従業員が怪しいメールを開かないか心配で、標的型攻撃メールの訓練をやってみたい。でも業者に頼むと数十万円かかると聞いて、まずは自分たちだけで安く、できれば無料でできないかと考えていませんか。情報システムを総務や管理部門と兼任していて、専任のセキュリティ担当がいない会社ほど、この「自前でやれないか」という選択肢は現実的です。
自前での訓練は、無料のツールや送信手段を使えば、文面づくりから「誰がリンクをクリックしたか」の記録まで、社内だけで実施できます。実際、IPA（独立行政法人情報処理推進機構）も、システム管理部門が中心となって自前で訓練を行うケースを想定しています。
ただし、やり方を知らないまま始めると、開封を記録する仕組みが作れずに「訓練した気になるだけ」で終わったり、実在する会社の名前を使ってトラブルになったりします。
本記事では、自前で標的型攻撃メール訓練を実施する手順を、文面の作成から送信、クリックの記録、集計までステップごとに解説します。あわせて、使える無料ツールの比較、本当に無料で済むのかの費用の内訳、そのままコピーして使える訓練メールの文例、踏んではいけない注意点、そして自前の限界と外注に切り替える判断の目安までを順にまとめました。
まず手順から知りたい方は「自前で標的型攻撃メール訓練を実施する手順」をご覧ください。
目次
一括ダウンロードする
標的型攻撃メール訓練は自前でできる？まず押さえる全体像
標的型攻撃メール訓練は、外部の専門業者に頼まなくても、社内だけで実施できます。IPA は標的型攻撃メール訓練について、セキュリティ企業のサービスを使う方法と並べて、自前で実施する方法を次のように挙げています。
有事に備えて、セキュリティ企業が提供している“標的型攻撃メール訓練”サービスを利用したり、自前でシステム管理部門等が中心となって同様の訓練を実施したりするケースがあります。
出典：組織における標的型攻撃メール訓練は実施目的を明確に｜独立行政法人情報処理推進機構（IPA）
標的型攻撃メール訓練とは、攻撃者が送ってくるような不審なメールを模した「訓練メール」を社内に配信し、従業員が開封したりリンクをクリックしたりするかを確かめる取り組みです。目的は、不審なメールに気づけるか、気づいたあとに正しく対処（報告・無視）できるかを測り、弱いところを見つけて教育につなげることにあります。
自前で成立させる鍵は、3つの要素を社内で用意できるかどうかです。1つめは訓練メールの文面、2つめはそれを従業員に送る手段、そして3つめが「誰がいつ開封・クリックしたか」を記録する仕組みです。文面と送信は比較的かんたんですが、記録の仕組みをどう作るかが自前のつまずきやすい点になります。本記事ではこの3つを、無料のツールや手段を使ってそろえる方法を具体的に解説します。
自前で標的型攻撃メール訓練を実施する手順
ここからは、自前で訓練を実施する流れを6つのステップで解説します。全体像は「文面を作る→クリック先のページを用意する→送信する→開封・クリックを記録する→集計する→従業員にフィードバックする」という順序です。各ステップで何を使えばよいかもあわせて示します。
- 訓練メールの文面を作る：従業員が受け取りそうな業務連絡を模した文面を用意します。本記事の文例をそのまま流用できます。実在する会社名は使いません（理由は後述）。
- クリック先のページを用意する：メール内のリンクをクリックした人を記録するための、計測用のWebページやURLを用意します。クリックした従業員には「これは訓練でした」と伝える注意喚起ページを表示するのが一般的です。
- 訓練メールを送信する：用意した文面を従業員に配信します。送信手段は、クラウドメールの無料枠や自前のメールサーバーを使います（無料で使える手段は後述の費用で解説します）。
- 開封・クリックを記録する：誰がメールを開封し、誰がリンクをクリックしたかを記録します。自前訓練の肝になる部分なので、次の見出しで作り方を詳しく解説します。
- 結果を集計する：開封した人数・クリックした人数を集計し、部署別などで傾向を整理します。
- 従業員にフィードバックする：結果をもとに、どんな点に気をつければよかったかを全員に共有します。返し方のコツ（犯人探しにしない）は次の見出しで扱います。
「誰が踏んだか」を記録する仕組みの作り方
自前での訓練がうまくいくかは、「誰がリンクをクリックしたか」を記録できるかにかかっています。基本の原理はシンプルで、受信者ごとに別々の目印（固有のURL）をメールに仕込み、その目印がどこからクリックされたかを突き合わせて「誰がクリックしたか」を割り出します。
