IBMの2026年データ漏洩レポート：平均コスト499万ドル、AI攻撃が56%急増、セキュリティリーダーが知るべきポイント

記録的な漏洩コストと「AIプレミアム」

米国の組織は1件あたり平均1150万ドルの漏洩コストを負担しており、世界平均の2倍以上、前年比11%増加しています。漏洩が解決されない1時間ごとに、約1100ドルのコストが発生している計算です。

AIを活用した攻撃は、最大のコスト増加倍率となっています。悪意のある漏洩の4件に1件がAIを含むもので、前年比56%増加。これらの漏洩の平均コストは600万ドルで、世界平均より約100万ドル高い結果となりました。具体的なAI攻撃の種類としては、ディープフェイクになりすまし、AI搭載マルウェア、モデル反転攻撃（平均607万ドル）、プロンプトインジェクション（平均589万ドル）などが報告されています。

検知・対応時間が5年ぶりに悪化

5年連続で改善傾向にあった漏洩の発見から封じ込めまでの平均期間は、247日に増加しました（発見まで183日、封じ込めまで64日）。この悪化は、攻撃者が防御側よりも速く動き、対応の時間的な猶予を圧縮していることを示しています。漏洩が200日以上続いた場合の平均コストは565万ドルで、200日以内に封じ込められた場合の432万ドルを大きく上回ります。

「シャドーAI」とガバナンスの失敗が危機的水準に

最も憂慮すべき発見の一つは、シャドーAI（無許可のAIツール）によるインシデントが2倍以上に増加し、被害組織の20%から43%に上昇したことです。セキュリティレビューなしで使用される無許可のAIツールが、現在では全インシデントの半数近くを占めています。

AI関連のセキュリティインシデントを経験した組織のうち、92%が適切なAIアクセス制御を欠いていました。また、被害組織の68%は、漏洩時にAIガバナンスポリシーを一切策定していませんでした。AIモデルやAIベースのアプリケーションに関連するインシデントは13%から21%に増加しました。レポートは、プロンプトインジェクション、モデル反転、データポイズニングなどを通じてAIインフラを標的とした攻撃を記録しています。AI関連の漏洩を経験したがアクセス制御を欠いていた組織の平均コストは533万ドルで、AIに関与しなかった組織の470万ドルを上回りました。

投資対応：85%がセキュリティ投資の増加を計画

フォローアップ調査では、被害組織の85% が、先端AI脅威に対応するためにセキュリティツールとガバナンスへの支出を増やす計画があると回答しました。本調査では、漏洩そのものが支出増加のきっかけになると回答した組織は64%でした。この支出急増は業界全体のトレンドと一致しており、例えばシスコは同期間にセキュリティ収益が前年比14%成長したと報告しており、AIを意識した防御への企業投資の加速を反映しています。

その他の重要な発見

• サプライチェーン侵害は、1件の漏洩あたり平均22万7250ドルのコスト増加要因となり、2番目に多い攻撃ベクトルであり、発見と封じ込めに258日を要しました。
• ヘルスケアは依然として最も漏洩コストが高い業種で平均664万ドルですが、過去数年からは減少しています。
• インドでは平均漏洩コストが過去最高の2550万ルピー（305万ドル）に達し、前年比15.9%増加しました。
• AIと自動化をセキュリティに広範に活用している組織は、そうでない組織と比較して平均193万ドルのコスト削減を実現しています。
• 漏洩後に完全な復旧を報告した組織は42% のみで、前年の35%から改善したものの、依然として大多数が漏洩から数ヶ月から数年後にわたって復旧途中であることを示しています。

2026年のレポートは、2025年3月から2026年2月の間に収集されたデータに基づき、17カ国、17業種の602の被害組織を調査したものです。