表されています。同社は、本来その情報を扱ってはいけないサーバーに便宜的に保管し、業務の終了後に消すべきデータを消していなかったと説明したと報じられました。

ガス会社や自治体のデータを預かっていた両毛システムズも、2026年8月にVPNのアカウントを悪用されて社内のネットワークに入られ、9月に第3報でランサムウェアの攻撃と確認しました。大東ガスの顧客の情報約12万4,000件や、伊勢崎市の児童生徒のアカウントの情報など、同社の側に保管されていたデータで漏えいのおそれがあると公表されています。ここでも、委託先に残っていた過去のファイルが対象になりました。

預けたデータだけでなく、委託先の端末そのものがきっかけになることもあります。2023年に公表されたLINEヤフーの情報漏えいは、委託先の従業者のパソコンがウイルスに感染したことから始まり、関係会社のシステムを経由して社内のシステムに入られたものでした。漏えいの可能性があるとされたのは、2023年12月時点の公表でユーザーの情報など約44万件で、トークの内容や口座、クレジットカードの情報は含まれていないと同社は説明しています。委託先の1台のパソコンから広がったという経緯は、規模の小さな職場にもそのまま当てはまります。

ソフトウェアの配布元が足がかりにされる形もあります。EmEditorというテキストエディターの開発元は、2025年12月と2026年1月に、公式サイトのダウンロードリンクが改ざんされ、偽のインストーラーが配られていたと公表しました。実行するとパスワードなどの情報を盗まれるおそれがあり、同社は偽のインストーラーを実行した利用者にパソコンの再構築を勧めています。公式サイトから入れても安全とは限らない場面があり、パソコンを作り直すことになったとき、書類や写真の控えが別にあるかどうかで負担が大きく変わります。

預ける側が今日できるのは、どこに何を預けているかの一覧を作ることです。名簿の管理を頼んでいる業者、給与の計算を頼んでいる事務所、ホームページを作った会社、と並べ、それぞれに渡したデータと、契約が終わったときに消してもらう約束があるかを書き出します。2022年にUSBメモリの紛失が起きた尼崎市は、再発防止策として委託先に「データ消去証明書」の提出を義務づけました。小さな職場でも、消去したことを書面でもらうよう頼めます。

控えの話としては、委託先が止まっても自分の手元で仕事を続けられるかを確かめましょう。顧客の名簿や帳簿の原本を委託先のシステムの中にしか置いていないと、相手が止まった日から何もできなくなります。預かる側としての決め事と、委託先を選ぶときに確かめる項目は、委託先から漏れる・止まる事例の記事で詳しく書いています。

3位 AIの利用をめぐるサイバーリスクは、家庭では偽サイトと偽の顔で来る

今回初めて入ったのが3位の「AIの利用をめぐるサイバーリスク」です。中身について、IPAの解説書は3つに分けて説明しています。1つ目は、職場で許可されていないAIのサービスに業務の資料を貼り付けて、情報が漏れること。2つ目は、AIがもっともらしい誤りを作る（ハルシネーション）のを確かめずに使うこと。3つ目は、攻撃する側がAIを使って、自然な日本語の偽メールや攻撃の準備を簡単に作れるようになったことです。攻撃の側の手間が減った例も、解説書に載っています。2025年2月、不正に手に入れたIDとパスワードを機械的に入力するプログラムで携帯電話の回線を契約したとして、中高生3人が逮捕された件です。プログラムは生成AIを補助に使って自作したものでした。

家庭や個人の作り手のところへは、偽のサービスの形でやって来ます。Google傘下のMandiantは2025年5月、「AIで動画を作る」とうたう偽のサイトが30を超えると報告しました。SNSの広告で人を誘い、作った動画に見せかけた実行ファイルを渡して、ログイン情報やクレジットカードの情報を盗むウイルスを入れさせる手口です。偽サイトは実在の有名なAIサービスの名前を使っていましたが、名前を使われた側も被害者です。動画の編集ソフトを装う例も含めた見分け方は、偽の動画編集ソフト・AI動画サイトの記事で取り上げています。

もう一つは、人の顔と声をまねる詐欺です。2024年2月に香港警察が公表した事件では、多国籍企業の香港の社員が、本社の最高財務責任者を名乗る相手とのビデオ会議に招かれたあと、約2億香港ドルを送金しました。香港警察の説明では、会議に出ていたほかの参加者はすべてディープフェイクで作られた偽物でした。国内でも、海外の拠点からビデオ通話で警察官を装い、顔をAIで作っていた詐欺の一味が逮捕されたと、警察庁が2026年9月の資料で明らかにしています。

見破る力に頼らず、手順で防ぐのが現実的です。送金や口座の変更を頼まれたら、その通話やメールとは別の、前から登録してある電話番号で本人に確かめましょう。警察庁は、警察官や検察官が突然ビデオ通話をかけてくることも、ビデオ通話で警察手帳や逮捕状を見せることもないと注意しています。本物の映像の原本を残しておく話も含めて、ディープフェイク詐欺から身を守る記事で扱いました。

職場では、AIの使い方の決まりを一つ作っておくと迷いが減ります。顧客の名前や契約の中身など社外に出せない情報は、個人のアカウントのAIに貼らない。仕事で使うサービスは、入力したデータを学習に使わない設定（オプトアウト）を確かめる。これに加えてIPAは、決裁や承認を複数の人で確かめる手順を決めておくことも挙げています。

4位と8位は、更新が止まった機器から入られる話

4位の「システムの脆弱性を悪用した攻撃」は、修正プログラムが出たのに当てていない期間を狙われるものです。弱点の発見から悪用までの時間は短くなっており、修正の情報が出たら早く対策するよう解説書は求めています。家庭では、パソコンとスマホの自動更新をオンにし、更新を「あとで」にしたまま何日も置かないことが、そのまま4位への備えになります。

小さな店や事務所で見落とされやすいのが、ホームページです。IPAの解説書は、VPN機器などのネットワーク機器や、ホームページを作る仕組み（CMS。追加の部品であるプラグインを含む）のように、インターネットから直接アクセスできる製品の弱点は、攻撃の道具が公開されると多くの組織に被害が及ぶおそれがあると書いています。ホームページを作ってもらったまま更新を誰も担当していない状態なら、本体とプラグインの更新を誰がいつするかを、制作を頼んだ会社と決めておきましょう。書き換えられたときに戻せるよう、ホームページのデータの控えがどこにあるかも確かめておきましょう。

更新そのものが届かない機械は別の話になります。Windows 10のサポートは2025年10月14日に終わり、個人向けの拡張セキュリティ更新（ESU）に登録した機器だけが、2027年10月12日まで更新を受け取れます。IPAは、サポートが終わると新しく見つかった弱点が直らず、それを使った攻撃で情報が漏れたりサービスが止まったりするおそれが高まると注意しています。米国CISAの「悪用が確認された脆弱性」の一覧には、2024年以降に公開されたWindowsの弱点が2025年9月末時点で41件あり、ランサムウェアに使われたものも含まれます。

