社員向けに「怪しいメールに気をつけよう」と伝えることは、多くの会社がすでにやっています。チェックリストを配ったり、朝礼で注意を呼びかけたりといった取り組みです。
ただ、それで実際に見抜けるようになったかどうかは、測らない限り分かりません。
そこで使われるのが、標的型メール訓練です。この記事では、訓練とは具体的に何をするものなのか、なぜ今なのか、そして中小企業の経営者やIT担当者からよくいただく懸念について、実際の数字とあわせてお伝えします。
標的型メール訓練とは
ひとことで言えば、攻撃者が送ってくるような偽のメールを、あえて自社の社員に送ってみる訓練です。
もちろん本物の攻撃ではありません。添付ファイルにウイルスは入っていませんし、リンクを開いても被害は出ません。代わりに、誰がメールを開いたか、誰がリンクをクリックしたかが記録されます。
その結果を集計すると、「うちの社員は、こういう手口にどれくらい引っかかるのか」が数字で分かります。感覚ではなく、事実として把握できるようになる。これが訓練の最大の価値です。
IPAが2026年8月に公表した「企業組織を狙うメールを悪用した攻撃の手口とその対策」でも、企業が取るべき「事前の対策」のひとつとして標的型メール訓練の実施が挙げられています。そこにはこう書かれています。
標的型メール訓練を行う。この際に、不審メール受信の報告を手順に従って行うところまでを演習する
見落とされがちなのが後半です。誰がクリックしたかを数えるだけでなく、「気づいた人がきちんと報告できるか」までを訓練の範囲に含めるという考え方が示されています。実際、被害の大きさを左右するのは、クリックしたかどうかよりも、そのあと何分で報告が上がったかです。
なぜ「今すぐ」なのか
ここからが本題です。訓練を勧める理由は、精神論ではなく、直近のデータにあります。
中小企業の開封率が、1年で2倍以上に跳ね上がった
東京商工会議所は、中小企業・小規模事業者を対象にした標的型攻撃メール訓練を毎年実施し、結果を公表しています。その2025年度の実施結果（2025年9月実施、84社・1,146名が参加）によると、全体の開封率は14.9%。前年度と比較して8.8ポイント上昇しました。
この数字の意味は、過去の推移と並べると見えてきます。
| 年度 | 開封率 |
|---|---|
| 2019年度 | 25.4% |
| 2020年度 | 24.0% |
| 2021年度 | 15.3% |
| 2022年度 | 12.2% |
| 2023年度 | 7.8% |
| 2024年度 | 6.1% |
| 2025年度 | 14.9% |
6年かけて25.4%から6.1%まで下がってきた開封率が、2025年度に一気に14.9%へ戻ってしまったわけです。
同じ調査では、開いてしまった理由の上位として「メールの内容が具体的・自然で本物だと思った」「怪しいと思ったが、開いてみないと判断できないと思った」が挙げられています。
なぜ上昇したのかについて、東京商工会議所は理由を明示していません。ただ、「内容が具体的・自然で本物だと思った」という回答が上位に来ている点は示唆的です。関連して、IPAの「情報セキュリティ10大脅威 2026」では「AIの利用をめぐるサイバーリスク」が3位に初めて選出されました。かつてのように「日本語が不自然だから分かる」とは言えなくなっている、という当社の実感とも重なります。
いずれにせよ、社員の警戒心が数年かけて積み上がっても、手口の変化で簡単に押し戻されるということです。一度教育したから大丈夫、とは言えません。
狙われているのは大企業ではない
「うちのような規模の会社が狙われるだろうか」という声もよくいただきます。
警察庁が公表した令和7年におけるサイバー空間をめぐる脅威の情勢等についてによると、令和7年のランサムウェア被害の報告件数は226件で、組織の規模別で見ると中小企業が約6割を占めています。
被害の多数派は中小企業です。規模が小さいから狙われない、という前提は統計と合っていません。
経営層ほど開封率が高い
もう一点、経営者の方に知っておいていただきたいデータがあります。
東京商工会議所の2024年度の実施結果では、役職別の開封率で**最も高かったのは「経営者、経営幹部」の6.7%**でした（最も低かったのは「肩書なし」の5.7%）。また従業員規模別では、「0-5名」が12.2%と最も高く、「51名以上」が5.1%と最も低い結果でした。
決裁権限と情報へのアクセス権を持つ人ほど開いてしまう、という構図です。訓練を「社員向けの取り組み」と考えていると、いちばん狙われる層が対象から外れます。
