多くの企業では、従業員のセキュリティ意識向上を目的として、フィッシングメール訓練を実施しています。
一方で、2025年に発表された論文「Understanding the Efficacy of Phishing Training in Practice」※1では、現行のフィッシングメール訓練について、効果は極めて低く限定的であるとの研究結果が示されました。
この結果だけを見ると、「メール訓練は意味がない」「訓練をやめて、技術的対策に投資した方がよい」と感じる方もいるかもしれません。
しかし、本当にメール訓練そのものが不要なのでしょうか。
本記事では、この研究の内容を整理したうえで、従来のメール訓練が抱える課題と、フィッシング攻撃への対応力を高めるために、企業がメール訓練をどのように見直すべきかを解説します。
※1 https://www.computer.org/csdl/proceedings-article/sp/2025/223600a076/21B7RjYyG9q
論文で紹介された研究では、米国の医療機関に所属する19,500人以上の従業員を対象として、8か月間にわたるフィッシングメール訓練が行われました。
対象者は、訓練を実施しないグループを含む5つのグループに分けられました。訓練メールのリンクにアクセスした後に表示する教材についても、フィッシングの基礎知識を説明するもの、訓練メールの内容に合わせたもの、閲覧型、クイズなどの参加型など、複数のパターンが用意されました。
研究では、主に次の観点から訓練の効果を検証しています。
その結果、次の3点が示されました。
訓練メールの文案によってアクセス率は大きく変動する
毎月訓練を繰り返しても、教材ページを表示したグループのアクセス率の改善はわずかだった
種明かしページによる教育効果は限定的だった
毎月の訓練による改善率は1.7％にとどまり、年次のセキュリティ研修についても、アクセス率への明確な効果は確認されませんでした。
また、アクセスした従業員の過半数は10秒以内に種明かしページを閉じており、閲覧型教材の効果は特に薄いという結果でした。クイズなどの参加型教材も、実質的な効果は限定的とされています。
研究では、メール訓練に過度な期待をせず、ユーザーの判断に依存する対策よりも、技術的対策に投資することが提言されています。
訓練メールの難易度を変えれば、アクセス率は変動します。
たとえば、業務との関連性が低く、不自然な表現や明らかに怪しいURLが含まれるメールであれば、多くの従業員がフィッシングメールだと判断できます。
一方、社内手続き、健康診断、休暇申請、利用中のクラウドサービスなど、従業員の業務や関心に近いテーマを用いれば、アクセス率は高くなる可能性があります。
つまり、アクセス率は、従業員のセキュリティ意識だけで決まる指標ではありません。訓練メールのテーマ、文面、送信元、URL、配信時期など、訓練を設計する側の工夫によって大きく変わります。
したがって、「アクセス率が下がらなかった」という結果だけで、メール訓練全体に効果がないと判断するのは早計です。
むしろ問題なのは、難易度が異なる訓練のアクセス率を単純に比較し、アクセス率の低さだけを訓練の成功指標としていることではないでしょうか。
メール訓練を実施する企業の中には、「アクセス率は低いほどよい」「最終的には0％を目指す」と考えている組織もあります。
しかし、アクセス率だけを下げようとすると、従業員が容易に見抜ける、難易度の低い訓練を繰り返すことになりかねません。これでは、訓練結果としては良い数字が出ても、実際のフィッシング攻撃に対応する力を養えません。
メール訓練は、従業員を評価したり、アクセスした従業員を責めたりするためのものではありません。実際の攻撃を疑似体験し、自分がどのような状況で判断を誤る可能性があるかを理解するための教育機会です。
特に、入社直後の従業員や中途入社者、新たに業務へ加わった派遣社員・委託社員などは、社内で使われるメール、申請手続き、システム通知の特徴を十分に理解していない場合があります。
このような対象者には、まず比較的分かりやすい訓練から始め、基本的な注意点を身につけてもらうことが有効です。その後、アクセス率が低下してきたら、実際の業務や最新の攻撃手法に近い、難易度の高い訓練へ移行します。
