本記事には広告・アフィリエイトリンクが含まれています。
結論：組織向けの1位は、10年連続でランサム攻撃です
IPA（情報処理推進機構）の「情報セキュリティ10大脅威 2025」組織向けの上位です。
| 順位 | 脅威 | 初選出年 | 取り扱い |
|---|---|---|---|
| 1 | ランサム攻撃による被害 | 2016年 | 10年連続10回目 |
| 2 | サプライチェーンや委託先を狙った攻撃 | 2019年 | 7年連続7回目 |
| 3 | システムの脆弱性を突いた攻撃 | 2016年 | 5年連続8回目 |
| 4 | 内部不正による情報漏えい等 | 2016年 | 10年連続10回目 |
| 5 | 機密情報等を狙った標的型攻撃 | 2016年 | 10年連続10回目 |
| 6 | リモートワーク等の環境や仕組みを狙った攻撃 | 2021年 | 5年連続5回目 |
| 7 | 地政学的リスクに起因するサイバー攻撃 | 2025年 | 初選出 |
| 8 | 分散型サービス妨害攻撃（DDoS攻撃） | 2016年 | 5年ぶり6回目 |
| 9 | ビジネスメール詐欺 | 2018年 | 8年連続8回目 |
| 10 | 不注意による情報漏えい等 | 2016年 | 7年連続8回目 |
注目したいのは「10年連続10回目」が3つあることです。ランサム攻撃、内部不正、標的型攻撃。10年間ずっと上位にいるということは、対策が難しいか、対策が行き渡っていないかのどちらかです。
1. この一覧はどう作られているか
「情報セキュリティ10大脅威 2025」は、2024年に発生した社会的に影響が大きかったと考えられる情報セキュリティにおける事案から、IPAが脅威候補を選出し、情報セキュリティ分野の研究者、企業の実務担当者など約200名のメンバーからなる「10大脅威選考会」が脅威候補に対して審議・投票を行い、決定したものです。
実際に起きた事案から選ばれ、約200名の投票で決まっています。誰かの主観ではありません。
2. 個人向けは順位が付いていません
ここが2025年版の特徴です。
10大脅威 2025では、個人の10大脅威の順位は掲載せず、五十音順で並べています。これは、順位が高い脅威から優先的に対応し、下位の脅威への対策が疎かになることを懸念してのことです。順位に関わらず自身に関係のある脅威に対して対策を行うことを期待しています。
「1位だけ対策すればいい」を防ぐために、あえて順位を外しているということです。
3. 個人向けの10項目（五十音順）
| 脅威 | 初選出年 | 取り扱い |
|---|---|---|
| インターネット上のサービスからの個人情報の窃取 | 2016年 | 6年連続9回目 |
| インターネット上のサービスへの不正ログイン | 2016年 | 10年連続10回目 |
| クレジットカード情報の不正利用 | 2016年 | 10年連続10回目 |
| スマホ決済の不正利用 | 2020年 | 6年連続6回目 |
| 偽警告によるインターネット詐欺 | 2020年 | 6年連続6回目 |
| ネット上の誹謗・中傷・デマ | 2016年 | 10年連続10回目 |
| フィッシングによる個人情報等の詐取 | 2019年 | 7年連続7回目 |
| 不正アプリによるスマートフォン利用者への被害 | 2016年 | 10年連続10回目 |
| メールやSMS等を使った脅迫・詐欺の手口による金銭要求 | 2019年 | 7年連続7回目 |
| ワンクリック請求等の不当請求による金銭被害 | 2016年 | 3年連続5回目 |
当サイトでも個別に扱っています。フィッシング、偽警告・ワンクリック請求、不正ログインとパスワードをご覧ください。
4. 小さな店に関係するのはどれか
組織向けの10項目のうち、スタッフが数人の店でも起こりうるものを挙げます。
- 1位 ランサム攻撃——顧客データが暗号化されれば、規模に関係なく止まります（バックアップの記事）
