「うちみたいな小さい会社が、わざわざ狙われるわけがない」
「変な日本語のメールなら、見ればすぐ分かる」
もし今もそう思っているなら、その感覚は2026年のセキュリティでは通用しなくなりました。攻撃者がChatGPTのような生成AIを”武器”として使い始めたことで、攻撃の質とスピードが一段上がっています。2026年6月時点で、IPA（情報処理推進機構）が公表する「情報セキュリティ10大脅威 2026」では、ついに「AIの利用をめぐるサイバーリスク」が組織編で初登場・第3位に入りました。攻撃の入口は、もうあなたの会社のすぐ隣まで来ています。
この記事では、AIが攻撃側に回ったことで何が変わり、中小企業がどこを固めるべきかを、結論先出しで5つに絞って整理します。
1. 何が起きたか：IPAが「AIのサイバーリスク」を初めて10大脅威に選んだ
結論：脅威の地図が書き換わりました。IPA「情報セキュリティ10大脅威 2026（組織編）」では、「ランサムウェアによる被害」が6年連続の第1位、「サプライチェーンの弱点を悪用した攻撃」が第2位、そして新顔として「AIの利用をめぐるサイバーリスク」が第3位に初選出されました。
実務上の意味はシンプルです。これまで「大企業の話」だった高度なサイバー攻撃が、AIによって”誰でも・安く・大量に”実行できるものに変わったということです。攻撃側のコストが下がるほど、狙われる対象は中小企業へと広がります。脅威ランキングは毎年眺めて終わりにせず、自社のどこが穴になるかを照らす”チェックリスト”として使うのが正解です。
2. AI攻撃の3類型：フィッシング・マルウェア・なりすまし
結論：警戒すべきは大きく3つです。トレンドマイクロはAIをめぐるリスクを整理していますが、中小企業がまず押さえるべきは「攻撃へのAI悪用」です。
第一に、フィッシングメールの高精度化。これまで詐欺メールを見破る最大のヒントだった「不自然な日本語」が消えました。GeminiやChatGPTのような生成AIが完璧なビジネス敬語で、取引先や金融機関になりすました文面を量産します。第二に、マルウェアの自動生成。AIにコードを書かせることで、技術力の低い攻撃者でも高度なウイルスを作れるようになりました。第三に、ディープフェイク詐欺。経営者の声や顔を偽造し、電話やビデオ会議で「至急この口座へ振り込んで」と指示する手口が、2025年以降に実際に確認されています。
中小企業の実務でのリスクは明確です。「文面が自然だから本物」「電話で社長本人が言ったから確実」という従来の判断基準が、まるごと崩れます。
3. なぜ中小企業が狙われるのか：VPNとサプライチェーンの”末端”
結論：あなたの会社は「最終標的」ではなく「踏み台」として狙われます。警察庁の集計では、ランサムウェア被害企業の約6割が中小企業で、主な侵入経路はVPN機器が6割超、次いでリモートデスクトップなど遠隔接続の脆弱性が続きます。
つまり、テレワークや拠点間接続のために導入したVPN機器が、更新を怠った瞬間に”開いたドア”になります。さらに10大脅威で第2位の「サプライチェーン攻撃」は、警備の薄い下請け・取引先を入口にして本丸の大企業へ侵入する構図です。大手と取引がある中小企業ほど、「自社が踏み台にされ、取引先に被害を広げる」リスクを負っていると考えてください。
4. AIは”守り”にも使える：ChatGPT・Gemini・Claudeを防御側に回す
結論：攻撃に使われるAIは、防御にも同じだけ使えます。生成AI（ChatGPT、Gemini、Perplexity、Claude など）を「守りの道具」として現場に落とすと、コストをかけずに底上げできます。
具体的には、(1) 不審メールの本文をAIに貼り付けて「不自然な点・なりすましの兆候」を要約させる一次チェック、(2) 自社の業種・体制に合わせた「社内AI利用ガイドライン」の草案づくり、(3) サーバーやファイアウォールのログをAIに要約させ、人手では追えない異常の当たりをつける——といった使い方です。IPAも、社内のAIツール利用ルール策定を急務として挙げています。注意点は1つ、機密情報や顧客データを安易に外部AIへ貼らないこと。守りに使うときこそ、入力する情報の線引きが要です。
5. 今週固めるべき実務5つ（結論先出し）
結論：難しいツール導入より、基本の徹底が効きます。今日から着手できる順に5つ。
- 多要素認証（MFA）の全社適用。パスワードが破られても侵入を止める最後の砦です。
- VPN機器・RDPの棚卸しと更新。侵入経路の6割がここです。使っていない遠隔接続は閉じる。
- 送金・口座変更の”二重確認ルール”。メールや電話の指示だけで動かさず、必ず別経路（折り返し電話など）で本人確認する。ディープフェイク対策の核心です。
- 社内AI利用ガイドラインの整備。何を入力してよく、何がNGかを明文化する。
- バックアップと復旧訓練。身代金を支払わずに復旧できる体制が、最大の交渉力になります（身代金支払い率は2024年の57.0%から2026年は43.8%へ低下し、「払わない経営」が主流になりつつあります）。
比較表：従来の攻撃 vs AIが回った2026年の攻撃
| 観点 | 従来の攻撃（〜2024年） | AIが回った攻撃（2026年） | 中小企業がやるべき対策 |
|---|---|---|---|
| 詐欺メール | 不自然な日本語で見破れた | 完璧な敬語で見分け困難 | 別経路での本人確認・AI一次チェック |
| マルウェア作成 | 高い技術力が必要 | 低スキルでも自動生成 | MFA・EDR・OS/機器の更新 |
| なりすまし | 文面のみ | 声・顔のディープフェイク | 送金・口座変更の二重確認 |
| 侵入経路 | メール添付が中心 | VPN・RDPの脆弱性が主流 | 遠隔接続の棚卸しと更新 |
| 狙われ方 | 大企業が中心 | 中小を”踏み台”に拡大 | サプライチェーン全体で防御 |
まとめ：経営者の行動ポイント
「自然な文面・本人の声だから本物」という前提を捨て、送金と口座変更は必ず別経路で本人確認するルールを今日決めてください。あわせて、攻撃に使われるAIを”自社の守り”に回す——この2点が、2026年の中小企業の分かれ目です。
Green Villageからのご提案
「VPNやサイトの穴が不安」「セキュリティ診断を受けたことがない」という経営者の方へ。Green Village株式会社では、セキュリティ診断・サーバー移設、AI最適化（AIO）に強いホームページ制作・保守、そして補助金を活用したデジタル化（デジタル化AI導入補助金2026・リスキリング助成金）まで、中小企業のAI活用とWeb防御をワンストップでご支援します。「まず自社のどこが穴か知りたい」だけでも構いません。お気軽にご相談ください。
出典
- IPA「情報セキュリティ10大脅威 2026」
- IPA「10大脅威 2026 解説書［組織編］」
- トレンドマイクロ「AIのサイバーリスクを3つに分けて理解する」
- JIPDEC「企業IT利活用動向調査2026（セキュリティ編）」
- 警察庁発表のランサムウェア被害件数解説
本記事は2026年6月26日時点の公開情報に基づきます。著者：田中雅人（行政書士／中小企業のAI活用・DX・Web集客・補助金支援）