個人向けのESUには、パソコンの設定の同期を使って無料で登録する方法、Microsoft Rewardsの1,000ポイントで登録する方法、30米ドル（または現地の通貨の相当額と税）を払う方法があります。1回の登録で、同じMicrosoftアカウントの最大10台まで対象になります。無料で登録できる条件などは地域で違うことがあるので、登録の画面で確かめましょう。提供の期間は、Microsoftが2026年6月に1年延ばしたものです。古い情報のまま「もう更新は終わった」とあきらめている場合は、登録の状態を確かめ直す価値があります。ただしESUはあくまで暫定の措置で、IPAも根本の対策はサポートが続くOSへの移行だとしています。

Webの閲覧データにもとづく集計サイトStatCounterの2026年9月分では、日本のデスクトップのWindowsのうちWindows 10は約2割（21.04%）でした。台数の割合ではありませんが、まだ使っている家庭や職場が少なくないことはうかがえます。買い替えの前に動画や写真を安全に移す手順は、Windows 10のまま使い続けるリスクの記事にあります。

ルーターと防犯カメラ

パソコンより見落とされやすいのが、ルーター、ネットワークカメラ、見守りカメラです。総務省と情報通信研究機構（NICT）などが進める「NOTICE」の調査では、2026年8月分で、IDとパスワードが容易に推測できるIoT機器が月に1万3,708件見つかっています。カメラ以外の機器も含んだ数で、映像が見られている台数ではありませんが、初期設定のまま使われている機器が今も多いことが分かります。

総務省は2025年12月23日の注意喚起で、ネットワークカメラの管理者が確かめる点を3つ挙げました。パスワードが設定され推測されにくい強さになっているか、ファームウェアが最新でサポートが続いているか、使わない機能が有効になっていないか、です。サポートが終わった製品は、買い替えを考えるよう求めています。録画を消されない保存のしかたも含めて、防犯カメラ・見守りカメラの乗っ取り対策の記事で手順を書きました。

8位 リモートワークの環境

8位の「リモートワーク等の環境や仕組みを狙った攻撃」は、1位の侵入経路とほぼ重なります。解説書が引く警察庁の統計では、ランサムウェアの感染経路のうちVPN機器とリモートデスクトップの合計が、2022年の80.4%から2025年の87.0%まで上がってきました。在宅で仕事をする人の自宅の機器も、会社の守りの一部になったということです。

IPAが従業員向けに挙げている対策は、家庭でもそのまま使えます。自宅ではルーターを通してインターネットにつなぐ、家庭のネットワーク機器の設定を見直してファームウェアを更新する、会社が決めた端末と場所で仕事をする。職場の側では、サポートが切れた機器や手入れのできない機器を使わないこと、外からのログインに多要素認証やパスキーを使うことが挙げられています。

5位の標的型攻撃と6位の地政学的リスクは、小さな職場にどう届くか

5位の「機密情報を狙った標的型攻撃」と6位の「地政学的リスクに起因するサイバー攻撃（情報戦を含む）」は、国の機関や大きな会社が相手の話に見えます。社員が数人の職場が直接の目的になることは多くありませんが、取引先に近づくための足がかりにされる、使っているサービスが巻き込まれて止まる、という形で届きます。

標的型攻撃でよく使われるのは、業務や取引に関係する内容を装ったメールです。日本や台湾の行政機関を狙う集団が、2025年3月ごろ、OneDriveのリンクを埋め込んだメールを送り、開かせてウイルスを入れる手口を使ったことも、IPAの解説書に載っています。Microsoftも2024年10月、乗っ取った取引先のアカウントからファイル共有の通知を送り、IDとパスワードと多要素認証の応答をまとめて盗む手口を報告しました。知っている相手からの共有通知でも安心できないということです。

ファイル共有の通知を受け取ったら、開く前に、送ってきた人に電話や別のメッセージで「いま送りましたか」と確かめましょう。ファイルを受け取るだけなのにIDやパスワード、カード番号の入力を求められたら、そこでやめましょう。通知の見分け方と、こちらから送るときの安全な渡し方は、ファイル共有を装う偽メールの記事で整理しました。

職場の機器が、気づかないうちに他の組織への攻撃の中継に使われることもあります。IPAは2025年10月31日、ネットワークの境界に置くVPN機器などの弱点が悪用され、乗っ取られた機器が第三者への攻撃の踏み台に使われるおそれがあると注意を呼びかけました。対策には、早めの修正の適用、機器の更新、監視の強化が挙がっています。5位の標的型攻撃でも、数人の職場がまったく無関係とは言えないのは、このためです。

6位について、IPAは国家を背景にしたDDoS攻撃、ランサム攻撃を装った攻撃、偽情報による影響工作を挙げ、日本でも外国への経済制裁に対する報復などを動機としたDDoS攻撃が観測されていると書いています。小さな店や団体にとって現実的な備えは、自分のサイトや予約の受付が止まったときに、SNSや店頭の掲示、電話で知らせる手段を決めておくことと、出どころの分からない情報を広めないことです。6位の対策として、IPAはバックアップの運用と、ウェブサイトが止まったときの代替のサーバーや告知の手段も挙げています。

7位 内部不正｜持ち出しも削除も紛失も、同じ棚の話

7位の「内部不正による情報漏えい等」は、意図的な持ち出しや削除だけの話ではありません。IPAの解説書の定義では、組織の決まりに反した持ち出しや、不注意で情報をなくして漏えいにつながる場合も含まれます。2025年版まで別の項目だった「不注意による情報漏えい等」が圏外に出たあとも、紛失はこの7位の中で扱われていると読めます。

意図的な持ち出しの例は、NTT西日本の子会社のNTTビジネスソリューションズです。コールセンターのシステムの運用を担っていた元派遣社員が、管理者のアカウントを悪用して、2013年7月から2023年2月ごろまで顧客の情報を持ち出し、第三者に流していました。2023年12月の続報で、件数は69のクライアントの928万件になっています。グループ全体の緊急点検では、443のシステムのうち16%で会社が許可していない記録媒体や端末をつなげる状態だったことも公表されました。

紛失の例としてよく知られるのが、2022年6月の尼崎市です。給付金の業務を受けた会社の再々委託先の従業員が、全市民46万517人分の住民基本台帳の情報などを入れたUSBメモリを、かばんごと一時なくしました。調査委員会は、USBメモリや関係するパソコンを調べた結果、個人情報の漏えいは確認されなかったとしています。一方で、市の承諾のない再委託と再々委託、鍵付きの金属ケースで運ぶ決まりが守られていなかったこと、市の側の確認も十分でなかったことを指摘しました。

小さな職場でできることは、3つあります。アカウントを人ごとに分けて、共用をやめること。辞めた人のIDを、その日のうちに止めること。個人情報を持ち出さない決まりを作り、どうしても持ち出すときは暗号化と許可と作業後の消去をセットにすることです。USBメモリを使うときの決まりと、媒体を選ぶときの考え方はUSBメモリの感染と紛失の事例の記事に書きました。