記録のやり方は、使う方式に応じて大きく3通りあります。手軽な順に具体的な作り方を見ていきます（3方式の向き・不向きは次の章の表で比べます）。
方法1：アンケートフォーム＋表計算（最も手軽）。無料のアンケートフォーム（Google フォームなど）で「これは訓練でした」と伝える注意喚起ページを兼ねたフォームを作り、受信者ごとに社員番号などを事前入力した固有のリンクを配ります。
訓練メールのリンクからこのフォームを開いた人が、回答一覧に社員番号つきで記録されるため、それをそのまま「クリックした人」の表計算リストとして使えます。固有リンクを配る代わりに、開いた人にフォームで社員番号を選んでもらう形でも突き合わせられます。サーバーもプログラムも不要で、数十人規模ならこれで始められます。
方法2：クラウドメールの差し込み送信＋計測URL。Brevo のようなクラウドメールの差し込み（メールマージ）機能を使うと、受信者ごとに違うURL（例: example.com/t?u=0012 のように末尾へ社員番号を付けたもの）を自動で差し込んで一斉送信できます。
リンク先には無料で用意した計測用ページ（静的ホスティングやフォーム）を置き、どの番号のURLがクリックされたかを、ページのアクセス記録で確認します。本人にフォーム入力してもらわなくてもクリックを拾える点が、方法1との違いです。
方法3：専用ツール Gophish を使う。Gophish（ゴーフィッシュ）は、オープンソースで公開されている訓練用のフレームワークです。
Gophish は MIT ライセンスの無料ソフトで、Windows・Mac・Linux 向けのファイルを1つダウンロードすれば導入できます。受信者ごとに「メールの開封・リンクのクリック・入力された認証情報」を記録し、結果をレポート用に書き出せます。固有URLの差し込みも記録も自動なので、訓練に必要な機能が最初からそろう点が強みです。
実際の訓練は、管理画面で次の4つを用意して1回分を組み立てます。
- Sending Profile（送信元プロファイル）：送信に使うメールサーバーの設定
- Email Template（メールテンプレート）：訓練メールの文面
- Landing Page（ランディングページ）：クリック後に表示する自社の注意喚起ページ
- Users & Groups（対象グループ）：訓練を送る従業員の一覧
これらを紐づけてキャンペーンを実行すると、開封・クリックの結果が対象ごとにダッシュボードへ自動で集計されます（ランディングページに入力フォームを設ければ、認証情報の入力まで記録できます）。手動方式のように表計算で結果を突き合わせる手間がかからないのが、ツールを使う大きな利点です。
出典・参考資料（2件）
ただし Gophish は、メールを送るサーバーの設定や、計測用ページを置くWebサーバーの準備が必要で、サーバー構築の知識を前提とします。社内にその知識を持つ担当者がいる場合や、クラウド上に検証用サーバーを用意できる場合に向きます。
3方式とも「クリック」は固有URLで確実に拾えますが、「開封（メールを開いただけ）」の記録は、本文に仕込んだ小さな画像の読み込みで判定するため、画像を自動表示しないメール環境では取りこぼします。自前では、まずクリックの記録を中心に据えるのが現実的です。
集計と、犯人探しにしないフィードバック
記録がとれたら、開封した人数・クリックした人数を集計します。Gophish のようなツールを使った場合はレポート機能で自動的に集計でき、手動の場合は表計算ソフトにまとめます。部署や役職ごとにクリック率を見ると、どこに重点的な教育が必要かが見えてきます。
クリック率や開封率は「開封率が2割前後、クリック率が1割前後」といった目安を挙げる解説が多く見られます。ただし、これらは公的な統計や調査にもとづく確定した数値ではなく、訓練メールの難易度や対象者のリテラシーによって大きく変わります。他社と比べる指標として使うより、自社の前回の訓練と比べて改善したかを見る目安として扱うのが実務的です。
フィードバックで最も大切なのは、クリックした人を名指しで責めたり、人事評価に結びつけたりしないことです。訓練の目的は個人を罰することではなく、組織全体で不審メールへの対処力を高めることにあります。犯人探しの空気ができると、次回から「怪しいと思っても報告しない」という逆効果を招きます。クリックしてしまった場合にどこで見抜けたか、気づいたら誰に報告すればよいかを、全員に向けて前向きに共有しましょう。