経営層は「開いてしまう側」であると同時に、「かたられる側」でもあります。IPAが2026年3月に公表した注意喚起「社長等をかたる詐欺メールに注意！」では、実在する社長名や会社名をかたってLINEグループを作らせ、社長になりすまして多額の振り込みを業務指示する事例が報告されています。経営者の名前は、社外から見えるところに出ている分、悪用もされやすいということです。
訓練で実際に何が変わるか
当社がご支援した企業様（建設・住宅・不動産業、従業員約140名）の例をご紹介します。
ご相談時の課題は2つでした。「社員が実際に不審メールに気づけるかを客観的に把握できていなかった」こと。そして「誤クリック後の初動対応ルールが整備されておらず、インシデント対応に不安」があったことです。
そこで、情報セキュリティ研修の実施、年間の訓練計画の設計、模擬フィッシングメールの配信、結果の分析という、研修→訓練→分析→改善の一連のサイクルとして取り組みました。配信したのは、架空のサービスからの「アカウント凍結通知」を装ったメールです。
結果として、URLのクリック率は第1回の2.8%から、第2回では1.4%へと半減しました。
ただ、数字が半分になったこと以上に意味があったのは、「うちの社員はどれくらい見抜けるのか」という問いに数字で答えられるようになったことです。訓練結果が可視化されたことで、感覚で不安を抱える状態から、現状を踏まえて次の手を打てる状態に変わりました。現在は第3回の訓練を予定しており、「訓練をこなす組織」から「自走できる組織」への移行を目指しています。
標的型攻撃メール訓練の実施支援｜従業員のセキュリティ意識を高める
よくいただく3つの懸念
「社員を騙すようで、気が引ける」
これはとてもよくいただくご相談です。
考え方を切り替えていただきたいのですが、訓練の目的は社員を試したり、引っかかった人を責めたりすることではありません。前述のIPAの資料にあるとおり、訓練は不審メールの報告が手順どおりに回るかを演習するものです。対象は個人ではなく、組織の仕組みだと考えてください。
実務上も、「誰がクリックしたか」を社内に晒すようなやり方はおすすめしていません。むしろ大事なのは、クリックした人がすぐ報告できる空気をつくることです。報告が早ければ早いほど被害は小さくなります。犯人捜しをすると、次から報告が上がってこなくなります。
「一度やれば十分では？」
先ほどの東京商工会議所のデータが、この問いへの答えになっています。開封率は数年かけて下がったあと、2025年度に大きく戻りました。手口は変わり続けるため、一度きりの訓練では追いつきません。
先ほどの企業様も、年間の訓練計画を立て、第1回・第2回と続けたうえで第3回を予定しています。1回目は現状把握、2回目以降で改善の効果を測る、という位置づけです。
「準備する人手がない」
訓練メールの文面を考え、配信し、結果を集計し、報告資料にまとめる。たしかに、片手間でやるには手間のかかる作業です。
当社では、この一連の流れをまるごとお引き受けしています。テンプレートから訓練メールの内容を選んでカスタマイズし、配信、レポートの共有、結果を踏まえた教育資料の共有まで対応しています。
まずは現状を知るところから
はじめてITどっとこむでは、標的型攻撃メール訓練の実施から、開封率の集計、結果報告までをお手伝いしています。あわせて、情報セキュリティ基礎研修や、情報管理規程・セキュリティポリシーの整備、Microsoft 365のセキュリティ設定の見直しにも対応しています。
「まず自社がどれくらい危ないのかを知りたい」という段階で構いません。1回目の訓練は、対策の効果を測るためではなく、現在地を知るために行うものです。
30分の無料相談を受け付けていますので、お気軽にお問い合わせください。
参考にした資料
- 東京商工会議所「中小企業・小規模事業者に対する『標的型攻撃』メール訓練実施結果」（2025年10月22日発表）
- 東京商工会議所「中小企業・小規模事業者に対する『標的型攻撃』メール訓練実施結果」（2024年12月26日発表）
- 独立行政法人情報処理推進機構（IPA）「情報セキュリティ10大脅威 2026」（2026年3月）
- 独立行政法人情報処理推進機構（IPA）「企業組織を狙うメールを悪用した攻撃の手口とその対策」（2026年8月3日公開）
- 独立行政法人情報処理推進機構（IPA）「社長等をかたる詐欺メールに注意！」（2026年3月12日公開）
- 警察庁「令和7年におけるサイバー空間をめぐる脅威の情勢等について」（PDF・令和8年3月発表）