持ち出しの手段として、USBメモリは今も使われています。IPAの解説書は、2025年6月にソフトバンクの委託先の会社から約14万件の顧客情報が流出した可能性があると発表された件を挙げています。委託先の協力会社の元社員が事業所に不正に立ち入り、情報を管理する端末にUSBメモリをつなぐ様子が、監視カメラの映像で確認されたという事例です。許可していない媒体をつなげない設定と、つないだ記録を残す仕組みは、規模の小さな職場でも考えておきたい点です。

控えの役目は、ここでも半分です。消された、書き換えられたファイルは、世代を分けて残した控えから戻せます。持ち出された情報は戻りません。そして控えの媒体そのものも、なくせば中身を読まれます。ディスクでもHDDでも、個人情報が入った控えは、鍵のかかる場所と持ち出しの決まりとセットで考えましょう。

9位のDDoS攻撃と10位のビジネスメール詐欺は、控えでは取り戻せない

9位の「DDoS攻撃（分散型サービス妨害攻撃）」は、乗っ取った多数の機器から一斉に大量の通信を送り付け、サイトやサービスを使えなくする攻撃です。解説書には、2つの例が載っています。一つは、2025年6月から7月にかけて、ある研究所のメールの受信やホームページへのアクセスが断続的にできなくなり、原因がDDoS攻撃だったと公表された例。もう一つは、2025年7月30日に、レンタルサーバー会社のウェブメールが大量のログインの試みでつながりにくくなった例です。

DDoS攻撃では、データは手元に残ったまま、サービスが止まります。控えがあっても、止まっているあいだの問い合わせや予約は受けられません。小さな店や団体が備えられるのは、サイトやメールが止まったときに代わりに知らせる手段を決めておくこと、レンタルサーバーやメールの事業者の障害情報をどこで見るかを確かめておくこと、くらいです。

家庭が関わるのは、むしろ攻撃に使われる側としてです。2016年に大きな被害を出した「Mirai」と呼ばれるウイルスは、初期設定のIDとパスワードのままのカメラや録画機などを乗っ取って攻撃に使いました。米国のUS-CERT（現在のCISA）は当時、よくある初期のIDとパスワードの組み合わせ62通りで次々にログインする仕組みだと注意を出しています。機器の初期パスワードを変えることは、自分の家を守るだけでなく、ほかの誰かを攻撃する道具にされないための手当てでもあります。

10位の「ビジネスメール詐欺」は、取引先や経営者になりすまして偽の口座に振り込ませる詐欺です。事例としては、ある会社の子会社が海外の製造委託先からの偽の支払い依頼に応じ、約1,400万円の損失を出したと2025年1月に公表された件が、解説書に載っています。偽のメールは取引先の担当者の正規のアドレスから届いており、アカウントを乗っ取ったうえで一定期間メールを盗み見ていたとみられています。

2025年12月ごろからは、社長や役員を名乗るメールで社員に「LINEのグループを作ってQRコードを送って」と頼み、そのグループで口座の残高を答えさせて送金させる手口が相次いでいます。警察庁の令和8年上半期の資料では、経営者になりすますこの種の詐欺は、2026年1月から6月で認知が127件、被害額は約38億8,000万円でした。

ビジネスメール詐欺への備えは、手順で決めるしかありません。IPAが挙げているのは2つです。お金を払う業務は複数の人で確かめて承認し、一人で判断を終えないこと。振込や口座の変更の依頼があったら、普段の連絡手段とは別に前もって決めた経路で確かめ、電話やメールだけでは受け付けないことです。小さな会社なら、「振込先を変える連絡は、登録済みの電話番号に折り返してから」「社長からの急ぎの送金指示は、口頭で本人に確かめてから」の2行を紙に書いて経理の机に貼るだけでも違います。

送ってしまったら、控えの出番はありません。すぐに振込先の銀行と自分の銀行に連絡し、警察に相談しましょう。そのときに役立つのは、届いたメールやメッセージ、振込の記録をそのまま残しておくことです。消して忘れたい気持ちになりますが、記録は相談の材料になります。

ランク外の「止まる」「消える」にも、同じ控えで備える

IPAが留意事項で例に挙げた「予期せぬIT基盤の障害に伴う業務停止」は、攻撃がなくても起きます。2024年7月19日、セキュリティ企業CrowdStrikeのWindows向け製品に配信された設定ファイルに不具合があり、それを受け取ったWindowsが起動の途中で青い画面のまま止まりました。配信されていたのは日本時間の13時09分から14時27分までの78分間で、Microsoftは約850万台が影響を受けたと推定しています。全体のWindows機器の1%未満とされる数でも、止まった機械を1台ずつ手で直すしかありませんでした。

このとき復旧の手間を左右したのが、BitLockerの回復キーです。Microsoftの復旧の手順では、セーフモードに入るときやシステムの復元を使うときに回復キーの入力を求められる場合があり、別の端末から回復キーを確かめる方法が案内されました。回復キーが手元に無ければ、そこで作業が止まります。CrowdStrikeの分析では、7月29日の時点で約99%のセンサー（端末に入っている同社の製品）が戻りました。

家庭や職場でできる備えは2つです。パソコンのBitLockerの回復キーを、Microsoftのアカウントなどどこで確かめられるのか、使える別の端末から一度見ておくこと。そして、パソコンが起動しなくても、家の記録や仕事の書類を開ける控えを、別の機械か媒体に持っておくことです。攻撃への備えとして作った切り離した控えは、こうした障害のときにもそのまま使えます。

サービスの側の事情で見られなくなることもあります。2023年11月には、Googleドライブのパソコン版の一部の版で、まだ同期されていなかった手元のファイルが消える不具合が報じられました。修正版と復元の道具が出ましたが、手元のキャッシュが消えていると戻せない場合があったとされています。大手のクラウドが頻繁にデータを失うわけではありませんが、障害、方針の変更、同期の不具合は、条件がそろえば起きます。

人の操作による失敗も、攻撃と同じくらい身近です。東京商工リサーチの集計では、2025年に上場企業とその子会社が公表した個人情報の漏えい・紛失の事故180件のうち、メールのCCとBCCの取り違えなどの誤表示・誤送信が37件（20.5%）でした。送ってしまったメールは控えでは取り消せません。一方で、誤って消した、上書きした、という失敗なら、世代を分けた控えから前の版に戻せます。

個人編の10項目は、アカウント・お金・気持ちの3つに分けると対策が決まる

個人編の10項目は順位がないぶん、どこから手を付けるかを自分で決める必要があります。被害の形で分けると、アカウントや情報を取られる4項目、お金を直接取られる4項目、不安や怒りにつけ込まれる2項目になります。分け方ごとに、効果の大きい設定が違います。

アカウントと情報を取られる4項目

「個人情報の窃取」「不正ログイン」「フィッシング」「不正アプリ」は、どれもIDとパスワードやスマホの中身を取られる被害です。フィッシング対策協議会への報告は2025年に245万4,297件で、過去最多になりました。年が明けた2026年は、月ごとの報告がおおむね6万件から20万件のあいだで上下しています。名前を使われる会社は、通販、Apple、クレジットカード会社が上位に来る月が多く、2026年は航空会社や官公庁を装うものも増えています。

