IPA「10大脅威2026」を情報Ⅰでどう教えるか——組織と個人のリスク、そして授業の工夫

2026年2月4日 18:14

はじめに——毎年変わる「脅威の地図」が教えてくれること

情報処理推進機構（IPA）が毎年発表する「情報セキュリティ10大脅威」は、前年に起きた社会的に影響の大きかった事故や攻撃をもとに、研究者や企業の実務担当者ら約250名が選考し、組織向けと個人向けの脅威をまとめたものです。2026年1月29日に公表された「情報セキュリティ10大脅威 2026」では、組織向けの3位に**「AIの利用をめぐるサイバーリスク」**が初めてランクインし、AI時代のセキュリティが公式の「脅威」として位置づけられました（IPA「情報セキュリティ10大脅威 2026」を発表 "AIリスク"が初登場3位に｜EnterpriseZine、情報セキュリティ10大脅威 2026｜IPA）。

高校の情報Ⅰでは、セキュリティやリテラシーを「身近な話題」として扱うことが求められます。10大脅威は、企業だけでなく個人にも直結する脅威が五十音順で示されており、生徒が「自分ごと」として考えやすい材料になります。筆者が日々発信しているnote（mhamadajp）では、AIの正しい導き方、情報モラル、共通テストとAIなど、現場に即したテーマを扱っています。この記事では、10大脅威2026のポイントを押さえつつ、組織向けと個人向けの両方を視野に入れ、情報Ⅰの授業でどう取り上げるかの工夫と、生徒自身が知っておきたい個人のリスクをまとめます。

2026年版のポイント——AIリスクが初めて「3位」に

IPAが公表した組織向けの10大脅威では、1位が「ランサム攻撃による被害」で11年連続、2位が「サプライチェーンや委託先を狙った攻撃」で8年連続となっています。そして3位に「AIの利用をめぐるサイバーリスク」が初選出されました。AIを悪用した攻撃や、AIを利用する過程で生じる情報漏えい・なりすまし・フェイクコンテンツなどが、公式の脅威として認識されたことを意味します（情報セキュリティ10大脅威 2026｜IPA）。

4位以降は、システムの脆弱性悪用、標的型攻撃、地政学リスクに起因するサイバー攻撃、内部不正、リモートワークを狙った攻撃、DDoS攻撃、ビジネスメール詐欺と続きます。IPAは、複数の脅威にまたがる事案もあるため、各自の環境に照らして選出された脅威について、もれなく対策を行うことが求められるとしています。授業では「組織が何を脅威と感じているか」を伝えることで、将来の仕事や社会との接点を意識させることができます。

個人にも身近な脅威——私たちの生活と10大脅威

10大脅威には「個人」向けのリストもあり、五十音順で次の10項目が挙げられています（情報セキュリティ10大脅威 2026｜IPA）。

インターネット上のサービスからの個人情報の窃取、インターネット上のサービスへの不正ログイン、インターネットバンキングの不正利用、クレジットカード情報の不正利用、サポート詐欺（偽警告）による金銭被害、スマホ決済の不正利用、ネット上の誹謗・中傷・デマ、フィッシングによる個人情報等の詐取、不正アプリによるスマートフォン利用者への被害、メールやSNS等を使った脅迫・詐欺の手口による金銭要求です。

これらは、スマートフォンやSNSを日常的に使う生徒にも関係が深いテーマです。例えば「フィッシング」は偽のメールやサイトでID・パスワードを奪う手口、「サポート詐欺」は「ウイルスに感染している」などと偽ってお金を要求する手口です。授業では「名前は知らなくても、実は身の回りで起きうる話」として、具体例を交えて紹介すると、他人事ではなくなります。また「ネット上の誹謗・中傷・デマ」は、発信者としての責任や、受け取った情報を鵜呑みにしない批判的吟味と結びつけて扱えます。