自前の方式・無料ツールを比較する
自前で訓練を実施する方式は、大きく3通りあります。それぞれ必要な準備・技術知識・費用・限界が異なるため、自社の体制に合うものを選べるよう、下の表に整理しました。
| 比較項目 | Gophish （無料のオープンソースツール） | クラウドメールの無料枠 ＋計測URL | アンケートフォーム ＋表計算（手動運用） |
|---|---|---|---|
| 向いている組織 | サーバー構築の知識を持つ担当者がいて、開封・クリックを正確に記録したい | サーバーは建てず、手早く小さく始めたい | 数十人規模で、まず最小構成で試したい |
| 必要な準備 | 送信用メール・計測ページを置くサーバーの構築 | 無料枠のメールアカウントと、固定URLの計測ページ | 無料のアンケートフォームと表計算ソフト |
| 技術知識 | 中〜高（サーバー・DNSの設定） | 中（Web・メールの基礎知識） | 低 |
| 費用の目安 | ソフトは無料。サーバー・ドメイン費用のみ | 送信は無料枠の範囲内。計測ページの費用のみ | 無料 |
| 主な限界 | 導入・運用に手間がかかる。シナリオは自分で用意 | 1日の送信通数に上限。記録は自分で突き合わせる | 「誰が開封したか」は取りにくく、クリックの簡易計測が中心 |
※各方式の難易度・費用は一般的な目安です。実際の要件は利用するツール・環境によって変わります。
記録の正確さを重視するなら Gophish、手早さを重視するならクラウドメールの無料枠、とにかく小さく試すならフォームと表計算、という使い分けになります。最初はフォームと表計算で数十人規模の小さな訓練から始め、手応えをつかんでから Gophish での本格運用に広げる、という進め方も現実的です。
自前にかかる費用（必要なもの×費用の内訳）
「自前なら無料でできる」とよく言われますが、実際に何にいくらかかるのかを分解すると、ソフトや送信の多くは無料でまかなえる一方で、担当者の工数という社内コストは必ず発生します。必要なものごとに費用の目安を整理しました。
| 必要なもの | 自前での用意のしかた | 費用の目安 |
|---|---|---|
| 訓練メールの文面・シナリオ | 自作する（本記事の文例を流用できる） | 無料 |
| 送信手段 | クラウドメールの無料枠、または自前のメールサーバー | 無料〜（送信上限超・独自ドメイン利用は有料） |
| 開封・クリックの記録 | Gophish（無料・要サーバー）、または計測URL＋アクセスログ | ソフトは無料（サーバー・ドメイン費用は別） |
| 集計・レポート | ツールのエクスポート機能、または表計算ソフト | 無料 |
| 担当者の工数・準備期間 | 文面作成・環境構築・集計・フィードバックの作業時間 | 社内の人件費（金額は出ないが無料ではない） |
送信手段について補足します。無料で送れるクラウドメールの例としては、Brevo（旧 Sendinblue）があります。Brevo の無料プランはクレジットカード不要で永続的に使え、承認後は1日あたり最大300通まで送信できます（2026年11月時点）。
数十〜数百人規模の訓練なら無料枠で足りることが多く、SMTP や API での送信に対応しているため、Gophish の送信手段としても使えます。
出典・参考資料（1件）
過去の解説記事では無料の送信手段として SendGrid が挙げられることがありますが、SendGrid は常時無料のプランを終了しており、現在は無料トライアルが中心です。
無料で送れる手段として紹介されていても、最新の料金体系を確認してから選ぶようにしてください。結局のところ、自前の訓練で「無料」になるのはソフトと送信の一部で、本当のコストは準備と運用にかける人の時間だと捉えておくのが安全です。
無料でまかなえない部分の金額感も押さえておきましょう。Gophish 方式で必要になる独自ドメインは一般に年額1,000〜数千円程度、計測ページやメールサーバーを動かすクラウドのVPS（月額で借りる仮想サーバー）は月額数百円〜1,000円台からが目安です。
工数は、文面づくりから環境構築・集計・フィードバックまでで、小規模なら準備に半日〜数日程度を見込んでおくとよいでしょう（いずれも体制や規模で変動します）。
