「情報セキュリティ10大脅威」は、IPA（情報処理推進機構）という国の機関が毎年出している一覧です。
名前がいかめしいので身構えますが、中身は「いま実際に多い手口」を並べただけのものです。
ただ、ニュースで「今年の10大脅威が発表されました」と流れても、自分が何をすればいいのかまでは分かりません。専門用語が並んでいて、そのまま閉じてしまう。毎年そうなりがちです。
この記事は、その一覧を家庭の話に置き換えて読むためのものです。
そして、あまり知られていないことが1つあります。この一覧は「個人向け」と「組織向け」の2種類が別々に用意されています。会社の話と家庭の話が、はじめから分けてあるのです。
この記事では「個人向け」だけを扱います。家庭のパソコンとスマホの話です。2026年1月29日に公表された分に基づいています。
結論：個人向けの10個には、順位が付いていません
ここがいちばん大事なところです。
「10大脅威」という名前から、1位・2位……と並んでいるように思えます。組織向けはそのとおりで、順位が付いています。
ところが個人向けは、順位を付けずに五十音順で並べてあります。「あ」から順に載っているだけで、上のほうが危ないという意味ではありません。
順位だと思って読むと、「上から3つだけ対策しておこう」という読み方をしてしまいます。それが一番まずい読み方です。
正しい読み方はこうです。10個を眺めて、自分に当てはまるものを探す。スマホ決済を使っていない人は、その行を飛ばして構いません。
全部に備えようとすると、たいてい何もしないまま終わります。当てはまるものだけ拾ってください。
2026年に選ばれた10個（個人向け）
まず全体を見てください。順番に意味はありません。
| 手口 | どういうものか |
|---|---|
| インターネット上のサービスからの個人情報の窃取 | 使っている会社側から情報が漏れる |
| インターネット上のサービスへの不正ログイン | 自分のIDとパスワードで入られる |
| インターネットバンキングの不正利用 | 銀行の口座から勝手に送金される |
| クレジットカード情報の不正利用 | カード番号を盗まれて使われる |
| サポート詐欺（偽警告）による金銭被害 | 「ウイルスに感染」の偽画面から電話させる |
| スマホ決済の不正利用 | 〇〇ペイの類を乗っ取られる |
| ネット上の誹謗・中傷・デマ | 書かれる側にも、広めてしまう側にもなる |
| フィッシングによる個人情報等の詐取 | 本物そっくりのメールと偽サイト |
| 不正アプリによるスマートフォン利用者への被害 | 入れたアプリが中で悪さをする |
| メールやSNS等を使った脅迫・詐欺の手口による金銭要求 | 「動画を撮った」などと脅してお金を要求 |
10個並ぶと多く見えますが、入口はそれほど多くありません。メールかSMS、画面に出た警告、そしてIDとパスワード。だいたいこの3つです。
自分に当てはまる行を探すときは、こう見てください。
| 使っているもの | 見ておく行 |
|---|---|
| メール・SMSを受け取る（全員） | フィッシング／脅迫・詐欺による金銭要求 |
| ネットで買い物をする | クレジットカード情報の不正利用 |
| ネットバンキングを使う | インターネットバンキングの不正利用 |
| 〇〇ペイを使う | スマホ決済の不正利用 |
| スマートフォンにアプリを入れる | 不正アプリ |
| 会員登録をしたことがある（ほぼ全員） | 個人情報の窃取／不正ログイン |
ほとんどの方は、ここに挙げた大半が当てはまります。それでも構いません。当てはまる数が多いことと、危ないことは別です。次の章から、実際に手を打つ順番を出します。
誰にでも来るのは、この3つ
10個のうち、使っているサービスに関係なく全員に来るものが3つあります。ここから手を付けるのが早いです。
フィッシング（本物そっくりのメールと偽サイト）
宅配便の不在通知、カード会社からの利用確認、税金の未納通知。形はいくらでも変わります。
見分けようとすると疲れますし、最近のものは見分けられません。理由は2つあります。
