サイバー攻撃の脅威は年々深刻さを増していますが、2026年に入り、その被害規模はこれまでにない水準に達しています。独立行政法人情報処理推進機構(IPA)が発表した「情報セキュリティ10大脅威2026」では、ランサムウェアによる被害が11年連続で組織編の1位に選ばれました。さらに、トレンドマイクロとNPO法人CIOラウンジが2026年5月に実施した調査では、被害企業の平均累計被害額が3億4800万円に達し、前年から1億3000万円も増加したことが分かっています。加えて、パロアルトネットワークスが同年に公表した調査では、ランサムウェア単体の平均損失額が6億4000万円に達したというデータも示されました。なぜ、対策の重要性がこれほど叫ばれているにもかかわらず、被害額は増加の一途をたどっているのでしょうか。本記事では、最新の調査データをもとにその背景を整理し、日本企業が直面している構造的な課題について独自に考察していきます。
情報セキュリティ10大脅威2026に見るランサムウェアの脅威度とAIリスクの新常態
IPAが2026年1月に発表した「情報セキュリティ10大脅威2026」の組織編では、ランサムウェアによる被害が11年連続、通算11回目となる1位に選出されました。同ランキングは、前年に実際に発生したセキュリティインシデントや社会的影響の大きさをもとに、専門家の投票によって決定されるものです。ランサムウェアが10年以上にわたり首位を維持し続けているという事実は、対策の必要性が繰り返し指摘されながらも、実効性のある防御体制の構築が多くの企業で追いついていないことを物語っています。
また、2026年版では新たに「AIの利用をめぐるサイバーリスク」という項目が初めてランクインしました。これは、AIに関するリスクを大きく3つに分類したもので、1つ目は攻撃者がAIを悪用することで攻撃の成功率や効率を高める「AIを悪用した攻撃」、2つ目はプロンプトインジェクションやデータポイズニングなど、AIシステム自体を標的にする「AIに対する攻撃」、3つ目は機密情報の漏えいやハルシネーションによる誤情報の生成、著作権侵害といった「運用上・法的リスク」です。生成AIの普及と歩調を合わせる形で、攻撃側・防御側の双方でAIが変数として組み込まれる時代に入ったことを、この新項目は端的に示していると言えるでしょう。
被害額はなぜ増え続けるのか――2つの最新調査が示す数字
トレンドマイクロとCIOラウンジが2026年5月にインターネット調査で実施した調査では、過去3年以内にサイバー攻撃を受けた従業員500人以上の企業に所属し、セキュリティやリスク管理を担う役員・部門長クラスの306人を対象に、被害の実態が調べられました。その結果、過去3年間の累計被害額の平均は3億4800万円となり、前年調査の2億2000万円から約1億3000万円増加したことが判明しています。さらに、被害額が5億円を超える”高額被害”企業の割合も拡大しており、一部の企業に被害が集中する傾向がうかがえます。事業停止から復旧までにかかった時間も平均862.9時間、日数にして約36日に及んでおり、被害を受けた企業は1カ月以上にわたって通常業務に支障をきたしていたことになります。
一方、パロアルトネットワークスが同年に公表した「State of Cybersecurity Japan 2026」では、サイバーセキュリティに関する意思決定者752人を対象に調査が行われました。2025年に発生したサイバー攻撃のうち55%がランサムウェアによるものであり、その平均損失額は6億4000万円に達したと報告されています。特に、身代金の要求に加えてデータの暴露や関係者への直接的な脅迫を組み合わせる”三重脅迫”型の攻撃を受けた企業では、インシデント対応にかかった時間が平均44時間に対して54時間と1.5倍に伸び、事業への金銭的影響も約2.2倍に拡大していました。同調査では、回答者の88%が自社のセキュリティベンダーについて「見直しや最適化が必要」と回答しており、これは前年の55%から大幅に増加した数字です。多くの企業が現状の防御体制に危機感を抱きながらも、実際の被害額は増え続けているという矛盾した状況が浮かび上がっています。
独自考察――AIガバナンス優先が生む”守りの空白”
内部統制と外部防御の予算配分のねじれ
今回参照した調査の中で特に注目したいのは、トレンドマイクロとCIOラウンジの調査が指摘する「生成AIの導入に際しては、全社的なガイドラインの策定や従業員教育など、利用者を主体とした内部対策が先行している」という傾向です。多くの企業が生成AIのリスクに敏感になり、社内ルールの整備やアプリケーションの利用制限には積極的に予算と人員を投じています。しかし、その裏側で、外部からのランサムウェア攻撃やフィッシングメールへの対策といった、いわば”守りの基本”への投資が相対的に後回しになっているのではないかというねじれが見えてきます。限られたセキュリティ予算の中で、話題性の高いAIガバナンスに関心と資源が集中し、地道な脆弱性管理やバックアップ体制の強化が置き去りにされているとすれば、それこそが被害額の高止まりを説明する構造的な要因の一つだと考えられます。