一括ダウンロードする
そのままコピーして使える訓練メール文例（なりすまし対象別）
訓練メールは、従業員が普段受け取っている業務メールに似ているほど「気づけるか」を正しく測れます。ここでは、なりすます対象別に、件名と本文をそのままコピーして使える文例を用意しました。いずれも実在する企業・団体の名前は使っていません。
自社の部署名などに置き換えて使ってください（実在名を使わない理由は注意点で解説します）。リンク先には、必ず「これは訓練です」と伝える自社の注意喚起ページを設定してください。
経営層・システム部門になりすました業務連絡
件名：【要対応】社内システムのアカウント情報を更新してください
本文：お疲れさまです。情報システム部です。社内システムのセキュリティ更新にともない、全従業員のアカウント情報の再設定をお願いしています。下記のリンクから本日中に手続きを完了してください。期限を過ぎるとログインできなくなる場合があります。 → ［リンク］
――――――
情報システム部 システム運用担当（内線：0000）
見抜きポイント：「本日中」と急かす期限、アカウント情報の再設定をリンク先で求める点。社内の正規手続きかを、メールのリンクではなく普段の窓口で確かめる習慣が守りになります。
人事・総務を装った案内（給与・福利厚生・年末調整など）
件名：給与改定のお知らせと明細確認のお願い
本文：人事部です。このたびの給与改定にともない、新しい給与明細を専用ページで公開しました。ご自身の改定内容をご確認ください。確認には社員番号でのログインが必要です。 → ［リンク］
――――――
人事部 給与・労務グループ（内線：0000）
見抜きポイント：給与・待遇という関心を引く話題で、外部ページでの社員番号入力を促す点。普段と違うページでの認証情報の入力を求められたら、いったん立ち止まるのが安全です。
取引先・請求や発注を装ったメール
件名：請求書の内容に関するご確認のお願い
本文：いつもお世話になっております。先日お送りした請求書に記載内容の誤りがございました。お手数ですが、修正版を下記よりご確認のうえ、差し替えをお願いいたします。 → ［添付ファイル／リンク］
――――――
○○株式会社 経理部 ○○（担当者名）
見抜きポイント：心当たりのない請求の訂正依頼で、添付ファイルやリンクを開かせる点。取引先からの金銭に関わる変更は、メールの連絡先ではなく既知の窓口へ確認してから対応します。
宅配・配送通知を装ったメール
件名：お荷物のお届けに関するご確認（再配達のお願い）
本文：お荷物のお届けにあがりましたが、ご不在のため持ち帰りました。下記のリンクから再配達の日時をご指定ください。本日中にご指定がない場合、お荷物は返送となります。 → ［リンク］
見抜きポイント：「本日中に指定しないと返送」と不安を煽り、リンクへ誘導する点。身に覚えのない配送通知は、メール内のリンクではなく配送業者の公式サイトや追跡番号で確かめます。
クラウドサービスのアカウント警告を装ったメール
件名：アカウントに異常なログインを検知しました
本文：ご利用中のクラウドサービスで、普段と異なる場所からのログインを検知しました。心当たりがない場合は、アカウントの保護のため下記からただちにパスワードを再設定してください。 → ［リンク］
見抜きポイント：「不正ログイン検知」で不安を煽り、リンクからのパスワード再設定に誘導する点。警告を受けたら、メールのリンクではなくブックマークや公式アプリからサービスに直接アクセスして確認します。
難易度を調整したい場合は、送信元アドレスの不自然さ、本文の日本語の違和感、リンク先URLの見分けやすさを変えると、初級・中級・上級として使い分けられます。最初は見分けやすい文面から始め、慣れてきたら巧妙な文面に上げていくと、従業員の負担を抑えながら対処力を鍛えられます。
自前でやるときの注意点・落とし穴
自前の訓練は手軽に始められる一方で、やり方を誤ると社外トラブルや従業員の反発を招きます。実施する前に、次の点を押さえておいてください。
まず、訓練を始める前に「何のために実施するのか」という目的を先に決めます。IPA も、訓練の目的を明確にしてから内容を決めるよう促しています。
標的型攻撃メール訓練は、不審なメールを実際に受信した場合、適切な対処が行えるかどうかを確認する目的で実施されるものです。
出典：組織における標的型攻撃メール訓練は実施目的を明確に｜独立行政法人情報処理推進機構（IPA）