送信元の名前は、送る側が好きに書けます。「〇〇銀行」と表示されていても、それは差出人が自分で入力した文字です。封筒に自分で書いた差出人名と同じで、証明にはなりません。
もう1つは、偽サイトの見た目が本物のコピーだからです。画像も文字も本物から持ってきているので、並べても違いが分かりません。
つまり「よく見て見分ける」という対策は、もう成り立ちません。だから、覚えるのは1つだけにします。
メールやSMSの中のリンクからログインしない。用があるなら、いつも自分で開いているアプリやブックマークから入り直す。それだけで、この手口はほぼ効かなくなります。
不正ログイン（自分のIDとパスワードで入られる）
どこか1社から漏れたパスワードを、他のサービスで順番に試される手口です。使い回していると、1つ漏れた時点で全部が開きます。
家の鍵で言えば、玄関・物置・車・実家がすべて同じ鍵という状態です。1本落とすと、全部開きます。落とした場所が物置でも、開くのは玄関です。
しかも、盗まれた鍵は盗んだ人が使うとは限りません。まとめて売られ、機械で片端から試されます。「自分のような人間の情報に価値はない」は、この手口には通じません。相手は誰の鍵かを気にしていないからです。
全部を別々にするのは大変なので、順番を決めてください。メール、ネットバンキング、通販、この3つだけは他と同じにしない。
そのうえで、2段階認証を入れておくと、パスワードが漏れても止まります。設定の仕方は別の記事にまとめてあります。
サポート詐欺（偽警告から電話させる）
ネットを見ている最中に、警告音とともに「ウイルスに感染しています」と全画面で出るやつです。電話番号が大きく書いてあります。
電話をかけると、遠隔操作のソフトを入れさせられ、修理代を請求されます。
覚えることは1つです。本物のWindowsの警告に、電話番号は出てきません。消し方と、本物との見分け方はこちらです。
お金に直接つながる3つ
クレジットカードの不正利用、スマホ決済の不正利用、インターネットバンキングの不正利用。この3つは、気づくのが遅れるほど被害が伸びます。
なおインターネットバンキングの不正利用は、4年ぶりに選ばれました（通算8回目）。しばらく落ち着いていたものが、また増えているということです。
この3つに共通する対策は、防ぐことよりも早く気づくことです。
理由は2つあります。1つは、盗まれる場所が自分の手元とは限らないこと。カード番号は、使った店側から漏れることがあります。自分がどれだけ気をつけても防げません。
もう1つは、届け出には期限があることです。多くのカード会社や銀行は、補償を受けられる期間を約款で決めています。期限は会社ごとに違うので、いま持っているカードの約款を一度見ておいてください。
気づくのが1か月遅れると、その1か月分がまるごと期限の外に出ることがあります。だから「早く気づく」が対策になります。
- 利用通知をオンにする。使った直後にメールやアプリの通知が届くようにしておく
- 明細を月に一度見る。少額の見慣れない請求が、試し打ちのことがある
- おかしいと思ったら、先に止めて、あとで確認する。カード会社への連絡は24時間受け付けています
スマホ決済だけは、もう1つ見るところがあります。〇〇ペイの類は、たいてい銀行口座かクレジットカードに紐づいています。決済アプリの中だけでなく、紐づけた先の明細も見てください。アプリ側に残らない形で引かれることがあります。
通販でカード番号を入れる場面での注意は、別の記事に詳しく書いてあります。
残りの4つも、ひとことずつ
サービス側から個人情報が漏れる
これだけは、自分では防げません。漏らすのは自分ではなく、使っている会社のほうだからです。
だからこそ、漏れた後で被害が広がらない形にしておくのが対策になります。パスワードを使い回さないというのは、そのための備えです。
不正アプリ
スマートフォンの話です。App StoreとGoogle Play以外から入れない。これでほとんど防げます。
「このアプリを入れてください」とSMSやSNSで送られてくるリンクは、ここに当たります。
