IPAの「情報セキュリティ10大脅威 2026」を見てみましょう
情報元：情報セキュリティ10大脅威 2026 | 情報セキュリティ | IPA 独立行政法人 情報処理推進機構
2026年5月21日、IPAは「情報セキュリティ10大脅威 2026」の内容を更新しました。
「情報セキュリティ10大脅威 2026」とは、
「情報セキュリティ10大脅威 2026」は、2025年に発生した社会的に影響が大きかった情報セキュリティの事故や攻撃の状況などから、IPAが脅威候補を選定し、情報セキュリティ分野の研究者、企業の実務担当者など約250名のメンバーからなる「10大脅威選考会」が審議・投票を経て決定したものです。
「組織」向け脅威については順位を併記し、「個人」向けでは脅威名のみを五十音順で記載しています。複数の脅威にまたがる事案もあるため、各自の環境に照らし選出された脅威については、極力もれなく対策を行うことが求められます。
IPA（独立行政法人情報処理推進機構）「情報セキュリティ10大脅威 2026」
“https://www.ipa.go.jp/security/10threats/10threats2026.html” より一部引用
このようなものです。
令和5年4月1日から、薬局の管理者が取り組むべき事項としてサイバーセキュリティ対策が義務付けられています [1] 。また、サイバーセキュリティ基本法の趣旨を踏まえると、管理者以外のスタッフもサイバーセキュリティの重要性を理解し、日常業務の中で必要な注意を払うことが求められます [2] 。
というわけで、今回は「情報セキュリティ10大脅威 2026」の内容から、重要な情報をピックアップして、みなさんとシェアしたいと思います。
組織編・個人編で選出された10個の脅威は…
1. 組織編
（https://www.ipa.go.jp/security/10threats/omgdg50000008fi8-att/kaisetsu_2026_soshiki.pdf）
組織編を見てみると、2026年の上位3項目として、1位に「ランサム攻撃による被害」、2位に「サプライチェーンや委託先を狙った攻撃」、3位に「AIの利用をめぐるサイバーリスク」が挙げられています。
ランサム攻撃とサプライチェーンや委託先を狙った攻撃は4年連続で1位・2位となっており、AIの利用をめぐるサイバーリスクは今回が初選出です。
2. 個人編
個人編は組織編と違い、順位ではなく五十音順で示されています。
ゆえに、上から順に危険度が高いという意味ではありません。
個人編を見てみると、「インターネットバンキングの不正利用」が4年ぶり8回目の選出となっている点がポイントです。他には、「不正ログイン」「クレジットカード情報の不正利用」「ネット上の誹謗中傷・デマ」「不正アプリによる被害」が11年連続で選出されており、従来から叫ばれているリスクが根強く残っている形です。
調剤薬局では、どのようなリスクになる？
先程の内容のうち、特に調剤薬局に関連する項目を抜粋して紹介します。
1. ランサムウェア攻撃
ランサムウェア攻撃は、悪意のあるソフトウェア（マルウェア）を使って、相手のデータやシステムを人質に取るサイバー攻撃です。
具体的には、以下のような手順で攻撃が行われます。
- データの暗号化と画面のロック
攻撃者は組織や個人のPCやサーバーに侵入し、保存されている重要なデータ・システムを暗号化して使えない状態にします。また、画面自体をロックして操作不能にする場合もあります。 - 身代金（ランサム）の要求
データ・システムを人質に取った後、画面に「元に戻したければ金を支払え」という脅迫文を表示します。追跡を逃れるため、暗号資産（仮想通貨）による支払いを要求されることもあります。 - 二重脅迫（ダブルエクストーション）
近年主流となっている手口です。攻撃者が機密情報を事前に盗み出しており、「身代金を払わなければ機密情報をインターネット上に公開する」と脅迫してきます。
ランサムウェア攻撃は、薬局の業務停止につながります。電子薬歴、レセコン、在庫管理システムなどが使えなくなれば、すべての薬局内の業務に支障が生じることになるでしょう。
IPAはランサムウェア攻撃への対策として、多要素認証、不要なポートの閉鎖、アクセス権の最小化、バックアップの運用、バックアップからの復旧訓練などを挙げています [3] 。
加えて薬局では、完全なシステム停止を想定して、紙ベースの一時運用、緊急連絡先の確認、ベンダーへの連絡手順などをあらかじめ決めておく必要があります。
これらの対策は、レセコン・電子薬歴のベンダーや、薬局のシステム周りを構築した担当者とも相談しながら練っていく必要があるので、薬局だけで完結させるのは困難ですが、後述する個人単位の対策を徹底することもランサムウェア被害を防ぐためには必要なので、まずは個人単位の対策を徹底することを優先しましょう。
2. サプライチェーンや委託先を狙った攻撃
薬局では、レセコン、電子薬歴、在庫管理システム、予約システム、決済サービス、オンライン請求システムなど、さまざまな外部サービスと連携しつつ業務を行っているといえますが、これらのサービスを開発・管理する外部の業者が攻撃の対象になる可能性もあることを知っておきましょう。
薬局側ができることとしては、
- 利用しているクラウドサービスに、どの患者情報が保存されているのか
- システム障害やサイバー攻撃が起きたとき、薬局にはいつ、どのように連絡が来るのか
- ベンダー側と薬局側の責任範囲は、どこで分かれるのか
- システムが停止した場合、何時間 or 何日業務を続けられるのか
このような点を必ず確認しておきましょう。
3. AIの利用をめぐるサイバーリスク
IPAは、AIの活用における教育として、「社内の機密情報等を安易に入力しないこと」「AIがユーザーの指示を正確に反映した結果を出力するとは限らないこと」「ハルシネーションが存在すること」「AIへの過剰な依存に留意すること」の必要性を挙げています。
