標的型メール訓練の費用相場と効果的な実施方法【2026年版】

標的型攻撃メールの脅威は今も深刻

「まさかうちの社員が引っかかるとは思わなかった」

セキュリティインシデントの事後対応を担う担当者から、こうした声を聞くことは珍しくありません。標的型攻撃メールは、技術的な脆弱性を狙うのではなく、人間の判断ミスを利用する「人的脆弱性」を突く攻撃です。どれほど強固なファイアウォールやEDRを導入していても、メールを受け取った社員が悪意あるリンクをクリックしてしまえば、組織のセキュリティは突破されてしまいます。

IPA（独立行政法人情報処理推進機構）が発表した「情報セキュリティ10大脅威2026（組織編）」においても、ランサムウェアによる被害が4年連続で1位を記録しています。そしてランサムウェアの主要な侵入経路の一つが、フィッシングメール・標的型攻撃メールです。Verizonが毎年発表している「Data Breach Investigations Report（DBIR）2024」によれば、セキュリティインシデントの68%に「人的要素」が関与しており、フィッシングはその主要な手口として位置づけられています。

こうした状況を受け、多くの企業が「標的型メール訓練」の導入を検討しています。本記事では、訓練の仕組みから費用相場、効果を高めるための設計方法まで、人事・情シス担当者が知っておくべき情報を網羅的に解説します。

標的型メール訓練とは：仕組みを理解する

訓練の基本的な流れ

標的型メール訓練とは、セキュリティ担当者（または外部の訓練サービス提供会社）が、実際の標的型攻撃を模した「模擬メール」を社員に送付し、その反応を測定・分析するセキュリティ教育施策です。

一般的な訓練の流れは以下のとおりです。

1. 計画・設計：訓練の目的を設定し、送付するメールのシナリオを選定します。
2. 模擬メール送付：実際の攻撃メールを模したメールを対象社員に送信します。
3. 行動の測定：メールを開封したか、本文中のリンクをクリックしたか、偽のログインフォームに情報を入力したかを記録します。
4. 即時フィードバック：リンクをクリックした社員には、訓練であったことを知らせる「気づきページ」を表示します。
5. 結果集計・報告：開封率・クリック率・情報入力率などの指標を集計し、組織全体および部門別のレポートを作成します。
6. フォローアップ教育：訓練結果をもとに、適切な教育プログラムを実施します。

測定する3つの主要指標

訓練では主に次の3つの指標を測定します。

※ Verizon DBIR 2024および各訓練ベンダーの公開データをもとにした参考値です。業種・シナリオ難易度によって大きく異なります。

特にクリック率が高い部門（営業部・経理部など、外部からのメールを多く受け取る部門）は、集中的なフォロー教育の対象として優先度を高く設定することが有効です。

標的型攻撃メールの実態：なぜこれほど被害が続くのか

攻撃手法の高度化

近年の標的型攻撃メールは、単純な「怪しいリンクが含まれたメール」ではありません。攻撃者は事前にSNSや企業ウェブサイト、登記情報などを調査し、受信者が本物と信じやすいように巧妙に作り込まれたメールを送付します。

具体的には：

• ビジネスメール詐欺（BEC）：取引先や経営幹部を装い、振込先の変更や緊急送金を依頼する
• 宅配偽装：「荷物の配送通知」を装ったマルウェア付きメール
• 請求書偽装：実在する取引先名義の請求書を装ったフィッシング
• サービス通知偽装：Microsoft 365・Slackなどのビジネスツールの通知を装った認証情報の窃取

2026年においては、生成AIを活用した「パーソナライズドフィッシング」が急増しています。AIが個人のSNS投稿や公開情報を分析し、その人の興味・業務に合わせた文面を自動生成するため、従来の「日本語がおかしい」「宛名が不自然」といった見分け方が通用しなくなっています。

AI活用によるサイバー攻撃の高度化については、AIが変えるサイバー攻撃の実態：2026年に企業が警戒すべき5つの脅威でも詳しく解説しています。

国内での被害状況

警察庁「令和6年上半期におけるサイバー空間をめぐる脅威の情勢等について」によれば、ランサムウェアの国内被害件数は2024年上半期だけで114件にのぼり、その多くがフィッシングメールや標的型攻撃メールを起点とした侵入によるものでした。製造業・医療機関・自治体など、業種を問わず被害が拡大しています。

「訓練だけでは効果が出ない」本当の理由

標的型メール訓練を実施している企業の中には、「何年やっても開封率・クリック率が下がらない」と悩む担当者が少なくありません。この問題の根本原因は、訓練の設計とフォロー教育の連携にあります。