公式のストアでも、まれにすり抜けるものがあります。もう1つ見るとすれば、入れるときに何を許可するよう求められるかです。
電卓のアプリが連絡先を見たがる。懐中電灯のアプリが写真を求める。こういうものは、中身がアプリの見た目と違うと考えて構いません。
ネット上の誹謗・中傷・デマ
これだけ毛色が違いますが、書かれる側だけでなく、広めてしまう側にもなるという意味で入っています。
災害のときに、古い映像が「いまの映像」として回ることがあります。驚いた気持ちのまま転送しない。これが対策です。
脅迫・詐欺による金銭要求
「あなたのパソコンのカメラで動画を撮った」といったメールが届くものです。ほぼすべてが嘘で、ばらまかれています。
返信せず、支払わず、消してください。返信すると「読む人がいる住所」だと分かってしまいます。
ただし1つだけ、確かめてほしいことがあります。この手のメールには、本文にパスワードらしき文字列が書かれていることがあります。
それが自分の使ったことのあるパスワードだったら、脅しの中身は嘘でも、そのパスワードが漏れているのは本当です。すぐに変えてください。そして、同じものを他で使っていないか思い出してください。
組織向けの一覧から、1つだけ
組織向けは会社の話なので、この記事では扱いません。ただ、2026年版で1つだけ、家庭にも関わるものが入りました。
「AIの利用をめぐるサイバーリスク」が、初めて選ばれました（組織向けの3位）。
AIそのものが攻撃してくるという話ではありません。入力したものがどう扱われるかと、返ってきた答えを鵜呑みにしてよいかの2点です。
これは会社に限った話ではありません。家庭でも、手紙の下書きを見てもらう、体調の相談をする、書類の中身を貼り付けて要約させるといった使い方をします。入れているものは、会社の資料とそう変わりません。
組織向けの一覧に入ったということは、その使い方が広まったということでもあります。詳しくはこちらにまとめてあります。
家庭でやることは、結局この4つ
10個を全部覚える必要はありません。手口は毎年入れ替わりますが、やることはほとんど変わりません。
- 更新をためない。WindowsもスマホもアプリもOK。「あとで」を押し続けない
- パスワードを使い回さない。せめてメール・銀行・通販の3つは別にして、2段階認証を入れる
- メールやSMSのリンクからログインしない。自分でアプリやブックマークから入り直す
- 画面に出た電話番号にかけない。本物の警告に電話番号は出ません
この4つが、10個のうちいくつに効くかを見てください。更新は不正アプリと脆弱性に効きます。パスワードは不正ログインと個人情報の窃取に効きます。リンクから入らないことはフィッシングに、電話しないことはサポート詐欺に効きます。
10個に10個の対策は要りません。手口は毎年入れ替わりますが、入口が3つしかないので、塞ぐところも増えないのです。
この4つのうち、いま1つも欠けていないなら十分です。全部やろうとせず、欠けている1つを埋めてください。
やってはいけないこと
上から順に対策しようとしないでください。個人向けに順位は付いていません。上にあるものが危ないわけではありません。
10個を覚えようとしないでください。覚えるのは上の4つで足ります。一覧は「自分に当てはまるものを探す」ために見るものです。
「10大脅威に入っているから」を理由に何かを買わないでください。この一覧は、商品を勧めるために作られたものではありません。上の4つは、どれもお金がかかりません。
まとめ
- 「10大脅威」には個人向けと組織向けがある。家庭で読むのは個人向け
- 個人向けに順位は無い（五十音順）。上から3つ、という読み方をしない
- 全員に来るのはフィッシング・不正ログイン・サポート詐欺の3つ
- お金がらみの3つは、防ぐより早く気づく（利用通知をオンにする）
- やることは更新・パスワード・リンクから入らない・電話しないの4つ
参考
この記事は、IPA（情報処理推進機構）が2026年1月29日に公表した「情報セキュリティ10大脅威 2026」に基づいています。原典はこちらです。
