不審メールの事故・ヒヤリハットのあとに行う標的型メール訓練：振り返りと再発防止の進め方

なぜ事故のあとに訓練が必要になるのか

不審なメールの添付ファイルを開いてしまった、偽のログイン画面にパスワードを入力しそうになった。こうした事故や、被害に至らなかった「ヒヤリハット」が起きると、「全社で訓練をしよう」という声が上がります。

ただ、事故の直後の訓練は、進め方を誤ると逆効果になります。よくあるのは次のような状態です。

• 原因がはっきりしないまま始める：なぜ開いてしまったのか、なぜ報告が遅れたのかを確かめずに、ありふれた文面で訓練してしまう
• 当事者探しの雰囲気になる：「誰が開いたのか」に関心が集まり、社員が萎縮する
• 1回で終わる：訓練をしたこと自体が再発防止策として扱われ、その後が続かない

IPAの「企業組織を狙う攻撃メールの手口とその対策」（2026年8月）は、社内で発生したインシデントの情報を、被害に至らなかったヒヤリハット事例も含めてセキュリティ担当部署に集約できる体制を作るよう勧めています。集めた情報を分析して既存の対策を改善し、教育・研修の機会に周知することで、組織全体の意識向上を図れるとしています。事故のあとの訓練は、この「集めて、分析して、周知する」流れの中に置くと効果が出ます。

放っておくと困ること

• 同じ型のメールで、また同じことが起きる：原因を見直さないと、似た件名や本文のメールが届いたときに、また同じところでつまずく
• 報告が減る：当事者が強く注意されたことが社内に広まると、「開いてしまっても黙っておこう」と考える人が出る
• 説明ができない：取引先や経営層から「どう再発を防ぐのか」と聞かれたときに、具体的に答えられない

IPAの「情報セキュリティ10大脅威 2026 解説書［組織編］」は、適時・適切に報告しないと被害の拡大につながるだけでなく、隠蔽を疑われ、信頼の失墜につながるおそれがあるとしています。事故のあとこそ、「すぐ報告すること」を組織として後押しする必要があります。

対策とサービスの選び方

1. まず原因を振り返る

訓練の計画より先に、何が起きたかを整理します。個人の不注意だけで終わらせず、仕組みの問題も洗い出します。

振り返る点	確かめること
メールの特徴	どんな件名・差出人・本文の要素だったか。業務の流れに合っていたか
開いた理由	急がされた、知っている相手に見えた、業務で同じ形のメールを受け取っている、など
報告の流れ	気づいてから報告までにどれくらいかかったか。報告先を知っていたか
技術的な対策	メールの受信の段階で止められなかったか。止まらなかった理由は何か

IPAの「中小企業の情報セキュリティ対策ガイドライン」は、インシデント対応のあとは、再発させないために根本原因を分析し、技術的な対策の導入、ルールの策定、教育の徹底、体制整備、運用の改善などの再発防止策を検討して実施するよう勧めています。訓練は、このうち「教育」と「体制の確認」を受け持つ対策です。技術的な対策と組み合わせて考えましょう。

2. 当事者を責めない

振り返りで話を聞くときも、社内に伝えるときも、当事者を特定できる形にはしません。

• 聞き取りは「何が起きたか」を知るためと最初に伝え、処分の話と切り離す
• 社内への共有では、名前や部署を出さず、メールの特徴と正しい対応だけを伝える
• 早く報告してくれた場合は、そのことを評価する

同じ解説書は、経営者や上司、責任者が、部下や担当者が包み隠さず、ためらわずに報告できる環境や関係をつくることが重要だとしています。責めない方針は、経営層の言葉で伝えてもらうと社内に届きやすくなります。

3. 同じ型の文面で練習する

事故のあとの訓練では、実際に届いたメールと同じ型の文面を使うと、社員が「自分ごと」として学べます。ただし、実際のメールをそのまま使うのではなく、件名の型と本文の要素だけを取り出して作ります。

• 件名の型：請求・支払いの確認、パスワードの期限切れ、共有ファイルの通知など、実際に届いたものと同じ分類にする
• 本文の要素：期限で急がせる、添付ファイルやリンクを開かせる、といった要素をそろえる
• 実在の会社名は使わない：実際の攻撃が実在の会社をかたっていても、訓練では架空の名前にする

文面の作り方は「訓練メールの文例・件名の作り方」で解説しています。訓練の前に、実際に届いたメールの特徴を全員に説明しておき、そのうえで同じ型の訓練メールに気づけるかを確かめる順番でもかまいません。

4. 報告の手順まで練習する

IPAの同じ資料は、標的型メール訓練では、不審メール受信の報告を手順に従って行うところまで演習するよう勧めています。事故で報告が遅れていたなら、今回の訓練では報告率と報告までの時間を重点的に見ます。報告の仕組みの整え方は「不審メールの報告が上がらない組織の対策」を参考にしてください。

5. 再発防止を説明する

経営層や取引先には、次の3点をまとめて説明すると伝わりやすくなります。

• 何が起きたか（メールの特徴と、被害の有無）
• 何を変えたか（技術的な対策、報告のルール、教育）
• どう確かめるか（訓練の日程と、見る数字）

サービスの選び方

事故のあとは、「自社で起きた型の文面を用意できるか」が選ぶときの大事な点になります。

• 文面を自由に編集できるか、用意された文例の分類が多いか
• 報告ボタンなどで報告を記録し、報告までの時間を集計できるか
• 訓練後に、実際の事故に近い内容の教材を配れるか
• 急ぎで実施したい場合、申し込みから配信までの期間はどれくらいか

各サービスの違いは比較表で確認できます。

こんな場合は早めに検討

• 不審なメールの添付ファイルやリンクを開いた人が出た
• 被害はなかったが、パスワードを入力しかけた、という相談があった
• 同じ種類の不審なメールが、短い期間に何度も届いている
• 開いた人が、しばらく報告せずにいたことが後でわかった

よくある疑問

Q. 事故の直後に訓練をすると、社員の反発を招きませんか？

A. 事故の説明をせずに突然訓練メールを送ると、反発を招きやすくなります。先に事故の概要と正しい対応を共有し、「同じことを防ぐために訓練を行う」と目的を伝えてから実施しましょう。

Q. 事故を起こした人を、訓練の対象から外すべきですか？

A. 外す必要はありません。ただし、個別に結果を追いかけたり、ほかの人と比べたりはしないでください。全員が同じ条件で練習する、という形にします。

Q. ヒヤリハットでも訓練をしたほうがよいですか？

A. 被害がなかった場合でも、同じ型のメールが次も届く可能性があります。ヒヤリハットの情報を集めて、次の訓練の文面や教育に反映させるのが、IPAの勧める進め方に沿った使い方です。

Q. 訓練を1回すれば、再発防止策として十分ですか？

A. 1回だけでは、効果が続いているかを確かめられません。事故のあとの訓練を1回目として、定期的な計画に組み込みましょう。回数の考え方は「訓練の頻度」で解説しています。

まとめ

• 事故やヒヤリハットのあとは、訓練の前に、メールの特徴・開いた理由・報告の流れ・技術的な対策を振り返りましょう
• 当事者を特定できる形で共有せず、すぐ報告したことを評価する方針を、経営層から伝えてもらいます
• 実際のメールと同じ型の文面で、報告の手順まで練習します
• 再発防止は「何が起きたか・何を変えたか・どう確かめるか」で説明し、定期的な訓練につなげましょう