物流・運輸の会社の標的型メール訓練：国土交通省のガイドラインと進め方

物流・運輸業界の現状

物流は、荷主、倉庫、運送、配送先など多くの会社がつながって動いています。1社のシステムが止まると、その影響は取引先にも広がります。

IPAの「情報セキュリティ10大脅威 2026」の解説書では、2025年10月に通販企業がランサムウェアの被害に遭い、物流を委託していたグループ会社の業務も一部止まった事例が紹介されています。国土交通省のガイドラインも、2023年7月に名古屋港のターミナルシステムがサイバー攻撃で止まり、約3日間コンテナの搬入・搬出が止まった事例を取り上げています。どちらもメールが入口だったとは書かれていません（名古屋港の事例は、VPN機器からの侵入と考えられるとされています）。それでも、システムが止まったときの影響の大きさを示す事例です。

ガイドラインでの教育・訓練の位置づけ

国土交通省は「物流分野（貨物自動車運送）における情報セキュリティ確保に係る安全ガイドライン」と、倉庫向けのガイドラインを公開しています。2026年7月7日に、どちらも第2版に改訂されました。貨物自動車運送の第2版は、2026年4月1日に貨物自動車運送事業輸送安全規則の改正が施行され、この分野でサイバーセキュリティの確保が義務付けられたことにも触れています。

このガイドラインは、国が定める推奨事項を並べたもので、事業者が自分の対策を考えるときの参考にする資料と位置づけられています。教育・訓練については、次のような内容があります。

• 幹部をはじめとした全ての取扱者が、対策を理解して実践できるよう、必要な教育・訓練などを計画的に行う
• サイバーセキュリティの教育は、システムの担当者だけでなく、テレワークをする人を含むパソコンを使う人も対象にして、全社で行う
• 必要に応じて、委託先にも教育・トレーニングを行う

また、目標を立てる方法の具体例として、「標的型メール訓練でダミーのメールを開いた従業員の割合が20%、報告率が40%」という現状から、「開封率5%、報告率100%」を目標にする、という例が載っています。これはあくまで書き方の例で、訓練の実施や数値を義務としているわけではありません。

なぜ訓練が必要か

同じガイドラインは、メールの使い方の対策として、送信者のアドレス・件名・本文に不審な点がないかを総合的に判断する、業務上不要な添付ファイルは開かない、メールのURLに安易にアクセスしない、といった具体例を挙げています。こうした行動は、知識として伝えるだけでは身につきにくいため、訓練で実際に試す意味があります。

IPAの「企業組織を狙う攻撃メールの手口とその対策」（2026年8月）は、取引先とのメールのやりとりを盗み見て、途中から取引先になりすまし、送金先の口座の変更を依頼するビジネスメール詐欺を紹介しています。物流の会社では、次のような相手を装ったメールが考えられます。

• 荷主：出荷の依頼、納品先や日時の変更、伝票の送付
• 協力会社・傭車先：請求書の送付、振込先の口座の変更
• システム・端末のベンダー：配車システムやハンディ端末の更新の案内
• 配送先・問い合わせ：荷物が届かないという連絡、不在票に関する問い合わせ

訓練の進め方のポイント

事務所と現場で分けて考える

物流の会社では、1日中パソコンでメールを見る人と、ほとんどメールを使わない人が同じ会社にいます。全員に同じ方法で訓練するのではなく、対象を分けて考えましょう。

対象	件名の型の例	本文に入れる要素
配車・運行管理	「【至急】明日の出荷分の納品先変更について」	荷主らしい社名と担当者名、変更内容と称する添付、当日中の確認依頼
経理・事務	「請求書送付および振込先変更のご連絡」	協力会社の名前、請求書と称するファイル、口座変更の理由
営業所の管理者	「配車システム更新のお知らせ」	ベンダーらしい名前、更新手順と称するリンク
全員	「【情報システム部】パスワード有効期限のお知らせ」	社内の部署名、ログイン画面へのリンク

ドライバーなど、会社のメールをほとんど使わない人は、メール訓練の対象にするより、点呼や安全会議の時間に短い教育を行うほうが合う場合があります。業務用のスマートフォンで会社のメールを受け取っている場合は、スマートフォンで見たときの見え方も確かめておきます。文面の型は「訓練メールの文例・件名の作り方」で解説しています。

実施の時期と頻度

月末の請求の時期や、年末などの繁忙期は、事務所への問い合わせ対応が難しくなります。こうした時期を避けて実施月を決めましょう。24時間動いている拠点では、配信の時間帯も、問い合わせを受けられる人がいる時間に合わせます。頻度の考え方は「標的型メール訓練の頻度」を参考にしてください。

目標は自社の数字から立てる

ガイドラインの例のように、開封率と報告率の現状を測ってから目標を決めると、経営層への報告がしやすくなります。ただし、例の数値をそのまま目標にする必要はありません。1回目の結果を基準にして、報告率を少しずつ上げることを目指しましょう。指標の考え方は「標的型メール訓練のKPI」で解説しています。

協力会社との連絡の手順も決める

口座の変更や納品先の変更の依頼は、メールだけで決めず、登録済みの電話番号などで確かめる手順を決めておきます。訓練の振り返りで、この手順が守られたかも確認しましょう。拠点ごとの配信や集計ができるかは、比較表で確認できます。

まとめ

• 物流はシステムが止まると取引先にも影響が広がるため、国土交通省も安全ガイドラインで対策を示しています
• ガイドライン（第2版）は、全社での計画的な教育・訓練を勧め、標的型メール訓練の開封率・報告率を目標の例に挙げています
• 荷主・協力会社・ベンダーなどを装った文面を、配車・経理・営業所など役割ごとに用意しましょう
• メールをほとんど使わない現場の人には別の教育の形を用意し、自社の数字をもとに目標を立てて続けましょう