2025年春には、証券会社を装う偽サイトで盗まれたIDとパスワードで口座に入られ、勝手に株を売買される被害が急に増えました。警察庁が2026年3月に公表した資料では、2025年に不正アクセスが1万7,668件、不正に売買された金額は約7,400億円でした。偽サイトにワンタイムパスワードまで入力させる手口に対して、日本証券業協会は2025年10月にガイドラインを改め、ログインや出金のときにパスキーなどフィッシングに強い認証を必須にするよう各社に求めました。

パスキーは、指紋や顔、端末のロック解除でログインする方式で、鍵が本物のサイトの住所と結びついているため、偽サイトに誘われても認証が通りません。IPAも個人編のハンドブックで、使えるなら極力使うよう勧めています。ただ、端末がウイルスに感染してログイン済みの状態を盗まれる手口までは防げないので、更新と、出どころの分からないアプリやファイルを開かないこととセットで考えましょう。証券口座の事例と設定の手順はフィッシング詐欺の最新の手口の記事にあります。

個人のアカウントの被害は、職場の被害の始まりにもなります。2024年6月に大規模な攻撃を受けたKADOKAWAは、同年8月の公表で、フィッシングなどで従業員のアカウント情報を盗まれたことが根本の原因と推測されるとし、具体的な経路や方法は分かっていないとしました。漏えいが確認された個人情報は合計25万4,241人分です。家でメールのリンクから入力しない習慣は、勤め先のアカウントを守ることにもつながります。

不正アプリは、SMSやメールの案内から入れさせる形が中心です。フィッシング対策協議会は2026年9月30日、国税庁を装って不正なアプリを入れさせるメールに注意を呼びかけ、その時点で国税庁のスマホ向けのe-Taxアプリは提供されていないと書き添えました。アプリは公式のストアから入れる、使わないアプリは消す、必要以上の権限を求めるアプリは入れない、の3つが基本です。

QRコードを使う手口もあります。IPAの個人編のハンドブックによれば、看板やチラシ、郵送物に、偽サイトへ誘うQRコードが見つかっています。例として挙がっているのは、2025年10月に電気通信大学が公表した、京王線の車内の広告に偽のQRコードが貼られていた件です。QRコードの行き先は読み取る前には目で確かめられないので、支払いや送金、ログインに進む画面では、開いたページが自分の思っている相手かを確かめてから入力しましょう。

お金を直接取られる4項目

「インターネットバンキングの不正利用」「クレジットカード情報の不正利用」「スマホ決済の不正利用」「サポート詐欺」は、被害がそのままお金で出ます。警察庁によると、ネットバンキングの不正送金は2025年に4,747件、約104億円で、それまで最も多かった2023年の約87億円を上回りました。手口の約9割がフィッシングです。一方、2026年上半期は約20億7,000万円で、前の年の同じ時期より51%減っています。

クレジットカードの不正利用の被害額は、日本クレジット協会の集計を警察庁が引いた数字で、2025年が約510億円でした。スマホ決済では、偽の通販サイトで「欠品のため決済アプリで返金します」と連絡され、返金の手続きのつもりで操作したら逆に相手へ送金していた、という手口を消費者庁が2025年2月に注意喚起しています。返金のために決済アプリを操作させる相手は、まず詐欺を疑いましょう。

税金や公共料金、保険料、カードの請求を装い、キャッシュレス決済の請求画面へ誘導して送金させる手口も、2026年4月に急に増えました。4月下旬には、フィッシング対策協議会への報告の約5割をこの型が占める日が続いています。協議会は、この手口では被害に遭っても補償されないと注意しています。請求の連絡が来たら、メールのリンクからではなく、自分で決済アプリや事業者の公式サイトを開いて、本当に請求があるかを確かめましょう。

サポート詐欺は、ウェブを見ている最中に偽のウイルス警告を出し、画面の番号に電話をかけさせて遠隔操作のソフトを入れさせる手口です。偽のウイルス警告についての相談は、IPAの個人向けの相談窓口に、2026年4月から6月の3か月で1,428件寄せられました。警察庁の統計では、2025年の被害の認知件数は前の年より減った一方、被害額は約1.5倍の14.9億円に増えています。IPAは、警告画面が出ただけならパソコンはウイルスに感染していないので、画面を閉じれば問題ないと説明しています。遠隔操作されてしまった後の手順は、サポート詐欺の偽警告で遠隔操作されたらの記事で順に書きました。

お金の4項目に共通する設定は、利用の通知を受け取ることです。銀行、カード、決済アプリのそれぞれで、ログインや支払いのたびに通知が届く設定にしておけば、身に覚えのない動きに早く気づけます。銀行やカード会社のサイトは、メールやSMSのリンクから開かず、公式のアプリかブックマークから開く習慣にしましょう。

不安や怒りにつけ込まれる2項目

「ネット上の誹謗・中傷・デマ」と「メールやSNS等を使った脅迫・詐欺の手口による金銭要求」は、技術より気持ちの隙を突かれる被害です。脅迫の型には、「パソコンをハッキングした」「恥ずかしい動画を撮った」と怖がらせるもの、公的な機関を名乗って急がせるもの、恋愛や投資の話で信じ込ませるものがあります。対処としてIPAが案内しているのは、無視する、メールに書かれた電話番号にかけない、警察相談専用電話の#9110や消費者ホットラインの188に相談する、の3つです。

誹謗中傷を受けたときにIPAが最初に挙げているのは、投稿や掲載された情報を記録して保存することです。画面の写し、URL、投稿の日時を残してから、違法・有害情報相談センターなどの窓口、弁護士、警察に相談し、掲示板の管理者やプロバイダーに削除を頼みます。ここでいう「控え」は、データを戻すためではなく、相談と手続きのための記録です。デマについては、広める前に出どころを確かめることが、自分が加害の側に回らないための手当てになります。

アカウントを失ったとき、写真と動画をどこに残しておくか

個人編の「不正ログイン」の先にある、家庭でいちばんこたえる被害は、スマホの写真や動画を預けているアカウントに入れなくなることです。乗っ取られてパスワードと電話番号を変えられた場合だけでなく、乗っ取りと関係なくアカウントを止められる場合もあります。

2022年8月にニューヨーク・タイムズが報じた米国の例では、ある父親が、子どもの患部の写真を医師に見せるためにスマホで撮ったところ、Googleからポリシー違反としてアカウントを無効にされました。警察は捜査の結果、犯罪には当たらないと判断しましたが、Googleはアカウントを戻さなかったと報じられています。10年以上のメール、連絡先、写真、ファイルに加え、Googleの携帯回線の電話番号まで使えなくなりました。報道各社が教訓として挙げたのは、定期的にデータを書き出すことと、一つのアカウントにすべてを預けないことでした。

使わないことで消える場合もあります。Googleは、2年間使われていない個人のアカウントを無効とみなし、Gmail、ドライブ、Googleフォトを含むデータを削除の対象にしています。削除の前には通知が届きますが、亡くなった家族や、子どもの頃に作ったアカウントの写真は、通知に気づく人がいないまま期限を迎えることがあります。