これらは、私が以前からお伝えしていることです。特に、AIに与えるプロンプトや追加資料に、患者さんの氏名、生年月日、住所、処方内容などは絶対に入力してはなりません。
仮にデータ自体に匿名化をしたとしても、複数の種類のデータを組み合わせると特定の個人が推測できてしまうケースもあるため、完全にローカルな環境でAIを運用できないのであれば、可能な限り上記の情報は入力しない方向でAIを活用するようにしましょう。
4. 個人単位の脅威
先程お伝えした個人編の10大脅威では、フィッシング（詐欺）、不正ログイン、クレジットカード情報の不正利用、不正アプリのインストール、スマホ決済の不正利用などが挙げられていましたが、インターネットバンキングの不正利用以外は、長年にわたって繰り返し注意喚起されている内容になります。
なので基本的には、従来から言われている以下のような注意を継続していく必要があります。
- パスワードを使い回さない
パスワードを使いまわしていた場合、一つのサービスからパスワードが漏れたとき、別のサービスにも不正ログインされてしまう可能性があります。 - 多要素認証を使う
パスワードだけのログインの場合は、IDとパスワードを知られた時点で突破される可能性があります。一方多要素認証を設定しておけば、ログインする時に追加でスマートフォンによる認証、認証アプリ、ワンタイムパスワード、生体認証などが必要になり、不正ログインのリスクを減らせます。 - パスキーが使えるなら、積極的に使う
パスキーは、従来のようにパスワードを入力してログインする手段ではなく、スマートフォンやPCに登録された認証情報（指紋認証・顔認証など）を使ってログインする仕組みです。
IPAも、パスキーを「パスワードを使わずにウェブサイトへログインする手段」としており、利用可能な場合は極力利用するようアドバイスしています [4] 。 - メールやSMSのリンクをすぐ開かない
特に、「至急」「重要」「本日中」「アカウント停止」「請求未払い」「セキュリティ確認」「配送不在」「返金手続き」といった文面は、焦って操作させるために使われやすい表現です。 - 業務端末に勝手にアプリを入れない
提供元が不明なアプリやツールを勝手にインストールすることは、情報漏えいやマルウェア感染のきっかけになります。特に薬局内の端末には個人情報や機密情報がつまっていますから、自己判断で勝手に新しいアプリをインストールすべきではありませんし、ランサムウェア被害の入口にもなりえます。
どうしても必要なのであれば、必ず上長（管理薬剤師など）に相談してから使うようにしましょう。 - 使っていないアカウントを放置しない
個人編ハンドブックでも、利用していないサービスのアカウントを削除または退会することが対策として示されています [4] 。
放置アカウントは攻撃者側の侵入口になりうるだけでなく、侵入されても気づきにくいという問題もあります。定期的にアカウントの棚卸しをしましょう。 - ログイン通知や利用明細を確認する
個人編ハンドブックでは、ログインアラート機能の活用、ログイン履歴の確認、クレジットカード利用明細の定期的な確認が、早期発見のための対策として挙げられています [4] 。
【補足：多要素認証とパスキーの違い】
多要素認証とパスキーは一見同じものに見えますが、多要素認証は「パスワードにもう一つ鍵を足す対策」であるのに対し、パスキーは「そもそもパスワードを使わない対策」といえます。
パスキーを活用することにより、パスワードを盗まれる、使い回される、偽サイトに入力してしまうといった弱点を減らせるため、対応しているサービスでは積極的に利用したい認証方法です。
医療機関としての役目を果たすためにも、サイバーセキュリティ対策が必要
サイバーセキュリティ対策と言うと、普段調剤薬局のスタッフが聞き慣れない用語が出てきたり、あるいは小難しい話になったりして、なかなか徹底しづらい部分もあると思います。
しかし、調剤薬局におけるサイバーセキュリティ対策は、「患者さんの情報を守りつつ、医薬品の適正使用や健康相談を通じて、患者さんのQOLの増進に寄与する」という調剤薬局の役割を、責任を持って果たすためにも必要なものなのです。
仮にサイバー攻撃による被害を受けて業務が停止すれば、患者さんをはじめとしたステークホルダーに多大な迷惑がかかります。
さらに個人情報の流出が発覚した場合は、外部からの信頼の失墜につながるだけでなく、漏洩後の対応にも追われることになるため、本来の調剤薬局の業務の質が維持できなくなるおそれがあります。
こういったリスクを可能な限り回避するために、まずは「メールやSMSのリンクをすぐ開かない」といった、個人単位でできる対策を徹底することから始めてみましょう。
ひとつひとつは小さな対策でも、その積み重ねが結果的に患者さんの安全を守ることにつながります。
参考資料
[1] 日本薬剤師会「医療情報システムの安全管理について」
https://www.nichiyaku.or.jp/yakuzaishi/pharmacy-info/cybersecurity
[2] e-Gov 法令検索「サイバーセキュリティ基本法」
https://laws.e-gov.go.jp/law/426AC1000000104
[3] 独立行政法人情報処理推進機構（IPA）「情報セキュリティ10大脅威 2026 解説書 [組織編]」
https://www.ipa.go.jp/security/10threats/omgdg50000008fi8-att/kaisetsu_2026_soshiki.pdf
[4] 独立行政法人情報処理推進機構（IPA）「情報セキュリティ10大脅威 2026 個人編ハンドブック」
https://www.ipa.go.jp/security/10threats/setsumei_2026_kojin.pdf
