金融機関の標的型メール訓練：金融庁ガイドラインの位置づけと進め方

金融業界の現状

銀行・証券・保険などの金融機関は、お金や口座の情報を直接扱うため、攻撃者にとって狙う価値の高い業界です。金融庁の「金融分野におけるITレジリエンスに関する分析レポート」（2026年7月）では、2025年度に次のような事案が起きたとまとめています。

• 外部委託先を起点としたランサムウェア被害（ランサムウェアはデータを暗号化して身代金を求める不正プログラム）
• 金融機関のシステムへの不正アクセス
• 金融機関を装ったボイスフィッシング詐欺

同じレポートは、フィッシングやなりすましによる不正アクセス・不正取引は、特定の業態に限らず金融業界全体の信頼に関わる問題だとしています。

ガイドラインでの教育・訓練の位置づけ

金融庁は2024年10月に「金融分野におけるサイバーセキュリティに関するガイドライン」を策定しました。対策を「基本的な対応事項」と「対応が望ましい事項」に分けて示しています。教育・訓練に関係する主な記載は次のとおりです（要旨）。

項目	ガイドラインの記載
教育・研修	経営陣を含むすべての役職員に、役割と責任に応じた意識向上の教育・研修を定期的に実施する
委託先など	サードパーティ（委託先など）の担当者が、必要な教育・研修を受けていることを確保する
演習・訓練	インシデント対応計画などの実効性を確かめるため、定期的に演習・訓練を実施する。経営陣も自ら関与し、結果を把握する
KPIの例	経営陣は少なくとも年2回、KPI（成果の指標）などの報告を求める。その例に「標的型メール訓練の報告率」が挙がっている

ただし、ガイドラインは金融機関の規模や特性がさまざまであることから、どちらの事項も一律の対応を求めるものではないとしています。リスクに見合った対策を自ら選ぶ「リスクベース」の考え方です。

なお、金融庁は業界横断の演習「Delta Wall」も毎年行っています（2025年は10回目、177の金融機関が参加予定）。これはインシデント対応の演習で、社員一人ひとりのメール対応を確かめる標的型メール訓練とは役割が異なります。

なぜ訓練が必要か

装われやすい相手

公的機関の資料で確かめられる、金融機関に関係の深いなりすましは次のとおりです。

• 金融機関の担当者：電話で担当者を名乗ってメールアドレスを聞き出し、偽サイトへのリンクを送る（金融庁レポート、警察庁）
• 経営者：社長などになりすまし、SNSのグループ作成や送金を指示する（警察庁、IPA）
• 取引先：やりとりの途中に割り込み、支払口座の変更を依頼する（IPA）
• 社内のIT部門やメールサービス：パスワードの期限切れなどを口実に、偽のログイン画面へ誘導する（IPA）

被害の例

金融庁のレポートの事例集には、暗号資産交換業者の事例があります。担当者が、キリル文字を使った偽装メールアドレスから届いたメールのリンクをクリックしました。偽サイトでID・パスワード・二要素認証の情報を入力し、SNSの公式アカウントを乗っ取られました。被害の拡大を防ぐため、同社は全サービスを一時停止しています。

ボイスフィッシングでは、銀行の担当者を名乗る電話のあとにメールで偽サイトへ誘導し、ネットバンキングの情報を盗んで不正送金する手口が確認されています。警察庁も、令和6年秋からこの手口による法人口座の不正送金被害が急増したとしています。金融庁のレポートは対策として、顧客対応部門を含め、平時からの周知・訓練を挙げています。

訓練の進め方のポイント

対象者

• 経営陣：ガイドラインは経営陣も教育・演習の対象としています。役員あての訓練メールも計画に入れます
• 営業店・コールセンター：顧客や取引先との電話・メールが多い部署です。電話とメールを組み合わせた手口も教育で扱います
• 本部・システム部門：権限の大きいアカウントを持つ人を重点的に対象にします
• 委託先の常駐者：訓練メールを送る場合は、契約と事前の合意を確認します。送らない場合も、教育を受けていることを確かめます

頻度と指標

回数は、年間計画として先に決めます。ガイドラインが経営陣への報告を少なくとも年2回としていることから、報告の時期に結果がそろうよう、実施月を決めておくと進めやすくなります。

指標は、開封率やクリック率だけでなく、報告率を中心に置くのがおすすめです。考え方は「標的型メール訓練のKPI」と「報告率とは」で解説しています。

文面の作り方

実際の手口に合わせて、件名の型と本文の要素を決めます（全文を実在の文面に似せすぎないようにします）。

想定する手口	件名の型	本文の要素
取引先を装う	「お支払口座変更のお願い」	実在しそうな取引名、急ぎの期限、返信の依頼
経営者を装う	「至急の対応依頼」	役員の名前、SNSグループの作成依頼、口外しないよう求める
IT部門を装う	「パスワード有効期限のお知らせ」	期限の日付、ログイン画面へのリンク
メールサービスを装う	「保留中のメールがあります」	受信の確認を求めるリンク

IPAは、少しでも不審に感じたら、メール以外の方法で相手に直接確認するよう勧めています。訓練後の教育では、「元の連絡先に電話して確かめる」「報告する」の2つの行動をセットで伝えましょう。教育の進め方は「訓練後の教育」を参考にしてください。

報告率を部署別に集計できるかなど、サービスの機能は比較表で確認できます。

まとめ

• 金融庁のガイドラインは、すべての役職員への定期的な教育・研修と、定期的な演習・訓練を基本的な対応事項として示しています
• KPIの例として「標的型メール訓練の報告率」が挙がっており、経営陣への定期的な報告と組み合わせて使えます
• 金融機関の担当者・経営者・取引先を装う手口や、電話とメールを組み合わせた手口を、訓練と教育の題材にしましょう
• 経営陣、顧客対応部門、委託先まで対象を広げ、報告と別の経路での確認をセットで身につけてもらいます