一定数がアクセスする難易度を維持しながら、「なぜ判断を誤ったのか」を学ぶ機会を継続的に設けることが重要です。
メールゲートウェイをはじめとする技術的対策は重要です。しかし、すべてのフィッシングメールを技術だけで防ぐことは困難です。
メールゲートウェイをすり抜けた不審メールが従業員のメールボックスへ届いた場合、被害を防ぐためには、受信した従業員が不審メールに気づき、セキュリティ担当者へ迅速に報告する必要があります。
そこで、メール訓練ではアクセス率だけでなく、次の指標を確認することが重要になります。
訓練メール内のフィッシングURLへアクセスした従業員の割合です。
従来から広く利用されている指標ですが、訓練メールの難易度によって大きく変動するため、この指標だけで組織の対応力を判断することはできません。
フィッシングURLへアクセスせず、訓練メールを不審メールとして報告した従業員の割合です。
報告率が高ければ、不審なメールが届いた際に、セキュリティ担当者が攻撃を早期に把握できる可能性が高まります。
フィッシング耐性指数は、報告数をアクセス数で割った値で、組織のフィッシング耐性を把握するための指標として注目されています。
アクセスした人の数だけを見るのではなく、それに対してどれだけ多くの従業員が適切に報告できたかを見ることで、組織全体の対応力を評価します。
訓練を通じて従業員に覚えてもらうべき行動は、「怪しいメールを開かない」だけではありません。
判断に迷った場合に放置せず、速やかに報告することまでを含めて訓練する必要があります。これを繰り返すことで、「不審メールを報告する文化」を組織に根付かせることができます。
訓練メールへアクセスした直後に、フィッシングの特徴や注意点を説明する種明かしページを表示している企業は多いと思います。
しかし、研究では、種明かしページの滞在時間が非常に短いことが確認されています。アクセスした直後の従業員は、「訓練だった」と分かった時点でページを閉じてしまい、説明を十分に読まない可能性があります。
つまり、種明かしページに多くの情報を掲載するだけでは、教育効果を期待しにくいということです。
重要なのは、訓練後に従業員が主体的に振り返る時間を設けることです。
アフターフォローの方法としては、次のようなものがあります。
アンケートは低コストで実施できますが、設問へ形式的に回答するだけになりやすく、十分な振り返りにつながらない可能性があります。
個別面談は、本人の行動を具体的に振り返ることができますが、対象者が多い場合は事務局の負荷が大きくなります。
そこで、アクセス者が多い場合には、アクセス者向けの専用セミナーを開催し、訓練メールのどこに注意すべきだったか、実際の攻撃ではどのような被害につながるのか、次に同様のメールを受け取ったらどう行動すべきかを解説する方法が考えられます。
ここまでの内容を整理すると、メール訓練の効果を高めるには、次の4点が重要です。
全従業員に同じメールを送り続けるのではなく、新入社員、一般従業員、過去にアクセスした従業員など、対象者の状況に応じて訓練内容を設計します。
簡単な訓練で良い数字を出すのではなく、難易度を段階的に高め、実際の攻撃を疑似体験する教育機会として活用します。
不審メールを見つけた際の報告手段を分かりやすくし、訓練の中でも報告操作を繰り返します。アクセス率に加えて、報告率や組織のフィッシング耐性を評価します。
種明かしページだけで終わらせず、アクセス者が自分の判断を振り返る場を設けます。対象者数や運用負荷に応じて、個別面談やアクセス者向け専用セミナーなどを組み合わせます。
研究結果が示しているのは、「あらゆるメール訓練に意味がない」ということではありません。
開封率やアクセス率を下げることだけを目的とし、同じような訓練を繰り返し、アクセス後は種明かしページを表示して終わる。このような従来型の訓練だけでは、十分な効果を期待できないということです。
企業が見直すべきポイントは、メール訓練を実施するか、廃止するかという二者択一ではありません。
これらを一連のプロセスとして設計する必要があります。
「アクセスしない従業員」を増やすだけでなく、「不審メールに気づき、迷わず報告し、組織として迅速に対処できる状態」をつくる。
メール訓練の目的をそこまで広げることで、訓練は単なる年中行事ではなく、フィッシング攻撃に強い組織をつくるための実践的な取り組みになります。