乗っ取りに備える設定は、取り戻すための手段を先に作っておくことです。Appleのアカウントには28文字の「復旧キー」を設定でき、iPhoneでは「設定」から自分の名前、「サインインとセキュリティ」と進んだ所にあります。紛失するとAppleは再発行できないので、紙に書いて家の中の決まった場所に置きましょう。同じ場所から、信頼できる人を最大5人まで「復旧用連絡先」に登録でき、その人はアカウントの中身は見られず、復旧のためのコードを伝える役だけを担います。Googleの2段階認証には、1回ずつ使える8桁のバックアップコードが10個1組で用意されています。

パスワードを戻せなくなったときのAppleの「アカウントの復旧」は、安全のために数日以上かかることがあり、サポートに頼んでも短くはなりません。そのあいだも写真と動画を手元で見られるように、クラウドとは別の場所へ年に一度は書き出しておきましょう。アカウントを取り戻す手順と、手元に残す控えの作り方はApple・Googleアカウントを乗っ取られたら写真と動画はの記事で書いています。

家庭で今日やる設定は、この順番で30分

ここまでの20項目を家庭の作業に直すと、今日のうちにやることは6つに収まります。設定の場所は機種やOSの版で変わるので、項目の名前で探してください。順番は、毎日の注意力に頼らずに済むものを先にしています。

スマホとパソコンの設定

1. スマホとパソコンの自動更新をオンにし、止まっている更新があれば今日のうちに当てる
2. Apple、Google、LINE、銀行、通販のアカウントに、パスキーか2段階認証を付ける
3. Appleの復旧キーやGoogleのバックアップコードを作り、紙に書いて保管する
4. ルーターの管理画面のパスワードを初期値から変え、ファームウェアを更新する
5. 見守りカメラやネットワークにつながる家電の初期パスワードを変える
6. 銀行、カード、決済アプリで、ログインと支払いの通知を受け取る設定にする

1つ目の更新は、4位と8位、それにランサム攻撃の侵入経路の多くを一度に減らします。Windowsは「設定」の「Windows Update」、iPhoneは「設定」の「一般」にあるソフトウェアアップデートで自動の更新を確かめましょう。Windows 10を使っていて拡張セキュリティ更新に登録していない場合は、更新が届いていないので、買い替えか移行を先に考えましょう。

2つ目と3つ目は、個人編の不正ログインとフィッシングへの備えです。パスキーに対応したサービスは、ログインや設定の画面に「パスキー」の項目が出ます。対応していないサービスでも、SMSやアプリで確認コードを受け取る2段階認証は付けておきましょう。ただし、偽サイトや電話で確認コードまで聞き出す手口があるので、コードは自分でログインしているとき以外は誰にも伝えないと決めておきましょう。LINEのヘルプでは、［ホーム］から［設定］、［アカウント］と進んだ所で、パスワードの変更と「Webログインの2要素認証」のオンが案内されています。

4つ目と5つ目は、家の機器を攻撃の踏み台にされないための手当てです。ルーターの管理画面は、ルーターの本体や説明書に書かれた住所をブラウザで開けば入れることが多く、初期のパスワードが本体のシールに印刷されている機種もあります。カメラは、総務省が挙げる3点（強いパスワード、最新のファームウェアとサポートの継続、使わない機能を切る）を一つずつ確かめましょう。

家族で決めておく約束

設定と同じくらい役に立つのが、家族のあいだの短い約束です。正規のセキュリティサービスの警告画面に電話番号は表示されないと、IPAの個人編のハンドブックは書いています。「画面に出た番号には電話しない」「慌てたら家族に一度相談する」を、高齢の親とも共有しておきましょう。

2つ目の約束は、お金と番号の話を、届いたメッセージの中で完結させないことです。フィッシング対策協議会は、正規の事業者が電話でワンタイムパスワードや暗証番号を尋ねることはないとしています。家族を名乗るメッセージで急な送金を頼まれたら、登録してある電話番号にかけて本人の声で確かめましょう。

3つ目は、写真と動画の控えを誰が作るかです。スマホの写真はクラウドに自動で上がっていても、家族の誰も手元に写しを持っていない家は少なくありません。担当を一人決め、年に一度、誕生日や年末など忘れにくい日に、クラウドから書き出して別の媒体に移しましょう。家庭で今日確かめる項目を一覧にしておきます。

離れて暮らす親のスマホとパソコン

サポート詐欺や、警察などをかたる詐欺は、親の世代にも先に伝えておきたい手口です。警察庁の確定値では、2025年に65歳以上の人が遭った特殊詐欺の被害は1万4,273件、841.1億円でした。警察官などをかたる「ニセ警察詐欺」は2025年に認知が1万1,014件、被害額は1,005.0億円で、特殊詐欺の被害額全体の70.6%を占めています。

帰省や電話のついでに、3つだけ一緒に確かめておきましょう。警察官や検察官がビデオ通話をかけてくることも、ビデオ通話で警察手帳や逮捕状を見せることもないこと。パソコンの警告画面に出た番号には電話しないこと。お金の話が出たら、いったん切ってから家族に電話すること。親のアカウントに2段階認証を付けたなら、復旧キーやバックアップコードの紙を親の家のどこに置いたかも、家族で共有しておきましょう。

数人の職場・店で、今週のうちに決めておくこと

職場では、設定に加えて「誰が何をするか」を決めることが対策の中心になります。手がかりになるのが、IPAが2026年3月27日に公開した「中小企業の情報セキュリティ対策ガイドライン」第4.0版です。基本の「情報セキュリティ5か条」に「バックアップを取ろう！」が加わって6か条になりました。残りの5つは、OSやソフトウェアを最新にする、ウイルス対策ソフトを入れる、パスワードを強くする、共有の設定を見直す、脅威や攻撃の手口を知る、です。

同じガイドラインの付録に「5分でできる！情報セキュリティ自社診断」があり、25問に答えると100点満点で今の状態が分かります。バックアップは5問目で、対策の例として、重要な情報を定期的に控える、使う装置や媒体はバックアップのときだけパソコンにつなぐ、安全な場所に保管する、戻せるかを定期的に確かめる、などが挙がっています。取り組みを外に示したい職場には、自分で宣言する「SECURITY ACTION」の制度があり、2026年4月から申し込みにGビズIDが必要になりました。IPAが認定する制度ではないので、名乗るときは「宣言した」と言いましょう。

今週のうちに決めて、紙1枚に書いておきたいのは次のことです。

• パソコン、ルーター、VPN機器、NASの管理を誰が受け持つか。保守を頼んでいる会社の連絡先
• アカウントを人ごとに分け、共用のIDとパスワードをやめる時期
• 外から社内につなぐ仕組みと、その利用者の一覧
• 振込先の変更や急ぎの送金を、誰がどの経路で確かめるか
• 控えの担当、頻度、置き場所。切り離す控えを誰が持ち帰るか
• 被害に気づいたときに最初に電話する相手の順番

2026年10月1日には、いわゆる能動的サイバー防御の法律にもとづいて、基幹インフラの事業者に攻撃の報告などを求める制度が動き出しました。対象は電力、ガス、鉄道、金融など15分野の258事業者で、一般の中小企業に報告の義務がかかるわけではありません。取引先から対策の確認を求められることはあり得るので、上の紙1枚はそのときの説明にも使えます。

