「AIの利用をめぐるリスク」が脅威ランキング3位に初登場。中小企業が今すぐ見直すべきこと
独立行政法人情報処理推進機構（IPA）が発表した「情報セキュリティ10大脅威2026」で、新しい変化がありました。
組織向けランキングでは、ランサムウェアによる被害が6年連続で1位、サプライチェーンの弱点を悪用した攻撃が2位という、これまでも警戒されてきた脅威が続く一方、「AIの利用をめぐるサイバーリスク」が初めて3位にランクインしたのです。
ChatGPTなどの生成AIを業務で使い始めた中小企業にとって、これは正面から受け止めるべき変化です。
「AIの利用をめぐるリスク」とは何か
このランキングが指す脅威は、単一の問題ではありません。大きく3つの側面に分類されています。
1. 攻撃者によるAIの「悪用」
攻撃者が生成AIを使い、ターゲットに合わせて最適化された極めて自然な日本語のフィッシングメールを大量に自動生成するケースが報告されています。
これまでの「いかにも怪しい」フィッシングメールとは異なり、AIが作る文章は不自然さがなく、見分けることが難しくなっています。さらに、ディープフェイク技術で経営者や取引先の声・映像を偽造し、従業員を騙して不正送金させるビジネスメール詐欺（BEC）も現実的な脅威になっています。
2. 企業が利用するAIシステムへの「攻撃」
自社で導入したAIツール自体が、攻撃の対象になるケースです。AIに不正な指示を埋め込んで誤動作させる手法などが報告されています。
3. AIの「運用」時に生じる情報漏えい
最も中小企業にとって身近なリスクがこれです。社員が業務で生成AIに入力した内容が、意図せず外部に漏れる可能性があるという問題です。
中小企業の現場で起きていること
ChatGPTなどの生成AIは、すでに多くの企業で日常的に使われています。議事録の整理、メールの下書き、企画書の作成——便利さゆえに、深く考えずに使ってしまう場面も多いはずです。
ここで問題になるのが、「何を入力したか」を会社が把握できていないという状況です。
- 顧客の個人情報をそのままAIに入力してしまう
- 社内の機密情報・未公開の数値をプロンプトに含めてしまう
- 取引先の契約条件をAIに整理させてしまう
こうした入力内容が、利用しているAIサービスの設定によっては学習データとして利用されたり、何らかの形で外部に影響を及ぼす可能性があります。「便利だから」という理由だけで使い続けると、気づかないうちに情報漏えいのリスクを積み重ねてしまいます。
中小企業が今すぐ確認すべき3つのこと
1. AIに入力してはいけない情報のルールを決める
「顧客の個人情報は入力しない」「契約書の内容はそのまま貼り付けない」など、最低限のルールを社内で言語化することが第一歩です。難しいガイドラインでなくても、まずは紙1枚の注意事項で構いません。
2. 利用しているAIサービスの設定を確認する
多くのAIサービスには、入力データを学習に利用するかどうかの設定があります。法人向けプランでは学習に利用しない設定が可能な場合もあるため、現在の契約内容を確認することをおすすめします。
3. フィッシングメールの「見た目」を信じない文化を作る
AIが作る巧妙なフィッシングメールは、文章の不自然さで見抜くことが難しくなっています。「メールの文面が自然だから本物」という判断基準はもはや通用しません。送信元のアドレスやリンク先URLを必ず確認する、不審な金銭・情報のやり取りは電話などの別経路で確認する、という運用ルールの徹底が重要です。
経済産業省・IPAも事例集を公表
こうした状況を受けて、経済産業省とIPAは「中小企業のための実例で学ぶサイバーセキュリティリスク事例集」と「中小企業の情報セキュリティ対策ガイドライン」の最新版を公表しています。中小企業で実際に起こり得る被害や必要な対策が、30の実例を通して紹介されています。
「うちには関係ない」と感じる内容ではなく、現場で実際に起きていることをベースにした実用的な資料です。一度目を通しておく価値があります。
まとめ：AIを使わないのではなく、安全に使う
生成AIの活用は、業務効率化において大きな価値があります。リスクがあるからといって使わない選択は、現実的ではありません。
重要なのは、「何が危険になり得るか」を知った上で、安全に使うための最低限のルールを持つことです。AIの導入を検討している、あるいはすでに使っているが社内ルールが整っていない中小企業は、この機会に一度棚卸しすることをおすすめします。
参考：IPA「情報セキュリティ10大脅威2026」、経済産業省・IPA「中小企業のための実例で学ぶサイバーセキュリティリスク事例集」（2026年4月公表）