理由①：訓練後の教育が形式的

多くの訓練サービスでは、リンクをクリックした社員に対して「あなたはフィッシングメールのリンクをクリックしました」という通知ページを表示するだけで終わります。しかし、なぜそのメールが危険なのか、どう判断すればよかったのかを理解しないまま訓練が終わると、次回も同じ判断ミスが繰り返されます。

効果的なフォロー教育のポイント：

• クリック直後の「気づきページ」に、そのメールのどこが怪しかったかを具体的に説明する
• 訓練から1週間以内にeラーニングや集合研修を実施する
• クリックしなかった社員にも「正しい見分け方」を共有する

理由②：年1回の訓練では「慣れ」が生じない

人間の注意力・警戒心は、定期的な「経験」によってのみ維持されます。年に1回の訓練では、訓練を受けたことすら忘れてしまう社員が多く、行動変容にはつながりません。

Proofpointの研究によれば、フィッシング訓練の効果（クリック率の低下）は訓練から約3〜4ヶ月で元の水準に戻る傾向があります。このため、最低でも年4回（四半期に1回）の訓練実施が推奨されています。

理由③：シナリオが固定化されている

毎回同じシナリオ・同じ文面で訓練を行っても、社員は「このパターンは訓練だ」と学習してしまいます。実際の攻撃者は常に新しい手口を使ってくるため、訓練のシナリオも定期的に更新・バリエーションを増やす必要があります。

理由④：部門別・役職別の難易度設定がない

全社員に同一の訓練を実施することは、難易度の最適化という観点では非効率です。セキュリティ意識の高いIT部門と、フィッシングの手口をあまり知らない営業部門では、適切な難易度が異なります。訓練を「セキュリティ意識の高さ」でグループ分けし、段階的に難易度を上げていく設計が理想的です。

費用相場：人数規模別の目安

標的型メール訓練の費用は、サービス提供形態（SaaS型・個別サービス型）や訓練の頻度・サポートの手厚さによって大きく異なります。以下は2026年時点の一般的な相場感です。

SaaS型（クラウドプラットフォーム）

SaaS型は初期コストが低く、テンプレートから手軽に訓練を開始できるのが特徴です。ただし、シナリオのカスタマイズ性や日本語対応の品質にはサービスによって差があるため、選定時に注意が必要です。

個別サービス型（コンサルティング込み）

個別サービス型は、業界・業務内容に合わせたオリジナルシナリオの作成や、訓練後の結果分析・改善提案まで含めたコンサルティングが受けられます。フォロー教育プログラムとのセット提供が多く、訓練の効果を最大化したい企業に適しています。

費用以外に考慮すべきコスト

訓練の費用には、以下の「隠れたコスト」も含めて検討する必要があります。

• 担当者の工数：訓練の設計・実施・結果集計・レポート作成には、相当の工数が発生します。外部サービスへのアウトソースで削減が可能です。
• フォロー教育のコスト：eラーニング費用、集合研修の開催費用など
• システム連携コスト：既存のLMS（学習管理システム）やMicrosoft 365との連携が必要な場合の費用

効果的な訓練の設計方法：年間計画のつくり方

ステップ1：目的と目標値を設定する

訓練を始める前に、何を達成したいのかを明確にします。

• 現状把握フェーズ（第1回）：ベースラインとなる開封率・クリック率を測定する
• 改善フェーズ（第2〜4回）：前回比でクリック率を◯%低下させることを目標にする
• 維持・応用フェーズ（第5回以降）：難易度を上げた高度なシナリオに挑戦する

ステップ2：シナリオを選定する

シナリオ選定は訓練効果に直結する最重要ステップです。選定時のポイントは以下のとおりです。

業種・業務に合わせたシナリオ選定の例：

• 製造業：「取引先からの見積書変更通知」「ERPシステムのアカウント確認」
• 金融業：「コンプライアンス研修の受講案内」「経費精算システムのログイン要求」
• 小売業：「配送業者からの不在通知」「社内アンケートの回答依頼」

初回はやや難易度を低めに設定し（開封率が高くなりやすいシナリオ）、ベースラインを正確に測定することが重要です。

ステップ3：難易度を段階的に上げる

最終的には「高難易度」シナリオに対しても開封率・クリック率が低下することを目指します。

ステップ4：年間スケジュールを組む

訓練後の教育プログラムとの組み合わせ

訓練の真の価値は、測定した数値を「行動変容」につなげることにあります。そのためには、訓練後の教育プログラムとの連携が欠かせません。

eラーニングとの組み合わせ

訓練後1週間以内に、標的型攻撃メールの見分け方・不審なメールへの対処方法をテーマにしたeラーニングを実施します。クリックした社員には必修、しなかった社員には任意受講とする企業が多いですが、全員必修にすることで「訓練→学習」のサイクルを組織文化として定着させる効果があります。