学校・園・自治会・PTAなどの団体

団体は、役員や係が年ごとに替わるため、パソコンや共有アカウントのパスワードを誰が持っているか分からなくなりがちです。2025年7月には奈良市の中学校で、公用のクラウドにPTA総会の資料を置いたときに共有の範囲を誤り、県内の教育関係者や児童生徒が見られる状態になっていたことが公表されました。共有の範囲は、置いた人とは別の人が、別のアカウントで見え方を確かめると誤りに気づきやすくなります。

映像の共有でも同じことが起きています。2024年3月には埼玉県の県立の特別支援学校で、学校生活の写真で作った動画を保護者に限って公開するつもりが、動画サイトで外部から見られる状態になっていたことが公表されました。生徒約50人が映り、そのうち18人は氏名が分かる状態でした。保護者の指摘で同じ日に非公開に戻しています。限定公開やリンクを知っている人だけの共有は便利ですが、設定の確認を2人で行う、配る相手が決まっている映像はディスクなど手渡しできる形にする、といった選び方もできます。

名簿や会計の記録は、年度の終わりに1回、引き継ぎの資料と一緒に控えを作り、新旧の担当がそろって確かめてから保管場所を決めましょう。個人情報が入る控えは、鍵のかかる場所に置き、持ち出す人を決めておきましょう。小さな団体のパソコンが感染したときの動きと、年1回の控えの作り方は自治会・PTA・NPOのパソコンが感染したらの記事にまとめました。控えを回す1年の段取りの例を図にしておきます。

戻せる控えの組み方｜写しは3つ、媒体は2種類、1つは切り離す

控えの組み方の目安としてよく紹介されるのが「3-2-1」です。データの写しを元を含めて3つ持ち、2種類の媒体に分け、1つは職場や家の外に置く、という考え方です。米国の写真家ピーター・クローの著書で広まったとされ、米国の政府機関CISAも中小企業向けのページで信頼できる指針として紹介しています。法律や公的な基準で決まった規則ではなく、経験から出た目安です。クラウドとディスクを組み合わせた具体的な組み方はクラウドとDVDを組み合わせる3-2-1の記事で書いています。

ランサム攻撃が1位を続けている今は、3つのうち1つを「切り離す」ことが欠かせません。公的機関の言い方はそろっています。IPAの自社診断はバックアップの装置や媒体をバックアップのときだけつなぐよう求め、総務省は同じネットワークにバックアップをつなぐと共倒れのおそれが高まると説明しています。警察庁も、暗号化への備えとしてオフラインのバックアップを挙げています。オフラインかどうかは媒体の種類では決まらず、つながっているかどうかで決まります。外付けHDDも外して棚に置けば切り離された控えになり、ディスクもドライブに入れたままなら切り離されていません。

「別の場所」の意味が分かりやすい例もあります。鳥取県の環境放射線の監視システムが2026年9月に攻撃を受けたとき、県庁内の主監視局のサーバーはファイルが暗号化されて止まりましたが、遠隔地の副監視局は被害を受けず、放射線の監視は続きました。同じ役目のものを離れた場所にもう一つ持っていたことが、止まらずに済んだ理由です。家庭や小さな職場の控えも、同じ建物の中に全部を置かないことが出発点になります。

中小企業向けのIPAのガイドラインの実践編は、控えを本番の環境から物理的に離した場所に置く「物理的隔離」の保管先の例として、外付けのストレージ、可能な限り遠隔地、銀行の貸金庫、信頼できる取引先や関連会社を挙げています。小さな職場なら、社長の自宅と事務所で控えを交換する、近くの別の事業所に預ける、といった形がこれに当たります。総務省も、媒体は鍵のかかる場所に保管するよう書いています。

もう一つは、時点を分けて持つことです。同じガイドラインは「世代管理」として、直近4日分を残す例を図で示しています。IPAが2026年9月に公開した「ランサムウェア被害から学ぶ教訓集」は、侵入が始まる前の時点の控えなら安全と判断できるため、侵入の時期を特定できるようにログを残すことを勧めています。アスクルの事例では、最初の侵入が2025年6月5日、暗号化が10月19日で、4か月以上のあいだがありました。直近の数日分しか残していない控えでは、侵入が始まる前の時点まで戻れないことがあります。

米国CISAは中小企業向けのページで、少なくとも7日前まで戻せるようにしておくことを勧めています。2023年7月に名古屋港のコンテナターミナルのシステムが止まった件でも、国土交通省の委員会は、バックアップの取得の対象と保存の期間が足りなかったことを問題点に挙げました。

クラウドの「戻せる期間」も確かめておきましょう。2026年10月時点の各社のヘルプでは、個人用のOneDriveのごみ箱は削除から30日、OneDrive全体を過去30日以内の時点に戻す機能はMicrosoft 365の契約が必要です。Googleドライブのごみ箱は30日、アップロードしたファイルの古い版は30日か新しい版が100個できると消えることがあります。Dropboxはプランによって30日から365日、iCloud Driveの「最近削除した項目」は30日です。どれもプランや管理者の設定で変わり、期間を過ぎてから気づけば戻せません。

Microsoftは、Microsoft 365がランサムウェアの攻撃を見つけると端末への通知とメールで知らせ、OneDriveを戻す日付が自動で入る仕組みを案内しています。サブスクリプションの無いアカウントでも、最初の通知と復旧は1回だけ無料です。同じ案内は、戻す前に端末からウイルスを取り除いておかないと、戻したファイルがまた暗号化されるおそれがあるとも書いています。クラウドの機能で戻すときも、順番は被害に気づいたあとの節で書く流れと同じです。

パソコンのフォルダーと同期するクラウドについて、パソコンで暗号化されたファイルがそのまま同期されると明言した公式の文書は見当たりませんが、各社の復旧の手順はそれを前提にしています。Dropboxの案内は、感染した端末をログアウトさせ、版の履歴などで戻したあと、暗号化されたファイルが残るパソコン側のフォルダーを消してからログインし直す手順です。クラウドは災害や機械の故障に強い控えですが、パソコンとつながった控えでもあります。3つの媒体の性質を並べると、次のようになります。

追記型のディスクに任せられる役と、任せられないこと

DVD-RやBD-Rのような追記型のディスクは、一度記録した部分を物理的に書き換えたり消したりできません。焼いたあとドライブから出して棚に置けば、どのネットワークからも届かない状態になり、焼いた時点のファイルがそのまま残ります。薄くて軽いので、別の場所に置くのも手間がかかりません。3-2-1のうち「切り離した1つ」と「家や職場の外の1つ」を兼ねる役に向いています。

限界も同じだけあります。暗号化された後のファイルや、ウイルスが入ったファイルを焼けば、その状態のまま残ります。ファイナライズしていない盤をドライブに入れたままにすると、追記によって中身が見かけ上書き換わることもあり、DVD-RWやBD-REのような書き換え型は、そもそも書き換えができる盤です。寿命について、カナダ保存研究所（CCI）は一般的な銀系のDVD-Rで10〜20年、BD-Rで5〜10年という目安を示していますが、温度と湿度の影響だけにもとづく値です。

