ある従業員のもとに、パスワードリセットを装ったメールが届きました。彼女はリンクをクリックし、自社のログイン画面そっくりに作られたページに認証情報を入力し、そのまま午前の業務に戻ります。そして、誰にもそのことを話しません。
その沈黙こそが、リスクの正体です。1,390万件の模擬フィッシングメールのうち、受信者がその試みをセキュリティチームに報告したのは10人に1人でした。残りはそのまま見過ごしてしまい、実際の攻撃者にとってはそのうちの1人さえいれば十分なのです。
Fortraで脅威研究を担当するシニアフェローのJohn Wilson氏は、コピーされたログインページしかなかった黎明期から、有償サービス産業へと発展を遂げたフィッシングの変遷を追い続けてきました。フィッシング・アズ・ア・サービス(PhaaS)プラットフォームは、テンプレートやホスティング、多要素認証を突破するキットを、わずかな費用で販売しています。攻撃キャンペーンを実行するのに必要なスキルは、今やほんの数クリックにまで下がりました。
Wilson氏は、人的要素をいくつかある不完全な対策のひとつとして捉えています。「人的レイヤーはすでに不十分な防御面ですが、それは技術的対策も同様です」とWilson氏はHelp Net Securityに語りました。「どちらも、意志の強い攻撃者の前では突破されてしまう可能性があります」。同氏が推奨するのは、技術的な対策を常に最新の状態に保ちつつ、ユーザーへのテストを定期的なスケジュールで実施することで、両方を最高の状態で機能させることです。
報告率が高いからといって安心はできない
今回のベンチマークでは、報告率をセキュリティプログラムの生命線として扱っています。理屈はシンプルです。一件の報告があれば、進行中の攻撃キャンペーンを止められる可能性がある一方で、模擬攻撃の10件中9件は、そもそも報告すらされていませんでした。
ただし、業種別のデータを見ると、この構図はそう単純ではないことがわかります。金融系の銀行の報告率は30.98%と、今回の調査で最も高い数値を記録した一方、フォーム入力(認証情報の入力)率は最低水準にとどまりました。
防衛関連企業の従業員の報告率はおよそ4分の1でしたが、模擬フィッシングリンクのクリック率は13.02%に達しています。つまり、報告率の高さと大量のクリックが、同じ組織内で同居しているのです。
Wilson氏は、数ある指標の中でもひとつを特に重視しています。「フォーム入力(認証情報の送信)は従来型の資格情報フィッシングにおいて最悪の結果ですが、組織はユーザーがログイン情報を一切送信しなくても、一度のクリックだけでマルウェアに感染し、侵害される可能性があります」と同氏は述べています。「そのため、トレーニングの効果を評価する上で、クリック率こそが最も重要な指標だと考えています」。
Wilson氏は、それぞれの優先順位についても言及しています。「フォーム入力を重視しすぎると、一回のクリックによるマルウェア感染を見過ごしかねません。逆に報告を重視しすぎると、誤検知が過剰になり、SOC(セキュリティ運用センター)の負荷が高まってしまいます」とWilson氏は言います。「その結果、本当に重大なインシデントが、必要な注意や緊急対応を受けられなくなる恐れがあります」。
最新の攻撃手口を追いかけるだけでは勝てない
新たなフィッシング手法は次々と登場しています。Fortraで脅威研究を率いるWilson氏は、変わらないものについてこう見ています。
「デバイスコードフィッシング、ハイブリッドビッシング、フィッシング・アズ・ア・サービス、サービス悪用、そしてOAuthクライアントIDのなりすましなど、フィッシングには数多くの技術的な革新が生まれてきましたが、その根底にある緊急性・権威性・恐怖・貪欲といったソーシャルエンジニアリングの手口自体は変わっていません」と同氏は語ります。「フィッシング模擬トレーニングは、特定のフィッシング手口ではなく、こうした本質的なソーシャルエンジニアリングの手法に焦点を当てるべきです。手口は今後も間違いなく変化・進化し続けるからです」。
今週流行のテンプレートに基づいたトレーニングは、来週にはもう古くなってしまいます。一方、緊急性や権威性といった本質に基づいたトレーニングは、色あせることがありません。
誰が引っかかるかは、置かれた立場によって変わる
同じフィッシングメールでも、開く人によって受け止め方はまったく異なります。まず、言語による違いが挙げられます。フランス国内のフランス語話者の受信者の報告率は19.55%で、英語話者のグループのおよそ2倍に達しました。
業種によっても差が出ます。保険業界の従業員が悪意ある添付ファイルを開いた割合は12.65%で、これは調査対象となった他のどの業種よりも突出して高い数値です。たった一つの習慣が、業界全体の傾向を決定づけることもあるのです。
そして三つ目の違いは企業規模であり、これは資金力に直結しています。中小企業は、クリック率もパスワードの送信率も高く、報告率は最も低い水準にとどまりました。こうした企業のトレーニング予算は、数十万ドル規模にとどまっています。一方、大企業の場合はその予算が数千万ドル規模にまで及びます。
防御側はこの結果をどう活かすべきか
偽のログインページにパスワードを入力してしまったあの従業員は、結局セキュリティチームに何も伝えませんでした。今回の一連の模擬訓練では、約25万人が同じ行動を取っています。そして、この「報告されないギャップ」こそが、市場に出回るあらゆるフィッシングキットが狙って広げようとしている隙間なのです。
翻訳元: https://www.helpnetsecurity.com/2026/07/24/phishing-simulation-benchmark-report/