集合研修・ワークショップとの組み合わせ

特にクリック率が高かった部門や、管理職・経営幹部向けには、実際の攻撃メールのサンプルを使ったワークショップ形式の研修が効果的です。「なぜ引っかかってしまうのか」「攻撃者はどう考えているのか」を体験的に学ぶことで、理解が深まります。

インシデント報告訓練との組み合わせ

単に「クリックしない」スキルを高めるだけでなく、「不審なメールを受け取った際に、誰にどう報告すべきか」というインシデント報告プロセスの訓練も組み合わせることが重要です。クリックしてしまった社員が「バレたくない」という心理から報告を遅らせることで、被害が拡大するケースが実際に発生しています。

ランサムウェアの侵入経路とフィッシングメールの関係については、ランサムウェア攻撃の手口と企業が取るべき対策もあわせてご覧ください。

AEVUSの標的型メール訓練サービスについて

AEVUSでは、標的型メール訓練サービスとして、シナリオ設計から訓練実施、結果分析、フォロー教育プログラムまでをワンストップで提供しています。Yahoo! JAPANや三井住友カードといった大規模組織での導入実績をもとに、業種・規模・セキュリティ成熟度に応じた最適な訓練設計をご提案します。

また、従業員教育サービスとの組み合わせにより、訓練で顕在化した課題を継続的な教育プログラムで解決するサイクルを構築できます。

よくある質問（FAQ）

Q1. 社員に事前通知すべきですか？
A. 訓練の効果を正確に測定するためには、事前通知なしで実施する「抜き打ち訓練」が望ましいです。ただし、訓練実施の事実を全く周知しないと社員の不信感を招くケースがあるため、「年間を通じて訓練を実施する」という方針は伝えつつ、具体的な日時は知らせない形が一般的です。

Q2. クリックした社員を特定して処分することはありますか？
A. 訓練の目的は「罰すること」ではなく「教育すること」です。クリックした社員のデータは個人を特定する形で公開せず、部門単位での集計にとどめることが一般的です。ただし、繰り返し引っかかる社員については個別フォローを行うことが推奨されます。

Q3. 外部サービスと内製では、どちらがよいですか？
A. セキュリティ専門の人材・知見がない場合は外部サービスの活用をお勧めします。外部サービスは最新の攻撃トレンドを反映したシナリオテンプレートを提供でき、工数も削減できます。内製は自由度が高い反面、シナリオの質やデータ集計の精度を維持するための継続的な努力が必要です。

Q4. 小規模企業（50名以下）でも訓練の効果はありますか？
A. 規模に関わらず効果はあります。むしろ小規模企業はひとりのクリックが組織全体に影響しやすいため、訓練の重要性は高いとも言えます。SaaS型の低コストサービスを活用することで、費用を抑えながら訓練を実施できます。

Q5. 訓練と同時に技術的な対策も必要ですか？
A. 必須です。標的型メール訓練はあくまで「人的脆弱性」への対策であり、メールのサンドボックス検査・URLフィルタリング・多要素認証（MFA）の導入といった技術的対策と組み合わせることで、初めて多層防御が成立します。

Q6. 訓練の結果を経営層に報告する際のポイントは？
A. 「クリック率が◯%だった」という数値だけでなく、「この数値が持つリスクの大きさ（1人のクリックで組織全体が感染する可能性）」を具体的に説明することが重要です。クリック率を「潜在的なリスクポイント数」に換算したレポートを作成すると、経営層の理解を得やすくなります。

Q7. どんなシナリオが最も引っかかりやすいですか？
A. KnowBe4の調査によれば、「IT部門からのセキュリティアップデート通知」「経費精算・給与に関する通知」「著名なSaaSサービスのアカウント確認」が特にクリック率の高いシナリオとして報告されています。ただし、最も重要なのは「自社の業務に合わせた内容」であるため、一般的なランキングより自社の業務フローを優先したシナリオ選定をお勧めします。

まとめ

標的型メール訓練は、フィッシング攻撃という「人的脆弱性」に対処するための最も効果的な手段の一つです。しかし、訓練を実施するだけでは不十分であり、以下の要素がそろって初めて真の効果が発揮されます。

• 年4回以上の定期実施で警戒心を持続させる
• 段階的に難易度を上げるシナリオ設計
• 訓練後のフォロー教育（eラーニング・集合研修）との連携
• インシデント報告プロセスの整備

訓練の導入を検討している企業は、まず「現状のベースラインを測定すること」から始めることをお勧めします。自社の開封率・クリック率を把握することで、教育投資の優先順位と費用対効果を正確に見積もることができます。

AEVUSでは、標的型メール訓練の導入相談から年間計画の設計まで、無料でご相談を受け付けています。ぜひお気軽にお問い合わせください。