開封率を下げること自体を目的にすると、巧妙すぎる文面で「引っかけること」に走りがちです。不審メールに気づけるか、気づいたあとに正しく報告・対処できるか、有事の体制が機能するかを確認する、という目的に立ち返ると、文面の難易度や事後教育の設計がぶれなくなります。
次に、最も注意したいのが、実在する組織の名前を使わないことです。実在企業や取引先を装った訓練メールは、思わぬ第三者トラブルを引き起こします。IPA は、実在または酷似する組織名を使った訓練は実施しないのが賢明だとしています。
また、場合によっては訴訟問題に発展する可能性もあり、その様な思わぬトラブルに巻き込まれないためにも、実在または酷似する組織名を使ったメールでの訓練は実施しないことが賢明です。
出典：組織における標的型攻撃メール訓練は実施目的を明確に｜独立行政法人情報処理推進機構（IPA）
IPA は、第三者に影響が及ぶ具体例として、次の2つを挙げています。訓練メールの文面を作るときは、実在名を避けるだけでなく、こうした波及まで想定しておきましょう。
- メール受信者が訓練メールに使われた実在する組織へ直接問い合わせをすることで、その組織が事実確認に追われる。
- メール受信者が注意喚起等を目的としてSNSで訓練メールの内容を投稿した結果、SNS上の拡散により実在する組織の風評被害が発生する。
そのほか、実施前に押さえておきたい点を挙げます。これらを事前に整えておくと、社内の混乱やトラブルを避けられます。
- 経営層・関係部署の事前承認を得る：訓練だと知らされていない従業員が問い合わせ窓口に殺到することがあるため、情報システムや総務、場合によっては経営層の了解を取っておきます。
- クリックした人を罰しない方針を事前に決めておく：評価や個人の公開に結びつけないと先に共有しておくと、集計後の対応で迷いません。
- フィッシングの通報訓練とセットで考える：クリックしないことだけでなく、「おかしいと思ったら誰に報告するか」を周知し、報告を評価する仕組みにします。
自前の限界と外注への切り替え判断
ここまで見てきたとおり、自前の訓練は無料のツールと工夫で実施できます。一方で、続けていくうちに自前の限界にぶつかる場面も出てきます。どこまで自前で、どこから外注かを判断できるよう、両者の違いを整理しました。
| 観点 | 自前で実施 | 外注（訓練サービス） |
|---|---|---|
| 初期費用・ソフト代 | 無料（オープンソース・無料枠） | サービスの利用料がかかる |
| 継続のコスト | 主に担当者の工数 | 利用料に含まれる |
| 必要な技術知識 | サーバー構築や計測の知識が要る方式もある | 不要（管理画面で設定できる） |
| 最新の攻撃シナリオ | 自分で用意・更新する | 多数のテンプレートが提供される |
| 開封・クリックの記録 | 仕組みを自分で用意する | 標準機能でレポートまで自動化 |
| 向いている組織 | 小規模・技術者がいる・年数回の単発で十分 | 継続実施したい・教育記録が必要・工数を割けない |
自前が向くのは、社内に環境を作れる担当者がいて、年に1〜2回の単発で十分なケースです。反対に、毎回の文面づくりや環境の保守に手が回らない、継続的に実施して記録を残したい、という場合は外注が現実的になります。特に、担当者の工数を人件費として見積もると、自前が必ずしも安いとは限りません。
外注の費用感も押さえておきましょう。訓練サービスの料金には幅があり、ある提供事業者は、通常の標的型攻撃メール訓練には数十万円から数百万円のコストがかかるとしています。一方で、送信規模に応じた中小企業向けの低価格プランも登場しており、送信規模が小さいうちは外注でも年数万円台から選べます。
自前の手間をかけずに訓練メールの配信から記録まで任せられるサービスを、料金の目安とあわせて整理しました。工数を人件費として見積もった自前のコストと見比べる材料にしてください。
| サービス名 | FB SATMail | 標的型攻撃メール訓練 Basicプラン |
|---|---|---|
| 提供元 | 株式会社フーバーブレイン | SOMPO CYBER SECURITY |
| 料金の目安 | 100通プラン 年額36,000円 無制限プラン 年額90,000円 初期費用30,000円 （2023年10月のプレスリリース時点） | 送信20通 26,400円 100通 85,800円 1,000通 396,000円 （税込・2026年11月時点） |
