フィッシングシミュレーションプログラムの評価を、従業員がシミュレーション攻撃メールをクリックした頻度だけで判断している企業は、サイバーレジリエンスを測るうえでより重要な指標を見落としている可能性があります。Pistachioの「Phishing Behaviour Report 2026」がこう指摘しています。
難易度の高いシミュレーションの例（出典: Pistachio）
この分析は、2025年6月1日から2026年5月31日までの間に12カ月分の完全な記録を持つ648社、ユーザー数123,692人を対象としています。その中心的な発見は、フィッシング耐性はクリック、認証情報の入力、そして報告という行動を組み合わせて初めて正しく理解できるというものです。
進歩は一直線には進まない
フィッシングの成績は、トレーニングプログラムの途中で一時的に悪化しているように見えることがあります。ジャーニー分析の対象となった354,962件のシミュレーションでは、クリック率と認証情報入力率は最初の6カ月間で上昇し、その後の段階で低下していきました。報告率も同様の傾向をたどりました。
これらの各段階は、同じ従業員を12カ月間継続的に追跡したものではありません。むしろ、プログラムの3カ月・6カ月・9カ月・12カ月という各段階に到達した、重なり合いつつも同一ではない組織・ユーザー群を比較したものです。
6カ月時点では、ユーザー1人当たり平均3.5件のシミュレーションを受けており、これは3カ月時点の2.6件、12カ月時点の2.8件と比べて多い数字です。同時に、シミュレーションの50.4%が「Hard（難易度高）」に分類されていました。6カ月の段階を過ぎると、難易度の内訳はおよそ50%がHardのまま維持される一方で、クリック率と認証情報入力率は低下していきました。
クリック数の一時的な増加は、従業員のレジリエンスが低下していることを示すものではなく、より負荷が高く頻度の高いテストによって、易しい演習では見過ごされがちな脆弱性が露呈した結果と考えられます。
Pistachioの最高経営責任者(CEO)を務めるJoe Jones氏は、次のように述べています。「クリック率の低さは、誤った安心感を生みかねません。フィッシングリンクをクリックすることは、従業員の行動というもっと長い連鎖の中のほんの一瞬に過ぎず、それ単体では、本人あるいは組織全体が実際にレジリエンスを高めているかどうかについて、ほとんど何も語ってくれません。むしろ重要なのはその後の行動です。従業員が認証情報を渡してしまうのか、攻撃だと気づいて踏みとどまるのか、それとも報告して組織全体が対応できるようにするのか、という点です」
テストの設計も、結果の解釈に影響を与えます。見慣れたフィッシングテンプレートを繰り返し使用すると、従業員がその演習を見分けられるようになるため、クリック率は低下しますが、それは必ずしも未知の攻撃への備えが向上したことを意味しません。したがって、クリック率の低下は、難易度が維持されたシミュレーションにおいて生じた場合の方が、より大きな意味を持ちます。
報告が従業員を検知チャネルに変える
フィッシングリンクを避けることは、リスクの一つの発生源を封じるにすぎません。不審なメッセージに気づいてセキュリティチームに知らせることは、従業員を能動的な検知チャネルへと変え、もう一段階の防御層を加えることになります。
6カ月時点のピークから12カ月時点にかけて、クリック数は27%、認証情報の漏えいは41%それぞれ減少した一方、報告数は19%減少にとどまりました。報告件数とクリック件数の比率は、3カ月時点の1.3から12カ月時点には1.8まで上昇しており、最終段階では不審なメッセージがクリックされる回数のほぼ2倍の頻度で報告されていたことになります。
報告があれば、セキュリティチームは潜在的な攻撃をより早期に把握でき、他の受信箱に届いた類似メッセージを調査・削除する機会も得られます。これにより、警告を上げた従業員本人だけでなく、組織全体がその恩恵を受けることになります。
報告のプロセスを簡単にすることは、従業員の行動を後押しします。ワンクリックでの報告と迅速な確認応答は、余計な手間をかけさせることなく、ユーザーが潜在的な脅威にフラグを立てやすくします。
部署ごとに異なるリスク
全社共通のスコアだけでは、部署間の大きな差異が見えなくなってしまいます。名前が挙げられた16部署では、送信されたシミュレーションのうち44%から52%がHard(難易度高)に分類されており、特定の部署だけが体系的に易しい、あるいは難しいテストを受けていたわけではないことが分かります。
建設業と施設管理部門は、クリックおよび認証情報入力に対する最大のリスクを示しました。建設業では累積クリック率41.31%、漏えい率16.47%を記録し、データセット中で部署別として最も高い数値となりました。これらの年間ユーザーレベルの指標は、分析対象期間中に少なくとも1回クリックまたは認証情報を入力したユーザーの割合を示すものであり、個々のフィッシングメッセージのうち、そうした行動につながった割合を示すものではありません。
医療部門は、これとは異なるリスクプロファイルを示しました。クリック率は比較的低かったものの、報告率は13.17%と、名前が挙げられた部署の中で最も低い数値でした。物流部門は、平均を上回るクリック率と、平均を下回る17.11%という報告率が組み合わさっており、そのリスクが報告によって相殺されていない状況がうかがえます。
IT部門や技術開発部門の従業員も、依然としてシミュレーションのフィッシング攻撃に反応しており、認知度の高さが必ずしも、不審なメッセージが届いた際の適切な対応につながるとは限らないことを示しています。
部署間のこうした差異は、より的を絞ったトレーニングの必要性も裏付けています。不審なメッセージを見分けること自体に苦労するチームには、フィッシングの試みには気づきながらも認証情報を入力してしまうチームとは異なる演習が必要になる可能性があります。全社共通のクリック率スコアだけでは、こうした行動の違いを区別できず、追加のトレーニングが最も必要とされている場所を示すこともできません。
翻訳元: https://www.helpnetsecurity.com/2026/09/11/pistachio-employee-phishing-risk-report/
