Thawatchai Chawong/iStock
「うちは毎年、全社員にセキュリティ研修を受けさせている」。
そう胸を張る経営者に、まず一つの実験結果を示したい。米国の医療機関で1万9500人を超える職員を8か月間追跡した実験では、年1回の義務研修を最近受けた人と、そうでない人とで、フィッシングメールに引っかかる確率に統計的に意味のある差は見られなかった。
攻撃者が真っ先に狙うのは、最新のファイアウォールではない。人の心である。日本ではあまり報じられていない海外の最新データから、社員研修の「不都合な真実」と、その先にある処方箋を探ってみたい。
攻撃の入り口は、いまも「人」
米Verizonが2026年5月に公表した「データ漏洩調査報告書（DBIR）2026年版」は、145か国の3万1000件を超えるセキュリティ事案と、2万2000件を超える確定した情報漏洩を分析した。結論ははっきりしている。情報漏洩の62%に「人的要素」が関わっていた。前年版の60%から、わずかだが再び上昇に転じた。
人的要素とは、誤操作、盗まれたIDやパスワードの悪用、そしてソーシャルエンジニアリング（人をだまして情報や操作を引き出す攻撃）を含む広い概念である。侵入の入り口として最も多かったのはソフトウェアの脆弱性の悪用で31%、認証情報の悪用は13%だった。技術の穴をふさぐ努力は欠かせない。それでも、漏洩の6割には人が絡んでいるのである。
日本も例外ではない。2015年、日本年金機構から約125万件の個人情報が流出した事件は、職員が標的型攻撃メールを開いたことが発端だった。たった一通のメールが、国の年金制度への信頼を揺るがしたのである。
敵は受信箱の外からやって来る
見逃せないのは、だましの手口がメールの外に広がっていることだ。DBIR 2026年版によれば、ソーシャルエンジニアリングによる漏洩の約41%が、メール以外の経路を使っていた。電話とSNSは、社会的な攻撃経路の約4分の1を占める。
同報告書を紹介する複数の解説によれば、模擬訓練でのメール型フィッシングの成功率（中央値）が1.4%だったのに対し、電話やSMSを使う手口は約2%と、およそ4割高かった。
さらに、取引先など第三者が関与した漏洩は48%に達し、前年の30%から6割増えた。自社の社員だけを鍛えても、取引先の一人がだまされれば、そこから攻撃者は入ってくる。
1件499万ドル、過去最高の請求書
では、一度破られると何が起きるのか。IBMの2026年版「データ侵害のコストに関する調査」によれば、データ侵害1件あたりの世界平均コストは499万ドルで、前年比12%増と過去最高を記録した。米国では1150万ドルと、世界平均の2倍を超える。
悪意ある侵害の4件に1件はAIを使った攻撃で、前年から56%増えた。その平均コストは約600万ドルにのぼる。侵入の入り口としては、フィッシングが4年連続で最多だった。中でも電話を使った詐欺（ビッシング）とSMSを使った詐欺（スミッシング）による侵害は平均529万ドルと、最も高くついた。侵害を発見してから封じ込めるまでには、平均247日、実に8か月あまりを要している。
日本でも、2025年9月29日にアサヒグループホールディングスがランサムウェア攻撃を受け、国内グループ会社の受注・出荷業務が止まった。同社は約191万件の個人情報に漏洩のおそれがあるとしている。この事件の侵入口はネットワーク機器だったが、ひとたび侵入を許せば、事業そのものが止まる。それがいまのサイバー攻撃の現実である。
しかもAIは、メールの文面を自然な日本語に整え、声や顔まで偽装する。「日本語がおかしいから怪しい」と見抜けた時代は、もう終わったと考えるべきだろう。
研修は効くのか——「86%減」と「2%減」
では、社員研修にどれほどの効果があるのか。ここに、正反対に見える二つのデータがある。
一つ目は、米国の研修大手KnowBe4の「業界別フィッシング・ベンチマーク報告書2025」である。6万2400の組織、1450万人の利用者、6770万回の模擬フィッシング訓練を分析したもので、研修前には社員の33.1%が模擬フィッシングに引っかかっていた。それが研修開始から3か月で40%減り、12か月後には4.1%まで下がったという（同社は「86%減」と説明している）。ただし、研修を販売する企業自身のデータである点は、割り引いて読む必要がある。
二つ目は、カリフォルニア大学サンディエゴ校（UCSD）の研究チームが、同校の医療部門の職員1万9500人以上を対象に、8か月間・10回の模擬フィッシングで行ったランダム化比較試験である。2025年5月のIEEEセキュリティ・プライバシー・シンポジウムで発表された。
結果は衝撃的だった。冒頭で触れたとおり、年1回の義務研修を最近受けたかどうかと、フィッシングメールに引っかかる確率との間に、有意な関係は見られなかった。引っかかった直後に教材を見せる「埋め込み型研修」も、クリックの可能性をわずか2%下げただけだった。教材に1分以下しか目を通さなかった人が75%、3分の1は何も見ずにページを閉じていた。そして8か月の間に、半数を超える職員が少なくとも1回はフィッシングリンクをクリックしている。