保管の環境は、国立国会図書館の報告書が、JIS Z 6017などで長期保存に適した環境とされる温度10〜25℃、湿度40〜60%を紹介しています。読むためのドライブも要ります。外付けのブルーレイドライブは販売の終了を発表したメーカーが続き、選択肢が減って値上がりしています。記録型の盤は量販店で買え、供給を続けると表明しているメーカーもありますが、数年ごとに読めるかを確かめ、必要なら新しい媒体へ移すことを予定に入れておきましょう。

そして、盤は割れますし、なくします。個人情報の入った盤をなくせば、ドライブさえあれば誰でも中身を読めます。名簿や顧客の情報は暗号化してから焼くか、鍵のかかる場所に置いて持ち出す人を決めておきましょう。ディスクだけで守るのではなく、外付けHDDやクラウドと組み合わせた3つの写しの1つとして使うのが、無理のない位置づけです。オフラインの控えの回し方の全体はランサムウェア対策のオフラインバックアップの記事に書きました。

焼く前と焼いた後に確かめること

焼く前に、元のファイルが開けるかを確かめます。写真なら何枚か開き、動画なら最後まで再生できるか、書類なら開いて中身が読めるかを見ます。暗号化されたファイルは焼いても開けないままなので、焼く直前のこの確認が、控えの価値を決めます。

中身が変わっていないかは、ハッシュ値で確かめられます。ハッシュ値はファイルの中身から計算する値で、中身が1文字でも変われば値が変わります。Windowsでは、PowerShellで「Get-FileHash」に続けてファイルの場所を書くと、既定でSHA-256の値が出ます。Macではターミナルで「shasum -a 256」に続けてファイルの場所を書きます。Macは何も付けないとSHA-1の値が出るので、「-a 256」を忘れないようにしましょう。

焼く前に全部のファイルの値を一覧にし、その一覧を盤にも入れ、別の場所にも残しておけば、何年か後に計算し直して一致を確かめられます。値が一致するのは、焼いたときから中身が変わっていないという意味で、ウイルスが無いことの証明にはなりません。元のファイルがすでにおかしくなっていれば、一致しても役に立たない点は覚えておきましょう。

Windowsの標準の機能で焼く場合、書き込み方を選ぶ画面で、USBメモリのように後からファイルを足したり消したりできる方式と、ファイルをまとめて一度に書く「CD/DVDプレーヤーで使用する」方式を選べます。控えにする盤は後者で作り、書き終えたら閉じて（ファイナライズして）ドライブから出します。画面の表記はWindowsの版で変わるので、方式の意味で選んでください。盤には盤面用のペンで、何の控えか、いつの時点かを書いておきましょう。

被害に気づいたら、最初にすること

どの脅威でも、気づいた直後の動きは似ています。慌てて控えをつなぎ、すぐに戻そうとする前に、順番を一度確かめましょう。気づいてから戻すまでの流れを図にしました。

家庭で、偽の警告から遠隔操作されてしまったときの動きは、IPAが案内しています。自分が操作していないのに画面が動くならネットワークを切って遠隔操作を止め、入れられた遠隔操作のソフトを消し、Windowsのシステムの復元か、できなければ初期化をします。送金の前ならパスワードを変えて銀行に相談し、送金してしまった後なら振込先の銀行へすぐに連絡し、自分の銀行と警察にも知らせます。

カードで払ったならカード会社、電子マネーで払ったなら発行会社に、支払いの停止や救済の手続きを相談しましょう。警察庁は、警告画面、入れたソフトの情報、カードの利用履歴、買った電子マネーのカードを残し、最寄りの警察署に持って行って相談するよう案内しています。偽のサポート契約の取り消しは、消費生活センター（局番なしの188）が相談先です。

職場でランサム攻撃に気づいたときは、感染した機器をネットワークから外し、まだ無事な控えを守りましょう。JPCERT/CCの「侵入型ランサムウェア攻撃を受けたら読むFAQ」は、被害を免れたバックアップを、安全が確かめられるまで切り離して退避させることを検討するよう書いています。自動のバックアップの仕組みによっては、無事だった控えが上書きされて消えるおそれがある、という注意もあります。夜のうちに自動で控えを取る設定なら、まずそれを止めましょう。

戻すのは、原因を取り除いてからです。JPCERT/CCは、侵入の経路と考えられる原因をすべて塞ぎ、攻撃者が残したウイルスや不正な設定が除かれたことを確かめてからネットワークに戻すよう求めています。侵入が始まる前の時点の控えなら安全と判断できる、とIPAの教訓集は書き、戻したあとに巻き戻った分の業務データを手で直す負担が大きかった組織があったことも書いています。

相談先は、個人ならIPAの「情報セキュリティ安心相談窓口」です（電話03-5978-7509、土日祝日と年末年始を除く10時から17時）。企業や団体には、同じIPAの企業・組織向けのサイバーセキュリティ相談窓口があります。警察には、警察相談専用電話の#9110か、最寄りの警察署に相談しましょう。保守を頼んでいる会社や、データを預けている委託先への連絡も、この段階で済ませましょう。

個人情報が漏れたおそれがあるときは、報告の期限にも気を付けましょう。個人情報保護委員会への報告が要るのは、要配慮個人情報が含まれる、財産的な被害のおそれがある、不正の目的による（第三者による攻撃を含む）、1,000人を超える、のいずれか（おそれを含む）に当たる場合です。速報は知ったときから概ね3〜5日以内、確報は30日以内（不正の目的による場合は60日以内）とされています。ランサム攻撃は不正の目的による場合に当たり得るので、控えで戻せたかどうかとは別に、報告が要るかを確かめましょう。

映像の記録を控えとして残すとき、当社でできること

当社は、完成した動画のデータから、プレーヤーで再生できるDVD・ブルーレイを作る書き込み代行の店です。10大脅威のどれかを防ぐサービスではありませんが、切り離して保管する控えの一つとして、映像の記録を盤にして手元に置く手伝いはできます。防犯カメラから書き出した映像、会議や説明会の録画、研修や作業手順の動画、園や学校の行事、家族の動画、配信している作品の元の動画などが、控えを残しておく値打ちの高い記録です。

1枚から頼め、同じ内容の焼き増し（追加コピー）で控えを2枚以上作れば、1枚は手元に、もう1枚は実家や別の事務所に、と分けて置けます。盤面レーベル印刷では、題名や日付を入れた画像を入稿してもらい、その画像を盤に印刷するので、何年か後に棚から出したときに、どの盤が何の記録かを見分けやすくなります。長い会議や行事の記録はチャプター分けで区切れます。どの盤も、実際のプレーヤーで再生を確かめてから渡します。

料金は、DVDなら基本料金（DVD・1枚あたり）の1,500円（税抜）、ブルーレイなら基本料金（Blu-ray・1枚あたり）の1,500円です。控えを別の場所に置くための2枚目は、1枚目と同じ動画をもう一度焼く扱いで、内容が同じであれば注文の中で枚数を増やすだけで済みます。その2枚目からは追加コピー（同一内容の焼き増し・1枚あたり）の1,000円で、盤面レーベル印刷（1枚あたり）を付ける場合は1枚ごとに+1,000円です。

