模擬フィッシング247万件の分析で判明 — 技術職の約3割がクリック、真の耐性は「報告率」が示す

要点

• フィッシング訓練プラットフォームを提供するPistachioは2026年、1年間の模擬フィッシング行動を分析したレポート「The Phishing Behaviour Report 2026」を公開した。分析期間は2025年6月1日から2026年5月31日で、送信した模擬攻撃は2,473,158件、分析対象は通年で記録がそろった648組織・123,692人である。
• 最も注目すべき結果は、技術職であっても安全ではないことだ。1年間の累計で、開発（Tech Development）職の30.27％、IT職の**28.53％**が少なくとも1回は模擬攻撃のリンクをクリックした。知識が行動を保証しないことが数字で示された。
• レポートの中心的な主張は、多くの訓練計画が判断基準にしているクリック率の低下だけでは組織の耐性（レジリエンス）を測れないという点だ。クリック・情報漏えい（認証情報の入力）・報告（不審メールの通報）の3つの行動を合わせて見る必要があるとしている。

最初の1回から報告がクリックを上回る — ただし1.57％は情報を入力

分析対象の全利用者が初めて模擬攻撃を受けた際の結果は、クリック率4.14％、漏えい率1.57％、報告率7.68％だった。訓練開始前から報告する利用者の方がクリックする利用者より多い一方、500人規模の組織では最大で8人程度が初回でログイン情報を入力しかねない計算になるとレポートは指摘している。

この初回結果は利用者ごとの1回限りの測定であり、以降の段階別推移とは単純に比較できないとレポートは注意している。

6か月目にピークを迎える「旅の曲線」 — 難化の中で測る真の改善

354,962件の模擬攻撃を対象とする段階別分析では、クリック・漏えい・報告のいずれも開始から6か月目の段階でピークを迎え、その後に低下して安定する一貫したパターンが見られた。レポートはこれを後退ではなく、最も厳しいテストで潜在リスクが表面化した状態と説明している。6か月目の段階では利用者あたり3.5件と最多の模擬攻撃が送られ、難易度「Hard」（10段階評価の8〜10）の割合も上限の50.4％に達していた。

ピークから12か月目の段階にかけて、クリックは27％減、漏えいは41％減となったのに対し、報告の減少は19％にとどまった。報告件数をクリック件数で割った報告対クリック比率は3か月目の1.3から12か月目には1.8へ上昇し、1年目の終わりには報告がクリックの2倍近くに達した。難易度の内訳が約50％のHardで一定に保たれる中で起きた変化であり、利用者が単にテンプレートを覚えたのではなく通報する vigilance（警戒心）が育った証拠だとレポートは位置付けている。

部門・業種で異なるリスク — 建設が高く、金融が最も耐性あり

12か月累計（期間中に少なくとも1回その行動を取った利用者の割合）の部門別・業種別の主な結果は以下の通り。

• クリック率：部門別ではデザイン部門の26.35％が最も低く、建設部門の41.31％が最も高い。業種別ではヘルスケア・ライフサイエンスの24.42％が最も低く、建設・不動産の45.74％が最も高い。
• 漏えい率：部門別ではデータ分析部門の9.62％が最も低く、建設部門の16.47％が最も高い。業種別では金融の8.56％が最も低く、建設・不動産の18.83％が最も高い。
• 報告率：部門別ではデータ分析部門の36.45％が最も高く、業種別では金融の33.11％が最も高い。運輸・物流の15.31％が業種別で最も低い。

金融がクリック・漏えい・報告のすべてで最も良好だった一方、建設・不動産はクリックと漏えいの両方で最も高いリスクを示した。同じテストでも部門によって結果が大きく異なり、一律の訓練では対応できないとレポートは指摘している。

自社の訓練を見直す3つの指標 — レポートが示す実践方法

レポートが自社の訓練計画の点検方法として示している内容は以下の通り。対策の記載は情報ソースの公表内容に限定している。

• 難易度の内訳と合わせてクリック率を見る：模擬攻撃の内容を変えていないのにクリックが減っているなら、それは耐性ではなく慣れの可能性がある。Hardの割合を上げながらクリックが減っているなら耐性が育っていると判断できるとしている。
• 6か月時点と12か月時点を比較する：Hardが約50％で一定の中でクリックが減っていれば耐性が向上している。横ばいや上昇なら訓練が予測可能になっている可能性があるとしている。
• 3・6・9・12か月の報告対クリック比率を計算する：比率が上昇していれば警戒心が育っている。横ばいなら利用者はクリックを避けるだけで報告していないため、報告を簡単で報われる行為にする方向へ投資を振り向けるべきだとしている。

読み解く際の注意点 — 対象は中小・中堅で観察研究

結果を解釈する際の前提として、レポートは次の点を明記している。対象はPistachioの顧客である中小企業から中堅規模の組織で、大企業の傾向とは異なる可能性がある。分析は観察研究であり因果関係を示すものではないこと、段階別の比較は同一利用者を追跡した縦断研究ではなく各段階にある組織群の比較であることも明記されている。部門データは職名等からAIで付与したタグに基づき、人数の少ない部門の差は目安として扱うべきだとしている。

日本企業でも標的型メール訓練は広く行われているが、クリック率だけを成果指標にしている組織は少なくない。このレポートは、通報のしやすさと通報率の測定こそが検知能力の強化につながることを示唆しており、訓練の設計と評価指標の見直しの材料になる。

出典

• Pistachio, “The Phishing Behaviour Report 2026 — Why progress can’t be measured by click rate alone”（2025年6月〜2026年5月、247万件の模擬攻撃の分析）: https://hs-5440974.f.hubspotemail.net/hubfs/5440974/The-Phishing-Behaviour-Report-2026-Pistachio.pdf