生成AIが攻撃側の効率化ツールと化す構造
IPAの分類にある「AIを悪用した攻撃」が示す通り、攻撃者側は生成AIを使うことで、以前は不自然な日本語で見抜きやすかったフィッシングメールを、極めて自然な文章に仕上げられるようになりました。加えて、攻撃対象の組織構造や取引先情報をAIに整理・要約させることで、標的型攻撃の準備にかかる時間そのものを大幅に短縮できるようになっています。つまり、防御側が生成AIの「安全な使い方」に頭を悩ませている間に、攻撃側は同じ技術を使って攻撃の”生産性”を着実に高めているという、非対称な競争が進行していると見るべきでしょう。防御側のAIガバナンスと、攻撃側のAI悪用は、コインの表と裏のように連動して進化していく構造にあります。
“三重脅迫”の増加が意味する交渉の高度化
パロアルトネットワークスの調査が示した三重脅迫型攻撃の増加は、ランサムウェアが単なる”データの人質化”から、より心理的な圧力をかける交渉術へと進化していることを表しています。身代金を支払わなければデータを暴露するという従来の二重脅迫に加え、取引先や顧客本人に直接連絡して不安を煽る手口が組み合わされることで、被害企業は身代金を支払う以外の選択肢を事実上狭められてしまいます。この結果、対応時間や事業への影響額が跳ね上がるのは自然な帰結だと言えます。企業側からすれば、技術的な防御だけでなく、関係者への説明責任や広報対応まで含めた”危機管理”としてランサムウェア対策を捉え直す必要性が高まっていると考えられます。
中小企業とサプライチェーンへの波及リスク
今回参照した2つの調査はいずれも従業員500人以上、あるいは一定規模以上の組織を主な対象としていますが、実際の攻撃は取引先や委託先といったサプライチェーン全体を通じて広がる傾向があります。大企業がセキュリティ投資を強化すればするほど、相対的に対策の手薄な中小企業や取引先が”入り口”として狙われやすくなるという構図は、今後さらに強まる可能性があります。自社単独の対策強化だけでなく、取引先を含めたサプライチェーン全体でのセキュリティ水準の底上げが、被害の連鎖を防ぐ上で欠かせない視点になってきていると言えるでしょう。
サイバー保険は”最後の砦”になり得るか
被害額の増加を受けて、サイバー保険への関心も高まっていますが、保険はあくまで金銭的損失を補填する手段であり、身代金の支払いそのものを保証するものではない点には注意が必要です。免責条項や補償上限が細かく設定されているケースも多く、実際に大規模な被害が発生した際に、想定していたほどの補償を受けられないという事態も起こり得ます。サイバー保険は事業継続計画(BCP)の一部として位置づけるべきものであり、保険への加入をもって対策が完了したと捉えるのではなく、技術的対策・組織的対策とあわせて多層的に備える姿勢が求められます。
経営層が取るべき次の一手
以上を踏まえると、企業に求められているのは、生成AIのガバナンス強化と、ランサムウェアをはじめとする外部脅威への防御強化を、対立する優先順位としてではなく、同じ経営リスクマネジメントの枠組みの中で並行して進めることだと考えられます。具体的には、セキュリティ予算の配分を定期的に見直し、AI関連の内部統制だけでなく、脆弱性診断やバックアップ体制、インシデント対応訓練といった”基本動作”への投資を継続的に確保すること。そして、経営層自身がセキュリティを単なるIT部門の課題としてではなく、事業継続に直結する経営課題として捉え直すことが、被害額の高止まりに歯止めをかける第一歩になるはずです。
まとめ
2026年のランサムウェアをめぐる状況は、平均被害額6億4000万円、復旧まで約36日という数字が示す通り、企業経営に直結する深刻なリスクとなっています。情報セキュリティ10大脅威2026が11年連続でランサムウェアを1位に位置づけたことは、対策の重要性が変わらず高いままであることを意味していますが、複数の調査からは、生成AIのガバナンス整備に注力するあまり、外部からの攻撃への基本的な備えが相対的に手薄になっている実態も浮かび上がりました。AI活用の推進と、ランサムウェア対策をはじめとする従来型のセキュリティ強化は、どちらか一方を選ぶものではなく、両輪として同時に進めるべき経営課題です。今後も最新の被害動向と対策のトレンドを注視しながら、自社のセキュリティ体制を継続的に見直していくことが求められます。
コメント