- 2位 サプライチェーンや委託先を狙った攻撃——予約システムや会計ソフトの提供元が攻撃を受ける形です
- 3位 システムの脆弱性を突いた攻撃——更新していないソフトが入口になります
- 4位 内部不正による情報漏えい——人数が少ないほど、一人が持つ権限は大きくなります
- 9位 ビジネスメール詐欺——取引先を装った振込先の変更依頼です
- 10位 不注意による情報漏えい——CcとBccの取り違えなど（メール誤送信の記事）
「うちは小さいから狙われない」は、この一覧の読み方としては当たりません。2位と10位は、規模と無関係に起こります。
5. 漏えいしたら報告の義務があります
ランサム攻撃で個人データが暗号化されて復元できなくなった場合、個人情報保護委員会への報告が義務になり得ます。速報は発覚日から3〜5日です。詳しくは漏えい等報告の記事にまとめました。
6. この記事で扱っていないこと
IPAは各脅威について解説書（組織編60ページ、個人編48ページ）と活用法、対策マッピングシートを公開しています。当サイトでは、それぞれの脅威の具体的な手口や対策の詳細を、この記事の一次情報では確認していません。
個別の対策を検討する段階になったら、IPAの解説書をご確認ください。
7. 順位の変化から読めること
2025年版で動きがあったのは2つです。
- 7位 地政学的リスクに起因するサイバー攻撃——2025年に初選出
- 8位 DDoS攻撃——5年ぶり6回目（一度は圏外だったものが戻ってきた）
脅威の顔ぶれは固定ではありません。毎年確認する価値がある一覧です。
サイトとデータの管理環境について
以下は広告です。当サイトでは、これらのサービスがこれらの脅威にどこまで対応するかを検証していません。仕様・料金・プランは変更されることがあるため、必ず公式サイトで最新の内容をご確認ください。優劣を示すものではなく、選択肢として並べています。
もう一方の選択肢：
FAQ
1位は何ですか。
組織向けの1位はランサム攻撃による被害で、10年連続10回目です。
個人向けの1位は何ですか。
2025年版では個人の順位は掲載されていません。五十音順で並べられています。
なぜ順位を出さないのですか。
「順位が高い脅威から優先的に対応し、下位の脅威への対策が疎かになることを懸念して」とされています。
誰が決めているのですか。
「情報セキュリティ分野の研究者、企業の実務担当者など約200名のメンバーからなる『10大脅威選考会』」が審議・投票して決定しています。
新しく入った脅威はありますか。
7位「地政学的リスクに起因するサイバー攻撃」が2025年に初選出です。
参照した一次情報
- 独立行政法人情報処理推進機構（IPA）「情報セキュリティ10大脅威 2025」 ipa.go.jp
2026年9月19日確認。組織向け10項目の順位・初選出年・取り扱い、個人向け10項目（五十音順）とその初選出年・取り扱い、選出方法（2024年に発生した事案からIPAが候補を選出し約200名の選考会が審議・投票）、個人の順位を掲載しない理由、解説書等の公開に関する引用はこのページに基づきます。各脅威の具体的な手口と対策の詳細は確認していません。
関連記事
- 個人情報の漏えいは「おそれ」でも報告です｜速報3〜5日、確報30日
- バックアップの対象はファイルだけではありません｜送受信メールとURLも残す
- 鍵マークが付いていても偽サイトのことがあります｜フィッシングの3つの手口
- CcとBccの取り違えが一番多い事故です｜一斉メールは専用サービスを検討する
- パスワードの定期変更はもう求められていません｜10文字以上と、使い回しをやめること
- テレワークのチェックリストは方式を決めてから選びます｜総務省の手引きの①〜⑧
この記事は当サイト運営者が執筆しました。情報セキュリティの専門家による記事ではありません。この一覧は毎年更新されます。上記の確認日以降の版については、IPAのページでご確認ください。
コメント