象徴する脅威：AI（人工知能）の利用が“当たり前”になった攻撃

予測

　2026年、攻撃者はAIを使っていることすら隠さなくなるだろう。もはや「AIを使った攻撃」は特別ではなく、標準装備になる可能性がある。

具体的な姿

• フィッシングメール
  • 日本語が自然すぎて違和感なし
• 標的型攻撃
  • 標的企業のWebサイトやSNSを学習した「社内事情を知っている風」文章
• マルウェア
  • 検知されたら振る舞いを変える自己学習型

情シス的な不吉ポイント

• 「怪しいかどうか」を人が勘で見抜く前提が崩壊

2．境界は幻想――社内ネットワーク神話の崩壊

　象徴する脅威：内部侵入を前提とした攻撃

予測

　2026年、攻撃者はこう考えるだろう。「侵入できない企業？ そんなものは存在しない」

具体的な姿

• VPN（仮想プライベートネットワーク）などのIDの1つでも漏れた瞬間、正規ユーザーとして侵入し、横移動
• 管理者権限を奪うまで静かに数週間滞在
• ランサムウェア（身代金要求型マルウェア）感染は「最後の一手」

情シス的な不吉ポイント

• 「侵入＝即被害」ではない
• 攻撃の発見が遅れるほど、被害は指数関数的に拡大

3．「見えないIT」が企業を裏切る

　象徴する脅威：IT部門が承認していないIT／AI利用「シャドーIT」「シャドーAI」の暴走

予測

　2026年、最大の敵は「悪意のない従業員」かもしれない。

具体的な姿

• 従業員が勝手に使う生成AIツール
• 業務効率化のための個人用SaaS（Software as a Service）
• IT部門が把握していない自動化ツール

典型的な事故シナリオ

1. 業務データをAIツールに投入
2. データが学習、保存される
3. 情報漏えいだと気付いたときには手遅れ

情シス的な不吉ポイント

• 「禁止」しても、止まらない

4．攻撃者は“技術”より“経営判断”を狙う

　象徴する脅威：経営・業務プロセスを突く攻撃

予測

　2026年、攻撃者はこう囁くだろう。「技術より、人のほうが狙いやすい」

具体的な姿

• 偽の請求書
• 偽のM&A関連連絡
• 緊急性をあおる“経営判断誘導型”攻撃

情シス的な不吉ポイント

• 技術対策だけでは防ぎにくい
• 被害は「セキュリティ事故」ではなく、「経営事故」として表面化

5．ランサムウェアは“壊す”より“選別する”

　象徴する脅威：静かで選別的な恐喝

予測

　2026年のランサムウェアは、全部暗号化しない。騒がない。一番痛いところだけを突く。

具体的な姿

• 特定の業務システムのみを暗号化して停止させる
• 「公開されたら困る」データだけを人質にする

情シス的な不吉ポイント

• 復旧できても風評被害が残る

情シスの生存戦略

　結論はシンプルだ。

• 2026年に「負ける」企業
  • 侵入されないことを前提とする
  • ルールで縛れば守れると考える
  • セキュリティはIT部門の仕事だと考える
• 2026年に「生き残る」企業
  • 侵入される前提でセキュリティシステムを設計する
  • 脅威の検知、封じ込め、システム復旧の速さを重視する
  • 「人」「業務」「経営」を軸にした包括的なセキュリティ戦略を立てる

まとめ

　2026年の最大の脅威は、「新しい攻撃」ではない。昔の前提のまま、対策を続けていることと言えるだろう。