入稿は、動画の共有URLを注文フォームに貼る方法で、ギガファイル便、Googleドライブ、Dropbox、OneDriveなどの共有URLが使えます。共有URLは送る相手と期限を決めて作り、用が済んだら共有を止めましょう。ギガファイル便は保持期限をアップロードの前に選ぶ仕組みで、初期値は5日、後から延ばせません。ダウンロードパスワードを付けた場合は、注文フォームにURLを貼るとパスワードの入力欄が開き、その場で合っているかが照合されます。

個人情報が映る動画を預けるときの扱いなど、気になる点は注文の前に相談・問い合わせフォームで確かめてください。書類や写真をファイルのまま焼くデータの控えは、ここまでの手順で自分のパソコンで焼く前提で考え、当社に頼めるかどうかも同じフォームで確かめられます。仕上がった盤はクリックポストで送るか、平日12時までに注文と入稿を済ませれば当日店舗お渡しも選べます。

今週のうちに、家の外に一つ控えを置く

10大脅威の20項目を全部覚える必要はありません。今週やることを3つに絞るなら、更新と認証の設定を済ませる、お金と認証番号は別の経路で確かめる約束をする、そして控えを1つ、つながっていない状態で家や職場の外に置く、です。

家庭なら、スマホの写真と動画をクラウドから書き出し、外付けHDDかディスクに移して、実家や職場の机など別の場所に置きましょう。数人の職場なら、名簿と帳簿と契約書のフォルダーを、つないだら外す外付けHDDと、焼いて閉じたディスクの2つに控え、1つを担当者が持ち帰ります。どちらも、1か月後に1つ戻してみて、ファイルが開けることを確かめるところまでを予定に入れましょう。

10大脅威の一覧は、毎年新しい版が出ます。次の版が公表されたら、今年作った紙1枚と控えの置き場所を、新しい20項目と照らして見直す日にしましょう。一覧の順位が入れ替わっても、更新、認証、設定、控え、手口を知る、の組み合わせで備えるという考え方は変わりません。

よくある質問

Q. 情報セキュリティ10大脅威の個人編に順位がないのはなぜですか

A. IPAのページには、個人向けは脅威の名前だけを五十音順で載せていると書かれていて、理由の説明はありません。順位を付けて紹介する記事は並びを読み違えています。組織編の順位も対策の優先順位ではないとIPAは断っているので、自分の家や職場で起きやすいものから対策を選びましょう。

Q. 10大脅威2026は2026年に流行る脅威の予想ですか

A. 予想ではありません。IPAの説明では、2025年に起きた社会的に影響の大きかった事故や攻撃から候補を選び、約250人の選考会が審議と投票で決めた一覧です。前の年に実際に被害が大きかったものの記録なので、ランク外の脅威、たとえばシステムの障害による業務の停止にも備えが要るとIPA自身が書いています。

Q. 家庭で最初にやるべき対策は何ですか

A. 見分け方を覚えるより先に、設定で済むことを片付けましょう。スマホとパソコンの自動更新をオンにする、Apple・Google・LINE・銀行のアカウントにパスキーか2段階認証を付ける、復旧キーやバックアップコードを紙で保管する、ルーターとカメラの初期パスワードを変える、の順です。そのうえで写真と動画の控えを家の外に1つ置きましょう。

Q. バックアップを取っていればランサムウェアは怖くないですか

A. 取っているだけでは足りません。警察庁の令和7年の統計では、被害に遭った組織の9割がバックアップを取っていましたが、復元できたのは回答99件中20件で、理由の最多はバックアップも暗号化されたことでした。控えは切り離して保管し、戻せるかを試しておく必要があります。盗まれた情報は控えでは戻りません。

Q. クラウドに写真を置いていれば別の控えはいりませんか

A. クラウドは災害や機械の故障に強い控えですが、アカウントの乗っ取りや停止で入れなくなることがあり、削除したファイルを戻せる期間も多くは30日前後です。同期型ではパソコンで暗号化されたファイルが同期される前提で復旧の手順が組まれています。クラウドとは別の媒体と場所に、年に一度は写しを作りましょう。

Q. 外付けHDDに自動でバックアップしていれば十分ですか

A. つなぎっぱなしの外付けHDDは、パソコンが暗号化されたときに一緒に暗号化されるおそれがあります。IPAの自社診断は、バックアップの装置や媒体をバックアップのときだけつなぐよう求めています。書き終えたら外して棚に置く、もう1つ別の種類の媒体にも控える、の2つを足すと守りが厚くなります。

Q. DVD-RやBD-Rに焼けばウイルスに感染しませんか

A. そうとは言えません。追記型の盤は記録した部分を書き換えられず、取り出して保管すればネットワークから届きませんが、焼く前のファイルが感染や暗号化されていれば、そのまま盤に残ります。焼く前にファイルが開けるかを確かめ、ハッシュ値の一覧を残し、ドライブに入れたままにしないことが前提です。

Q. ビジネスメール詐欺はバックアップで防げますか

A. 防げません。データは手元に残ったまま、偽の口座にお金を振り込ませる詐欺だからです。備えは手順で、振込先の変更や急ぎの送金の依頼は、登録済みの電話番号など普段と別の経路で確かめ、2人以上で承認しましょう。送ってしまったら、すぐに振込先の銀行と自分の銀行、警察に連絡しましょう。

Q. パソコンに偽のウイルス警告が出たらどうすればいいですか

A. 画面に出た番号には電話せず、ブラウザを閉じましょう。IPAは、警告画面が出ただけならパソコンは感染していないと説明しています。閉じられないときは、Escキーを長押ししてから×を押す、タスクマネージャーでブラウザを終える、再起動する、の順に試します。分からなければIPAの安心相談窓口に電話で相談できます。

Q. 小さな会社にも10月から攻撃の報告義務がかかりますか

A. 2026年10月1日に始まった能動的サイバー防御の法律の報告義務は、15分野258の基幹インフラ事業者が対象で、一般の中小企業にはかかりません。ただし個人情報が漏れたおそれがあり、不正の目的による場合や1,000人を超える場合などは、個人情報保護法で個人情報保護委員会への報告が要ります。

Q. 3-2-1-1-0というバックアップの決まりは公的な基準ですか

A. 公的な基準ではありません。3-2-1は米国の政府機関CISAも紹介する経験則で、3-2-1-1-0はバックアップ製品の会社が3-2-1に項目を足した言い方です。IPAは10大脅威2026の組織編の解説書で、3-2-1を拡張したルールもあると紹介するにとどめています。公的機関に共通する勧めは、切り離した控えを持つことと、戻せるかを定期的に試すことです。

Q. 防犯カメラの映像の控えをディスクで作ってもらえますか

A. 防犯カメラから書き出した動画のファイルを共有URLで入稿してもらえれば、DVDかブルーレイにして実際のプレーヤーで再生を確かめてから渡します。焼き増しで2枚以上作れば、別々の場所に置けます。お引き受けできるのは撮った本人か権利者の許可がある動画で、扱いで気になる点は注文の前に相談・問い合わせフォームで確かめてください。