| 記録・レポート | 開封・クリック・添付開封を記録。ダッシュボード・レポート自動生成・CSV出力 | 訓練結果の分析。アンケート・教育コンテンツの表示 |
| 詳細情報 | 公式資料を見る | 公式サイト |
※料金は各社の公開情報にもとづく目安です（FB SATMail は2023年10月のプレスリリース時点、Basicプランは2026年11月時点）。最新の料金は各社にご確認ください。
出典・参考資料（1件）
このうち、FB SATMail を詳しく紹介します。
FB SATMail（株式会社フーバーブレイン）
FB SATMail は、実際の標的型攻撃メールに似せた訓練メールを社内に配信し、開封・リンクのクリック・添付ファイルの開封といった対応結果を記録して、社内のリスクと課題を可視化する訓練サービスです。株式会社フーバーブレインが2023年11月から提供しています。自前で用意するのが大変な「誰が踏んだか」の記録とレポートを、サービス側がまとめて担います。
攻撃タイプは添付ファイル型・フィッシング型・複合型があり、難易度も初級から上級まで調整できます。公式の製品ページによると、約300種類のシナリオが用意されており、訓練を運用したことがない担当者でも設定しやすいとされています。結果はダッシュボードで確認でき、レポートの自動生成やCSVでの書き出しにも対応します。
料金は、2023年10月のプレスリリース時点で、年間100通の「100通プラン」が年額36,000円、年間の送信数に上限のない「無制限プラン」が年額90,000円、初期費用が30,000円と案内されています（税の区分は明記なし。最新の料金は提供元にご確認ください）。
自前の工数を人件費として考えると、継続して訓練を行う企業にとっては、このクラスの訓練サービスを使う方が結果的に手間と費用を抑えられる場合があります。
出典・参考資料（2件）
訓練サービスは FB SATMail のほかにも数多くあり、用意されているシナリオの種類や教育コンテンツの手厚さ、料金体系はサービスごとに差があります。自前との比較で外注に気持ちが傾いた方は、以下の記事で主要な訓練サービスを教育コンテンツ・料金・開封率といった条件で見比べられます。
まとめ
標的型攻撃メール訓練は、無料のツールと送信手段を使えば自前で実施できます。鍵になるのは、訓練メールの文面・送信手段・「誰が踏んだか」を記録する仕組みの3つをそろえることです。記録は Gophish のような無料ツールを使うか、計測用URLとアクセスログで手動で突き合わせる方法があります。文面は本記事の文例を流用でき、送信はクラウドメールの無料枠でまかなえます。
実施するときは、目的を先に決めること、実在する組織名を使わないこと、クリックした人を責めないことを守ってください。これらはIPAの注意喚起でも示されている、自前訓練の落とし穴を避けるための要点です。
そして、毎回の準備や記録の手間が負担になってきたら、訓練メールの配信から記録までを任せられる外注サービスへの切り替えも検討しましょう。まずは小さく自前で試し、自社に合うやり方を見極めるところから始めてみてください。
一括ダウンロードする
よくある質問（FAQ）
Q. 標的型攻撃メール訓練とは何ですか？
A. 標的型攻撃メール訓練とは、攻撃者が送るような不審なメールを模した「訓練メール」を社内に配信し、従業員が開封・クリックするかを確かめて対処力を測る取り組みです。目的は、不審なメールに気づけるか、気づいたあとに正しく報告・対処できるかを確認し、弱いところを見つけて教育につなげることにあります。外部の専門業者に頼らず、システム管理部門などが中心となって社内だけで自前で実施することもできます。
Q. 標的型攻撃メール訓練は本当に無料で自前でできますか？
A. 標的型攻撃メール訓練を自前で行う場合、ソフトや送信手段の多くは無料でまかなえますが、完全に無料ではありません。
訓練メールの文面、送信（クラウドメールの無料枠）、記録（無料ツールやアクセスログ）、集計（表計算）は無料で用意できますが、文面作成・環境構築・集計・フィードバックにかかる担当者の工数は、人件費として必ず発生します。独自ドメインの利用や送信上限を超える場合は、別途費用がかかることもあります。
Q. サーバーの知識がなくても自前で標的型攻撃メール訓練はできますか？
