データ侵害コスト、世界平均で12%上昇し500万ドル近くに

IBMの「2026年 データ侵害のコストに関する調査」によると、データ侵害コストは1年間で12%上昇し、500万ドル近くに達したことがわかりました。中でも米国は最も高い侵害コストに直面しています。2026年、米国におけるデータ侵害の平均コストは1,150万ドルに上り、世界平均の2倍以上となりました。医療業界は引き続き最も高い侵害コストを抱えており、1件あたりの平均コストは664万ドルです。ただし、医療分野の侵害コストは前年比で10.5%減少しており、2025年の世界平均742万ドルから低下しています。今回の調査対象となったすべての業界でデータ侵害コストが増加しており、この上昇は主に検知、エスカレーション、および事業損失にかかるコストの増加によるものです。

医療分野では、侵害の59%が悪意ある攻撃や犯罪行為によるもので、26%がITシステムの不具合、13%がヒューマンエラーによるものでした。全業界を通じて見ると、フィッシング(音声フィッシングやSMSフィッシングを含む)が侵害全体の17%を占め、最も多い侵入経路となっており、その平均侵害コストは590万ドルに達しています。次いで多かった侵入経路は、サプライチェーン侵害、正規アカウントの悪用、ドライブバイ侵害攻撃、そしてソーシャルエンジニアリングでした。

この5年間で初めて、侵害の特定と封じ込めにかかる平均時間が増加に転じ、2025年から2.5%上昇しました。特定・封じ込めが最も困難だった攻撃ベクトルは、リムーバブルメディアとサプライチェーン侵害でした。これらはマルウェアスキャンや流入トラフィックの監視では検出されにくいためです。これら2つの攻撃ベクトルのいずれかが関与した侵害では、特定と解決までに平均258日を要しており、全攻撃タイプの平均247日を上回っています。

攻撃者は、脆弱性のスキャンからフィッシングやソーシャルエンジニアリングの誘導文作成、大規模な攻撃の自動化に至るまで、あらゆる攻撃の局面でAIツールを取り入れています。AIを活用した攻撃は前年比で56%増加しており、過去1年間に組織の4件に1件がAIを駆使した侵害を経験しています。

AIディープフェイクやなりすましは、AIを活用した攻撃全体の45%を占めており、AI生成マルウェアもより一般的になりつつあり、AI生成攻撃の19%を占めています。AI生成のフィッシングやその他の通信は攻撃全体の17%を占めました。AIを活用した攻撃は経済的な影響も大きく、データ侵害の平均コストに約100万ドルを上乗せしています。AIを活用した攻撃の大半は重要インフラを標的としており、中でも金融サービス業界とエネルギー業界が最も狙われました。

また、シャドーAI関連のインシデントも増加しています。これは、承認を受けずに従業員が利用しているAIアプリケーションによるものです。こうしたインシデントは、昨年の20%から今年は43%へと倍増以上になりました。IBMは、AIによるリスクを軽減・管理するためのガバナンスポリシーの欠如を指摘しており、AIツールの導入に厳格な承認プロセスを設けている組織は全体の約3分の1にとどまっています。この種の侵害の平均コストは539万ドルで、こうした侵害の5件に1件が規制当局からの罰金につながっています。

フロンティアAIモデルがもたらす新たな脅威への懸念も高まっています。侵害を受けた組織のうち、フロンティアモデルの存在を認識していた組織の85%が、この脅威に対抗するためセキュリティ投資を増やしていると回答しました。IBMによれば、専門家の間では、今後2年以内にAIが防御側よりも攻撃側に31.7%有利に働くようになるとの見方があり、セキュリティ対応におけるスピードの重要性が浮き彫りになっています。

多くの組織がセキュリティ対策にAIを取り入れつつありますが、その大半はAIエージェントを検知と封じ込めの用途にのみ使用しています。脆弱性管理にAIエージェントを活用しているのはごく一部にとどまります。つまり、脆弱性が悪用可能な状態で長期間放置されているということであり、攻撃者が脆弱性発見にAIツールを活用していることを踏まえると、これは組織が大きくセキュリティを改善できる重要な領域の一つと言えます。IBMは、人手の介入を最小限に抑えながら、露出した脆弱性の分析、ポリシーの適用、検知・封じ込めの連携を行うためにAIを活用することを推奨しています。

ランサムウェア・アズ・ア・サービスの普及により、ランサムウェア攻撃は増加を続けています。過去12カ月間で、侵害を受けた組織の39%が少なくとも1回はランサムウェア攻撃を経験したと回答しており、これは2023年の24%から62.5%増加した数字で、過去4年間での増加率を示しています。攻撃者は、単にファイルを暗号化するだけでなく、被害者に支払いを迫るため、公開による恥辱やデータ漏洩をちらつかせる手口をますます強めています。2026年には、ランサムウェア攻撃の41%がデータ漏洩や公開による恥辱といったブランドの評判を脅かす手口を含んでおり、攻撃の35%が従業員データや医療記録を標的としていました。