勝負を分けたのは、研修よりもメールの中身だった。Outlookのパスワード更新を装ったメールのクリック率は1.82%にすぎなかったが、職場の休暇制度の変更を装ったメールは30.8%に達した。自分に関係があり、つい開きたくなる話題であれば、3人に1人近くが引っかかるのである。
研究チームは、多要素認証や、正しいドメインでしか動かないパスワード管理ツールといった技術的な対策のほうが、投資対効果が高いと提言している。
矛盾ではない、同じ真実の裏表
「86%減」と「2%減」。二つのデータは矛盾しているように見えるが、私は同じ真実の裏表だと考える。
年に一度動画を見せ、受講完了の印を付けるだけの研修では、人の行動は変わらない。継続的に訓練を重ね、結果を測り、内容を更新し続けてはじめて、行動は変わる。
もう一つの教訓は、研修だけで会社を守れると思ってはならない、ということだ。UCSDの研究が示すとおり、誰でもいつかは引っかかる。だからこそ、多要素認証などの技術的な対策を土台に置いたうえで、研修では「おかしいと思ったら、すぐ報告する」という行動を身につけさせる。引っかかった社員を責めるのではなく、早く報告した社員をほめる。そうした組織文化こそが、被害を最小に抑える。
「翻訳した教材」では日本の社員は動かない
社員向けのセキュリティ研修では、米国が大きく先行している。研修は保険とも結びついており、たとえばカリフォルニア大学バークレー校は、職員向けの研修について、大学のサイバー保険の要件であると説明している。研修は「やったほうがよいもの」ではなく、「やらなければ保険がかからないもの」になりつつある。
その米国の研修の仕組みから、日本向けに特化したサービスも生まれている。米国の投資会社が立ち上げたある研修サービスは、日本企業向けの研修動画に的を絞り、日本で実際に起きた事件を題材に、アニメ形式の短い教材をそろえている。
2021年には米国の研修大手のプラットフォームに教材が採用され、その第1弾は日本年金機構の情報漏えい事件を題材にしたものだった。研修大手の日本法人代表は当時、日本特有の商習慣や制度、国民性に起因する攻撃手口を学べる点を評価していた。2025年には、国内の企業研修プラットフォームや大手通信会社の法人向け学習サービスでも提供が始まっている。
海外製の研修を翻訳しただけでは、日本の社員の心には届きにくい。UCSDの実験が示したように、人がクリックしてしまうのは「自分ごと」の話題である。そうであれば、自国の職場で実際に起きた手口を、自国の言葉と文化で学べることの意味は大きい。
米国で磨かれた研修の仕組みと、日本の現場に根ざした教材を組み合わせる。ここに、日本企業が学ぶべきヒントがある。
日本企業への三つの処方箋
日本企業でも情報セキュリティ研修は広く行われている。しかし、年1回の一斉受講と受講率の管理で終わっていないだろうか。海外のデータから引き出せる処方箋は、次の三つである。
- 研修の効果は受講率ではなく、模擬訓練でのクリック率や報告の速さなど、行動の変化で測ること
- メールだけでなく、電話、SMS、SNS、ディープフェイクを使った攻撃、さらに取引先を経由した攻撃も訓練の対象にすること
- 研修は技術的な対策の代わりではなく、多要素認証などと組み合わせて初めて効果を発揮すると心得ること
攻撃者は技術の隙だけでなく、人の心理の隙を突いてくる。社員一人ひとりは最後の防衛線であると同時に、最初の警報器にもなりうる。その力を引き出せるかどうかは、研修を「受けさせたか」ではなく、社員が「変わったか」にかかっている。
【参考資料】
・Verizon「2026 Data Breach Investigations Report」（2026年5月）、および同報告書の解説記事（PhishingBox、NINJIO）
・IBM「Cost of a Data Breach Report 2026」、および同報告書の解説記事（eSecurity Planet、SecureWorld、2026年7月）
・KnowBe4「Phishing by Industry Benchmarking Report 2025」（2025年5月）
・Grant Ho ほか「Understanding the Efficacy of Phishing Training in Practice」（IEEE Symposium on Security and Privacy、2025年5月）、UC San Diego Today
・カリフォルニア大学バークレー校 人事部「UC Cyber Security Awareness Fundamentals」
・日本年金機構の情報流出事案に関する報道（ITmedia、2015年6月ほか）
・アサヒグループホールディングスのサイバー攻撃に関する報道（TECH+、2025年11月27日ほか）
コメント