標的型メール訓練とは？実施の目的・効果・基本的な流れを解説

2026年7月25日 2026年7月27日

secure

標的型メール訓練とは？実施の目的・効果・基本的な流れを解説

標的型メール訓練とは、疑似攻撃メールを従業員に送付し、クリック行動を記録・分析することでセキュリティ意識を高める実践的な教育手法です。IPA（情報処理推進機構）の「情報セキュリティ10大脅威2024」でも標的型攻撃による機密情報の窃取は組織向け脅威の第4位に挙げられており、対策の必要性は年々高まっています。

標的型メール訓練とは

標的型メール訓練はフィッシングシミュレーションとも呼ばれ、攻撃者が実際に使う手口を模した疑似メールを従業員に送付します。クリックした従業員には「これは訓練でした」と即座に通知し、正しい対応手順を学ぶ機会を作ります。

目的は大きく3つあります。実際の攻撃メールに従業員が気づけるかを確かめること、不審なメールを開いてしまう割合（クリック率）を把握すること、そして繰り返しの訓練を通じて組織全体のリスクを下げることです。

座学研修との違い

項目	標的型メール訓練	座学研修
学習の形	体験・行動型	知識インプット型
効果の持続	長期的	短期的になりやすい
コスト	中〜高	低〜中
実施頻度	年2〜4回が目安	年1〜2回が多い

なぜ今、標的型メール訓練が必要なのか

複数のセキュリティ機関の調査でも、企業へのサイバー攻撃の多くはメールを起点としていると報告されています。攻撃者がメールを選ぶのには理由があります。フィッシングメールは大量に送っても費用がほとんどかからず、「至急確認してください」「アカウントが停止されます」といった件名で受信者の判断力を狙い澄まして鈍らせることができます。近年はAIで生成された自然な文面も増え、技術的なフィルタリングだけでは見逃すケースも出てきています。

被害はメールを一本開いただけでは終わりません。そこからランサムウェアに感染して業務が止まることも、経営者を騙るビジネスメール詐欺（BEC）で多額の不正送金が発生することもあります。FBI IC3の2024年次報告書によれば、BEC（ビジネスメール詐欺）による年間被害額は世界で約28億ドル（日本円で4千億円超）に達しており、2022〜2024年の3年間累計では85億ドル（約1.3兆円）超と報告されています。国内でも被害報告が増え続けています。

訓練でどれくらい効果が出るのか

複数の調査・導入事例から見えてくるのは、繰り返しの訓練によってクリック率が着実に下がるという傾向です。

初回訓練のクリック率：平均20〜30%
6ヶ月後（3〜4回実施後）：5〜10%程度まで低下
1年以上継続した場合：2〜5%以下になるケースも

効果を出すうえで特に重要なのはシナリオを変えながら続けることです。同じパターンを繰り返すと「慣れ」が生まれ、本物の攻撃に対しては依然として無防備なままになります。またクリックした直後に教育コンテンツを見せる仕組みを入れると、その体験が記憶に残りやすくなります。

訓練の進め方

訓練は「計画・実施・分析・改善」のサイクルで回します。

計画・設計（実施1〜2週間前）

まず誰に送るか、どんな内容のメールにするか、何を測定するかを決めます。送信元の種類（社内システム通知に見せかける、取引先を装うなど）や難易度は、組織のセキュリティ成熟度に合わせて選びます。実施前に人事部門や法務部門と連携し、社内規程に沿った手続きを済ませておくとトラブルになりにくいです。

メールの配信

疑似攻撃メールを送付する際は、タイミングをあえてランダムにします。一斉に送ると「今日は訓練があるらしい」と口コミが広がり、結果が実態を反映しなくなるためです。

結果の分析

訓練後に集計するのは主にクリック率と報告率です。

指標	内容	目標値（目安）
クリック率	疑似URLを踏んだ割合	5%以下
報告率	不審メールとして報告した割合	20%以上
開封率	メールを開封した割合	参考値として記録

目標値はあくまで参考で、前回比での改善を追うほうが実態に合った評価になります。

フォローアップ

クリックした従業員への個別のフォロー、全体へのフィードバック共有、次回に向けたシナリオ改善をセットで行います。このサイクルを重ねることで、組織全体のリスクは徐々に下がっていきます。

訓練を設計するうえで気をつけること

「罰として使わない」は訓練設計の基本です。クリックした従業員を名指しで叱ったり、人事評価に使ったりすると、訓練への協力意欲が失われ、次回からクリックしても報告しなくなるケースもあります。

代わりに「クリックした人は攻撃者と同じ目線を一度体験できた」という捉え方を社内に広めると、訓練結果を改善の材料として受け止めやすくなります。全体の結果は集計値で共有し、個人が特定されない形にすることも信頼を保つうえで欠かせません。

法令・ガイドラインとの関係

標的型メール訓練は、複数の法令・ガイドラインで実施が推奨されています。

法令・ガイドライン	関連する要件
個人情報保護法	従業員教育の実施（安全管理措置）
経産省「サイバーセキュリティ経営ガイドライン」	組織的・人的セキュリティ対策
IPA「情報セキュリティ10大脅威」	標的型攻撃対策
ISMS（ISO 27001）	A.7.2.2 情報セキュリティの意識向上、教育及び訓練
Pマーク（JIS Q 15001）	従業員への定期的な教育・訓練

ISMSやPマークの取得を目指している企業にとっては、訓練の実施記録が審査対応の根拠としても使えます。

よくある質問

Q. 何回やれば効果が出ますか？

A. 1回では習慣にならないため、最低でも年2回、できれば四半期に1回のペースが目安です。同じシナリオを使い続けると慣れが生まれるので、件名の種類や送信元の設定を毎回変えるようにします。

Q. クリックしてしまった社員にはどう対応すればいいですか？

A. 叱責より学習の機会として扱うほうが効果的です。クリック直後に短い解説コンテンツを見せる仕組みを入れると、その体験が自然な学習につながります。繰り返しクリックする従業員には、個別の補足研修を組み合わせると変化が出やすいです。

Q. 訓練メールのシナリオはどう作ればいいですか？

A. 攻撃者がよく使うのは「パスワードの有効期限が切れる」「アカウントが停止される」といった緊急性を煽る件名、上司や社長・IT部門・銀行を装うなりすまし、請求書や業務連絡に見せかけた添付ファイルの3パターンです。初回は見破りやすい内容から始め、慣れてきたら徐々に精巧なシナリオに移行するとバランスがとりやすいです。

Q. クリック率が高くても問題ないですか？

A. 初回の訓練でクリック率が高いのはよくあることで、現状を正確に把握できたという意味では成果です。その結果を受けて全社向けの啓発研修を組み合わせたり、不審メールの報告フローを整備したりする契機として活用できます。

Q. 訓練を事前に告知せずに実施しても問題ありませんか？

A. 告知なしで実施すること自体は国内では一般的に問題とされていません。ただし訓練で取得したクリック率のデータは個人情報に該当する可能性があるため、データの取り扱いと利用目的は事前に社内で整理しておく必要があります。