メッセージは明快です。Pistachioの研究結果と分析を踏まえ、自社内で実施するフィッシング模擬テストを見直すべきだということです。
Pistachioは2019年、ノルウェーのオスロで創業された企業で、ロンドンとバレンシアにも拠点を構えています。自動化された人的リスク管理、従業員向けセキュリティ意識トレーニング、フィッシング模擬演習を専門としています。2025年6月1日から2026年5月31日までの間に、Pistachioは1,200を超える組織に所属する123,000人以上の従業員に対し、247万件の模擬フィッシング攻撃を送信しました。その後まとめられた分析では、クリック、情報漏洩、報告という3つの行動が検証されています。
テクノロジー開発およびIT部門の従業員のうち、30%がこれらの模擬フィッシングのうち少なくとも1件をクリックしていました。建設・不動産業界の従業員では、フィッシングに成功された後に認証情報を漏らした割合が約20%に達しています。金融サービス業界は最も高い耐性を示し、クリック率、認証情報の漏洩率、報告率のいずれにおいても他業界を上回る結果となりました。
金融サービス業界の成績が良かったこと自体は驚きではありませんが、本来もっと知識があるはずのテクノロジー・IT部門の成績がこれほど悪かったことは意外です。レポートで示された差異は、組織にはただ一つのフィッシングリスクプロファイルというものが存在しないことを示唆しています。少なくとも1回クリックした従業員の割合は、デザイン業界の26%から建設業界の41%まで幅がありました。
Pistachioが実施した模擬フィッシング攻撃は、メールやTeamsなどのチャネルを通じて、同社独自のAI駆動型トレーニングプラットフォームから配信されました。コンテンツと難易度は、受信者の社内での役割や、それまでの模擬フィッシング演習での対応履歴に基づいて調整されています(余談ですが、これは人工知能の力を物語っています。この作業を人手で行っていたとしたら、12カ月ではなく23年を要していたはずです)。
しかし、このレポートはそれ以上に、模擬フィッシングテストにおいてユーザーのクリックだけでなく、その後の反応まで注視することの重要性を示しています。クリックそのものは従業員の時間を浪費するだけで、重大なフィッシングリスクにはつながりません。フィッシングリスクを生むのは、認証情報や要求された他の情報を実際に提出してしまう行為です。この点は、社内で実施するフィッシングテストが、組織に本当のフィッシング耐性について誤った印象を与えかねないことへの警鐘となっています。
「多くのフィッシング対策プログラムが評価基準としているクリック率は、全体像のごく一部にすぎません。改善を示す強力な指標を得るには、クリック率だけでなく、クリック・漏洩・報告という各行動が時間とともにどう連動して変化するかを見る必要があります」とレポートは説明しています。
Pistachioの最高経営責任者(CEO)兼共同創業者であるJoe Jones氏は、さらに次のように解説しています。「クリック率が低いと、誤った安心感を抱いてしまうことがあります。フィッシングリンクをクリックすることは、従業員の行動という長い連鎖の中の一つの瞬間にすぎず、それだけでは本人や組織全体が実際に耐性を高めているかどうかはほとんど分かりません。むしろ重要なのはその後どうなるかです。従業員が認証情報を渡してしまうのか、攻撃だと気づいて踏みとどまるのか、あるいは組織全体が対処できるように報告するのか、という点です」
Pistachioは、従来のセキュリティ意識トレーニングの前提を揺るがすいくつかのテスト効果を見出しました。
最初の模擬演習では、クリックする人よりも報告する人の方が多いものの、それでも1.57%は認証情報を漏らしてしまいます。つまり、従業員500人の企業であれば、ログイン情報を渡してしまう人がおそらく8人存在するということです。
技術系チームだからといって自動的にリスクが低いわけではありません。Pistachioのテストプログラムでは、テクノロジー開発部門のユーザーの30.27%、IT部門のユーザーの28.53%が少なくとも1回はクリックしていました。同じテストでもチームによって結果は異なり、クリック率はデザイン部門の26.35%から建設部門の41.31%まで幅がありました。
フィッシング耐性とは、クリックと漏洩が減り、報告が増えることによって生まれるものです。12カ月間のプログラム終了時点では、ユーザーが不審なメールを報告する頻度は、クリックする頻度のほぼ2倍に達しており、効果的で持続的なプログラムが単にクリックを減らすだけでなく、警戒心そのものを育てられることを示しています。ただし、トレーニングは模擬攻撃を一度送信するだけでなく、継続して行う必要があります。Pistachioのテストでは、プログラム開始から最初の6カ月間はクリック率と漏洩率がむしろ上昇し、その後に低下し始めています。
Pistachioのプログラムの規模からすると、多国籍規模で実施されていることがうかがえますが、地理的な分析は行われていません。この点は残念です。この分析は業界やチーム間の差異を明らかにしていますが、地域間の違いには踏み込んでいません。公平に言えば、世界の地域によってフィッシングへの脆弱性に優劣があるという一般的な証拠は存在しませんが、この研究はそれを検証できる立場にあったはずです。最悪の場合を想定すれば、多国籍組織が特定の拠点に追加のトレーニングを提供すべきかどうかを示す指標にもなり得たでしょう。
総じて、このレポートは、社内であれPistachio自身のサービスを利用するのであれ、フィッシング模擬テストを設計する前に一度目を通しておくべき内容だと言えます。
翻訳元: https://www.securityweek.com/phishing-research-challenges-conventional-security-awareness-testing/
