フィッシング訓練のクリック率の平均は？業界別データと改善のヒント
secureフィッシング訓練のクリック率の平均は？業界別データと改善のヒント
クリック率という指標の重要性
フィッシング訓練では複数の指標が測定されますが、クリック率が最も重要な理由があります。
実際の攻撃者も同じ手法を使っており、クリック率が低い＝攻撃成功確率が低い、という直結関係があるためです。例えば、1000人の従業員のうち100人がクリックする（10%クリック率）企業では、10万人の顧客にフィッシングメールを送った場合、約1000人が引っかかる可能性が高いということになります。
つまり、クリック率を下げることは、組織が受けるセキュリティリスクを直接低減することと同じ意味を持ちます。
国内外のクリック率データ
複数の調査・導入事例から見える、典型的なクリック率の推移の目安を以下にまとめます（特定の調査を単一出典とするものではなく、一般的な傾向を示す参考値です）。
| 調査対象 | 初回訓練 | 3ヶ月後 | 6ヶ月後 | 1年後 |
|---|---|---|---|---|
| 国内企業全体（目安） | 22～28% | 12～16% | 6～9% | 3～5% |
| 海外企業全体（目安） | 20～30% | 11～16% | 7～11% | 4～7% |
| 日本金融機関（目安） | 15～18% | 8～12% | 4～7% | 2～4% |
参考として、Proofpoint「2024 State of the Phish」では、疑似フィッシングメールへの平均失敗率（リンククリックやデータ入力などの危険な操作を含む）は9.3%と報告されています。ただしこれは繰り返し実施を含む全体平均であり、上表の「初回訓練」の数値とは測定の定義が異なる点に注意が必要です。
これらの数字は、組織的な訓練継続があれば、1年以内に大幅な改善が見込めることを示しています。一方で、訓練を1回限りで終わらせたり、数年間中断したりすると、クリック率が初期水準に戻るケースも報告されています。
業界別・部門別のクリック率差異
クリック率は業界や職種によって大きく異なります。
| 業界・部門 | 初回クリック率 | 理由 |
|---|---|---|
| 金融機関 | 12～18% | セキュリティ意識が高い、研修頻度が多い |
| IT企業 | 15～20% | セキュリティ知識が比較的高い |
| 製造業 | 22～30% | 現場業務中心、セキュリティ研修が後回しになりやすい |
| 小売・飲食 | 28～35% | セキュリティ教育機会が少ない傾向 |
| 営業部門 | 30～40% | 外部とのメール頻度が高く、信頼関係を重視 |
| 管理部門 | 18～25% | 規程に従う習慣あり |
| 新入社員 | 35～45% | セキュリティ知識が浅い傾向 |
営業部門のクリック率が高い理由は、取引先との信頼関係を重視する業務特性があるためです。一見すると「正規の取引先からのメール」に見えるフィッシングメールに対して、警戒心が低くなりやすいことが影響しています。
クリック率が高い理由
従業員側の要因
- セキュリティ意識の不足：「この位大丈夫」という慢心
- 多忙による判断低下：メール処理を急ぐあまり、内容確認が甘い
- 信頼関係の優先：上司や取引先に見えるメールに対する警戒心の低さ
- フィッシング手法の進化：AIで生成された自然な日本語文面への対応不足
訓練設計側の要因
- シナリオの単純さ：見破りやすすぎる内容設定
- タイミングの予測可能性：毎月同じ曜日に送信するなど、パターン化
- 送信者情報の不自然さ：会社のメールアドレスから送信するなど、本物感に欠ける
クリック率を改善するための施策
シナリオの段階的な難易度向上
初回は見破りやすい内容から始め、段階的に精巧にしていく方法があります。
- 初回（易しい）：明らかに不自然な日本語、単純な偽装URLで設計
- 2回目（中程度）：本物に近い文体、実在する送信元になりすまし
- 3回目以降（難しい）：上司や取引先を装い、緊急性を煽る内容
この段階的アプローチにより、従業員は「本当の攻撃に近い状況」を疑似体験でき、判断力が実践的に養成されます。
クリック直後の即時フィードバック
クリックした直後に「これは訓練でした」と通知し、短い学習コンテンツを見せることで、その瞬間の記憶に基づく学習効果が大幅に向上します。
遅延フィードバック（後日メールで「クリック率が高かった」と通知）より、即時フィードバック（クリック直後に表示）の方が、同じ間違いを繰り返す率が低くなることが報告されています。
部門別のカスタマイズ
営業部門のように特定の職種でクリック率が高い場合、その部門に特化したシナリオを用意することが効果的です。例えば営業部門向けには「顧客からの緊急取引要望」というシナリオを使用するなど、実務に即した設定にします。
管理職向けの追加対策
部下のセキュリティ意識を左右する管理職のリーダーシップは重要です。管理職が率先して訓練に真摯に取り組む姿勢を見せることで、部下の協力度が高まります。
クリック率の目標値
企業が目指すべきクリック率の目標値は以下が目安です。
- 初年度：15%以下（訓練開始前の現状把握が目的）
- 2年目：5～10%（改善を測定、定着を確認）
- 3年目以降：3%以下（継続訓練による習慣化）
ただし、ゼロ%を目指す必要はありません。完全な防御より「最大限のリスク低減」を実現することが現実的な目標です。
よくある質問
まとめ
フィッシング訓練のクリック率は、組織のセキュリティ意識の現状を示す重要な指標です。初回20～30%のクリック率でも、段階的な訓練継続により1年以内に3～5%まで低減可能であり、これは直接的な攻撃リスク低減につながります。
クリック率改善の鍵は「訓練の継続」と「シナリオの工夫」です。単発の訓練ではなく、複数年を視野に入れた計画的な実施が、組織全体のセキュリティレベル向上につながります。
参考：Proofpoint「2024 State of the Phish」、SANS Institute「Security Awareness Report」、日本ネットワークセキュリティ協会「標的型メール訓練実施事例」