情報Ⅰの授業で取り上げる工夫——「知る」から「対策を考える」へ

10大脅威を情報Ⅰで扱うときは、用語の説明で終わらせず、生徒が「自分ならどうするか」を考えられる場面を設けると効果的です。

まず、組織の3位「AIの利用をめぐるサイバーリスク」と、既習内容をつなぐことができます。生成AIに個人情報や機密情報を入力すると漏えいリスクがあること、AIが作った文章や画像をそのまま信用するとフェイクや詐欺に巻き込まれやすいこと、AIを悪用した攻撃が現実の事件として報じられていること（例えば快活CLUB事件）を、短いニュースクリップやIPAのプレスリリースと組み合わせて紹介します。文部科学省の「初等中等教育段階における生成AIの利活用に関するガイドライン」で示されている「安全性を考慮した適正利用」「個人情報・著作権の保護」と、10大脅威の「AIリスク」を対応させると、単元間のつながりが明確になります（学校における生成AI活用ガイドライン）。

次に、個人向けの脅威を「体験型」に近い形で扱う工夫です。フィッシングメールの例（巧妙な偽サイトのURL、緊急を装う文面）を教材として見せ、「どこが怪しいか」をグループで話し合わせます。サポート詐欺やSNSを使った脅迫・詐欺については、「知らない相手から金銭を要求されたらどうするか」「まず誰に相談するか」をロールプレイやシナリオ討論で扱うと、行動選択まで落とし込めます。不正アプリやスマホ決済の不正利用は、アプリの入手元の確認や、決済サービス利用時の認証の重要性とセットで教えると、実生活に直結します。

さらに、「組織の脅威」と「個人の脅威」のつながりを意識させます。ランサム攻撃や標的型攻撃は企業を狙いますが、きっかけは従業員の個人端末やメールのクリックであることも多いです。個人のリテラシーが組織のセキュリティの土台になるという視点を伝えると、将来の仕事や責任ある利用を想像しやすくなります。

筆者のnoteでは、「宿題をAIに書かせる子」に悩む先生へで思考力を奪わないAIの導き方、AI悪用サイバー事件と教育が問いかけることで快活CLUB事件と情報倫理を扱っています。10大脅威の「AIリスク」とあわせて参照すると、情報Ⅰの単元「情報セキュリティ」や「情報倫理」の深まりにつながります。

個人が知っておきたいリスクと、日頃からできること

生徒や保護者に「個人として気をつけたいこと」を伝えるときは、10大脅威の個人向けリストを土台にしつつ、すぐにできる習慣に落とし込むと伝わりやすくなります。

ID・パスワードは推測されにくいものにし、同じパスワードを複数のサービスで使い回さないようにします。不審なメールやSMSのリンクを安易に開かず、公式サイトやアプリから直接ログインする習慣をつけることが大切です。スマホ決済やネットバンキングを使うときは二段階認証を有効にし、少額でも不審な請求があれば利用先に問い合わせるように伝えます。アプリは公式ストアから入手し、権限の要求内容を確認する習慣も、不正アプリ被害の予防につながります。ネット上の誹謗・中傷やデマには加わらず、受け取った情報は出典を確かめる姿勢を促します。知らない相手からの金銭要求には応じず、まず家族や学校、警察に相談するよう伝えておくと安心です。

これらは「脅威の名前」を覚えるよりも、「こういうときはこうする」という行動に結びつけると、生徒も保護者も実践しやすくなります。授業のまとめや保護者向けの資料で、10大脅威のURL（情報セキュリティ10大脅威 2026）を共有し、年度ごとに内容が更新されることも伝えておくと、卒業後も自分で確認する習慣につながります。

まとめ——「脅威を知る」から「対策する自分」へ

IPAの「情報セキュリティ10大脅威 2026」は、組織向けにAIリスクが初めて3位にランクインしたこと、個人向けにはフィッシング・サポート詐欺・誹謗中傷・不正アプリなど、生徒の生活に直結する脅威が並んでいることを押さえておくと、情報Ⅰの授業のネタとして使いやすくなります。授業では、用語の羅列にせず、組織と個人の両方の視点を入れ、「自分ならどうするか」を考えさせる活動を組み込むと、単なる知識から「対策を選ぶ力」に近づけられます。筆者のnote（mhamadajp）では、AIの正しい導き方や情報倫理、共通テストとAIなど、現場目線の記事を公開しています。10大脅威とあわせて参照いただければ幸いです。公開前に必ず他メンバーによるレビューを経て、誤字脱字と内容の検証を行ってから投稿することをお勧めします。