A. サーバー構築の知識がなくても、無料のアンケートフォームと表計算ソフトを使った手動運用なら、数十人規模の小さな訓練から始められます。ただしこの方式は「誰が開封したか」までは取りにくく、クリックの簡易計測が中心になります。開封・クリックを正確に記録したい場合は、オープンソースの Gophish を使う方式が向きますが、送信用メールや計測ページを置くサーバーの構築知識が必要です。
Q. Gophishは無料で使えますか？
A. Gophish は MIT ライセンスで公開されている無料のオープンソースソフトで、ソフト自体の利用料はかかりません。
Windows・Mac・Linux 向けのファイルを1つダウンロードすれば導入でき、受信者ごとに開封・リンクのクリック・入力された認証情報を記録して、結果をレポート用に書き出せます。ただし、メールを送るためのサーバーや計測用ページの準備が必要なため、サーバーやDNSの設定にかかる手間・費用は別途発生します。
出典・参考資料（2件）
Q. 訓練メールに実在する企業や取引先の名前を使ってもよいですか？
A. 実在または酷似する組織名を使った訓練メールは、実施しないのが賢明です。
IPA（独立行政法人情報処理推進機構）は、実在組織を装う訓練メールの第三者への影響について注意を促しています。受信者がその組織へ直接問い合わせて相手が事実確認に追われたり、SNSへの投稿・拡散で実在組織の風評被害が生じたりする可能性があり、場合によっては訴訟問題に発展する恐れもあるためです。訓練メールでは自社の部署名などに置き換え、実在する社名・ブランド名は使わないでください。
Q. 訓練メールの開封率・クリック率の目安はどのくらいですか？
A. 「開封率が2割前後、クリック率が1割前後」といった目安を挙げる解説は多いものの、これらは公的な統計にもとづく確定した数値ではありません。開封率・クリック率は、訓練メールの難易度や対象者のリテラシーによって大きく変わります。他社と比べる指標として使うより、自社の前回の訓練と比べて改善したかを見る目安として扱うのが実務的です。
Q. 訓練メールを従業員に見抜かれないようにするコツはありますか？
A. 普段の業務で受け取るメールに文面・送信元・件名を似せてリアリティを高めると、気づけるかをより正確に測れます。ただし、見抜かれないこと自体を目的にして巧妙すぎる文面で「引っかける」ことに走ると、訓練の狙いからずれてしまいます。難易度は、不審メールに気づいて正しく報告・対処できるかを確認するという目的に沿って、初級から段階的に上げていくのが適切です。
Q. 標的型攻撃メール訓練はどのくらいの頻度で実施すればよいですか？
A. 実施頻度に決まった基準はありませんが、年に1〜2回など定期的に繰り返すのが一般的です。攻撃の手口は変化していくため、単発で終えるより継続して実施するほうが、従業員の対処力が定着しやすくなります。まずは自前の単発運用で手応えをつかみ、継続的な実施が必要になったら外注サービスの利用もあわせて検討するとよいでしょう。
Q. 標的型攻撃メール訓練は自前と外注のどちらを選ぶべきですか？
A. 社内に環境を作れる担当者がいて年に1〜2回の単発で十分なら自前、継続実施や教育記録の保存が必要で工数を割けないなら外注が向いています。自前はソフトや送信が無料な一方、文面づくりや環境の保守、集計の手間が担当者の工数としてかかります。担当者の工数を人件費として見積もると自前が必ずしも安いとは限らないため、続ける頻度と社内で割ける時間を踏まえて判断してください。
社内セキュリティ対策の料金・資料を一括チェック
MCB FinTechカタログでは、標的型攻撃メール訓練をはじめとする社内セキュリティ対策サービスの最新資料を無料で一括請求できます。機能や料金、対応範囲を見比べて、自社に合うサービスを検討できます。
一括ダウンロードする
MCB FinTechカタログに掲載しませんか？
MCB FinTechカタログでは、掲載企業様を募集しています。マネックスグループの金融実務ノウハウを活かした独自の評価軸と検索設計により、導入検討者が最適なサービスを効率的に発見できる法人向け比較プラットフォームです。掲載後は管理画面から料金表や導入事例を随時更新でき、常に最新の情報を訴求可能。まずは下記フォームより、お気軽にお問い合わせください。
マネックス証券 フィナンシャル・インテリジェンス部 暗号資産アナリスト
松嶋真倫
監修の範囲は記事の一般的な解説部分であり、比較表および各製品・サービスの紹介内容は監修の対象外です。
