IT・ソフトウェア・通信の会社の標的型メール訓練：委託先として狙われる前提で考える

IT・ソフトウェア・通信業界の現状

IT・ソフトウェア開発・通信の会社は、自社の情報だけでなく、顧客から預かったシステムやデータ、顧客の環境に入るためのアカウントも扱います。そのため、攻撃者にとっては「顧客へ近づくための入口」にもなります。

IPAの「情報セキュリティ10大脅威 2026［組織］」では、「サプライチェーンや委託先を狙った攻撃」が2位に選ばれています。解説書は、攻撃者が守りの固い標的を直接狙わず、セキュリティの弱い関連会社や業務委託先を攻撃して、標的の情報を盗む手口を挙げています。システムの運用・保守・監視を請け負う事業者（MSP）が使うソフトウェアを経由して、その顧客に被害を広げる手口も紹介されています。

警察庁の「令和7年におけるサイバー空間をめぐる脅威の情勢等について」は、国家を背景とする攻撃グループが、情報通信、先端技術・製造、学術研究などの分野を主な標的にしていると説明しています。令和7年のランサムウェアの被害報告226件のうち、情報通信業は24件でした（統計データより）。

ガイドラインでの教育の位置づけ

経済産業省の「サイバーセキュリティ経営ガイドライン Ver3.0」は、経営者がセキュリティ担当の責任者に指示すべき10の項目を示しています。その中で、教育については次のように書かれています。

• 指示3（資源の確保）の対策例：従業員向けやセキュリティ担当者向けの研修の予算を確保し、継続的に役割に応じたセキュリティ教育を行う
• 指示5（リスクに対応する仕組み）の対策例：従業員への教育を定期的に行い、適切な対応ができるよう日頃から備える
• 指示9：ビジネスパートナーや委託先を含めたサプライチェーン全体の状況を把握し、対策を進める

ガイドラインは標的型メール訓練を義務としているわけではありません。ただ、訓練の記録は、顧客から自社の教育の状況を聞かれたときに説明する材料になります。

なぜ訓練が必要か

IPAの10大脅威の解説書は、標的型攻撃のメールについて、本文・件名・添付ファイル名が業務や取引に関連する内容に偽装され、実在する組織の差出人名が使われる場合もあると説明しています。2025年3月ごろには、OneDriveのリンクを埋め込んだメールで標的をマルウェアの感染に誘導する攻撃も紹介されています。

IT・通信の会社では、次のような相手を装ったメールが考えられます。

• 顧客・発注元：障害の報告、仕様変更の相談、見積もりの依頼
• 協力会社・パートナー：作業報告書や請求書の送付
• クラウドサービス・開発ツール：ログインの確認、アカウント停止の通知
• 社内の情報システム部門：パスワードの有効期限、アカウント設定の見直し

IPAの「企業組織を狙う攻撃メールの手口とその対策」（2026年8月）は、Microsoft 365やGoogle Workspaceなどの認証情報を盗まれると、クラウドのストレージの情報にアクセスされるおそれがあると説明しています。また、メールアカウントに不正ログインされると、自社の名前で取引先にフィッシングメールを送られ、取引先とのメールを盗み見られるおそれもあります。顧客とのやりとりが多い会社ほど、影響は自社の外に広がります。

訓練の進め方のポイント

対象者と文面を役割で分ける

技術に詳しい社員が多い職場でも、業務の流れに沿ったメールは開いてしまうことがあります。役割ごとに、ふだん受け取るメールに近い文面を用意しましょう。

対象	件名の型の例	本文に入れる要素
開発・運用の担当	「【障害報告】〇〇環境で接続エラーが発生しています」	顧客の担当者名、ログファイルと称する添付、至急の確認依頼
営業・プロジェクト管理	「次期案件のRFP（提案依頼書）送付の件」	取引先らしい社名、共有リンク、回答期限
管理部門	「作業報告書・請求書送付のご案内」	協力会社の名前、請求書と称するファイル
全員	「【重要】多要素認証の再設定のお願い」	社内部門やクラウドサービスの名前、ログイン画面へのリンク

文面は「件名の型」と「本文の要素」の組み合わせで作ると、回ごとに難しさを調整しやすくなります。詳しくは「訓練メールの文例・件名の作り方」を参考にしてください。

報告の速さを見る

IPAの資料は、フィルタリングをすり抜けて届いたメールを利用者が報告することも、攻撃の検知の一つだとしています。IT企業では、開封率が低くても、報告が遅ければ対応が遅れます。開封率だけでなく、報告率と、配信から最初の報告までの時間を記録しましょう。指標の考え方は「標的型メール訓練のKPI」で解説しています。

顧客環境のアカウントを持つ人を優先する

顧客のシステムに接続できるアカウントや、運用ツールの管理者権限を持つ人は、被害が起きたときの影響が大きくなります。こうした人を毎回の対象に入れ、ログイン画面に誘導する型の文面を重点的に試すとよいでしょう。訓練の結果とあわせて、多要素認証の設定状況も確認してください。

顧客への説明に使える形で記録を残す

実施日、対象の人数、文面の型、報告率などを表にまとめておくと、顧客の監査やセキュリティチェックシートへの回答に使えます。ISMSなどの認証を取っている場合は「ISMS・プライバシーマークと標的型メール訓練」も参考にしてください。サービスごとの集計や報告書の機能は比較表で確認できます。

まとめ

• IT・通信の会社は、顧客に近づくための入口として、サプライチェーンや委託先を狙った攻撃の対象になります
• 経済産業省のガイドラインは、役割に応じた教育を継続的・定期的に行うことを対策例に挙げています
• 顧客・協力会社・クラウドサービス・社内部門など、ふだんの業務の相手を装った文面を、役割ごとに用意しましょう
• 開封率だけでなく報告の速さを記録し、顧客への説明に使える形で結果を残しましょう