中小企業のセキュリティ事故ランキングと原因｜IPA「10大脅威2026」と被害の実態

公開：2026年10月14日／最終更新：2026年10月14日／Moshiru 岡﨑悠太

結論：IPA「情報セキュリティ10大脅威 2026」（組織編）の1位はランサム攻撃、2位はサプライチェーンや委託先を狙った攻撃です。警察庁の令和7年の統計では、ランサムウェアの被害226件のうち中小企業が143件（約6割）で、侵入の入口はVPN機器とリモートデスクトップが92件中80件でした。中小企業がまず手を付けるのは、入口の更新、パスワードと多要素認証、退職者のアカウント整理の3つです。

中小企業の事故の原因を、入口（VPN・リモートデスクトップ）、人（メール・パスワード）、設定・管理（退職者・クラウド）、取引先への影響の4つに分けた図

IPA「10大脅威2026」組織編の順位

IPAが2026年1月29日に公表した「情報セキュリティ10大脅威 2026」の組織編です。右の2列は、中小企業での起き方と、最初にやる対策をMoshiruがまとめたものです。

順位	脅威	中小企業での起き方	まずやる対策
1	ランサム攻撃による被害	VPN機器から入られ、サーバーとバックアップが暗号化される	VPN機器の更新、切り離したバックアップ
2	サプライチェーンや委託先を狙った攻撃	自社が踏み台になり、取引先に被害が広がる	委託先と自社の対策を書面で確かめる
3	AIの利用をめぐるサイバーリスク（初選出）	生成AIに社外秘や個人情報を入力してしまう	入力してよい情報を決めて周知する
4	システムの脆弱性を悪用した攻撃	古いWordPressや機器の弱点を突かれる	更新の担当と頻度を決める
5	機密情報を狙った標的型攻撃	取引先を装ったメールの添付から感染する	開いたときの報告先を決める
6	地政学的リスクに起因するサイバー攻撃（情報戦を含む）	海外拠点や取引先経由で巻き込まれる	海外とつながる機器を把握する
7	内部不正による情報漏えい等	退職者のアカウントが残り、持ち出される	退職日にアカウントを止める
8	リモートワーク等の環境や仕組みを狙った攻撃	リモートデスクトップを外に開けたまま使う	外から直接つながる口を閉じる
9	DDoS攻撃（分散型サービス妨害攻撃）	予約・通販サイトが見られなくなる	サーバー会社の防御機能を確かめる
10	ビジネスメール詐欺	「振込先が変わった」というメールで送金する	口座変更は電話で確かめる

中小企業で実際に多い被害（数字で見る）

多い被害はウイルス感染と不正アクセス：IPA「2024年度中小企業における情報セキュリティ対策に関する実態調査」（4,191社）では、2023年度に被害があった企業はコンピュータウイルス感染が14.8%、不正アクセスが10.0%でした。
起きたこと：同じ調査で、被害による影響はデータの破壊35.7%、個人情報の漏えい35.1%が多くなっています。
入られ方：不正アクセスを受けた企業では、脆弱性を突かれた48.0%、IDとパスワードを盗まれた36.8%、取引先やグループ会社経由19.8%でした（同調査の速報版）。
被害額と期間：過去3期の被害額は平均73万円、最大1億円。復旧までは平均5.8日でした（同）。
取引先への影響：被害を受けた企業の約7割で、取引先にも影響がありました（同）。
ランサムウェア：警察庁「令和7年におけるサイバー空間をめぐる脅威の情勢等について」（2026年3月）では、被害226件のうち中小企業が143件。入口はVPN機器61件、リモートデスクトップ19件、不審なメールや添付ファイルは2件でした（回答92件）。令和8年上半期は123件で、半期として最多です。

原因は3つに分けると手を付けやすい

入口：VPN・リモートデスクトップ

ランサムウェアの多くは、インターネットに開いている機器から入ってきます。警察庁は、未修正の脆弱性、漏れたID・パスワードや簡単なパスワード、設定不備が悪用されるとしています。機器の型番と更新状況はVPN機器・リモートデスクトップの点検手順で点検できます。

人：メール・パスワード

標的型攻撃やビジネスメール詐欺は、メールの1回のクリックや送金から始まります。開いてしまったときの動き方は不審なメールを開いてしまったら、パスワードの決め方は会社のパスワードのルールの決め方にまとめています。

設定・管理：退職者・クラウドの設定

退職者のアカウントが残っている、共有リンクが誰でも見られる、といった管理の漏れも原因になります。退職者のアカウントを棚卸しする手順、クラウドが止まったときの備え、バックアップの置き方を順に見てください。

まずやる順番（今月中にできる5つ）

外から入れる口を書き出す：VPN、リモートデスクトップ、管理画面のURLを一覧にします。
その機器を最新にする：メーカーのお知らせを見て、更新を当てます。
多要素認証を入れる：VPN、メール、クラウドの管理者から先に設定します。
退職者と使っていないアカウントを止める。
バックアップを1つ切り離す：戻せるかを一度試します。

事故が起きたときにかかる費用は、対策をしなかった場合の損失で数字にしています。

よくある質問

うちのような小さい会社も狙われますか？

警察庁の令和7年の統計では、ランサムウェアの被害の約6割が中小企業でした。攻撃者は規模より「入れる隙」を探しているとされています。

メール対策より入口の対策が先ですか？

ランサムウェアに限れば、警察庁の回答92件のうちメールからの感染は2件でした。ただしIPAの調査ではID・パスワードの盗難も多いため、入口の更新と多要素認証を同時に進めてください。

どこから手を付けたらいいか分かりません。

社長に「うちは大丈夫？」と聞かれたらで、自社の状況を順に確かめられます。

自社のWebサイトの「入口」を、まず無料で見る

Moshiruは、自社が管理するサイトに限り、打合せなしで無料スキャンを行います。対象のURLと許可をいただくだけで、結果をテキストでお返しします。

無料スキャンを申し込む対象のURLと許可だけうちの会社は大丈夫？自分で確かめる手順