小売・EC・サービス業の標的型メール訓練：店舗と本部に分けた進め方

小売・EC・サービス業界の現状

小売・EC・サービス業は、顧客の個人情報や決済に関わる情報、仕入先との取引の情報を日々扱います。店舗、本部、ECサイトの運営、カスタマーサポートなど、働く場所や立場もさまざまです。

警察庁の「令和7年におけるサイバー空間をめぐる脅威の情勢等について」によると、令和7年のランサムウェアの被害報告226件のうち、卸売・小売業は34件で、製造業に次いで多い業種でした（統計データより）。同じ資料では、2025年10月に通販大手がランサムウェアの攻撃を受け、製品の受注・出荷に影響が出たこと、顧客などの個人情報約74万件に漏えいのおそれがあることが紹介されています。

IPAの「情報セキュリティ10大脅威 2026」の解説書によると、この事例では、多要素認証を適用していなかった認証情報が盗まれ、社内のネットワークに侵入されたと公表されています。メールが入口だったとは書かれていませんが、IDとパスワードを守ることの大切さを示す事例です。

ガイドラインでの教育の位置づけ

小売・EC業界だけに向けた訓練のルールは見当たりません。IPAの「中小企業の情報セキュリティ対策ガイドライン 第4.0版」は、経営陣を含むすべての役職員や社外要員に意識向上の教育を定期的に行い、実施の記録を残し、理解度や受講状況の評価をもとに改善することを勧めています。店舗のスタッフも、この「すべての役職員」に含めて考えるとよいでしょう。

なぜ訓練が必要か

ECサイトの管理画面が狙われる

IPAの「ECサイト構築・運用セキュリティガイドライン」は、SaaS型のサービスを使っている場合でも、管理画面を乗っ取られるとECサイトに不正ログインされ、被害が発生すると注意しています。そのうえで、管理画面に入れる従業員をできるだけ絞り、二要素認証などを設けるよう求めています。管理画面のIDとパスワードは、メールで偽のログイン画面に誘導される手口（フィッシング）で盗まれるおそれもあります。

装われやすい相手

IPAの「企業組織を狙う攻撃メールの手口とその対策」（2026年8月）は、取引先になりすまして送金先の口座の変更を依頼するビジネスメール詐欺や、社長などを装って指示を出すメール、IT部門を装ってパスワードの変更を求めるメールを紹介しています。小売・サービス業では、次のような相手を装うメールが考えられます。

• 顧客：商品の不具合やクレーム、返品の依頼（写真と称する添付ファイル）
• 仕入先・取引先：請求書の送付、振込先の口座の変更
• ECモール・決済・配送のサービス：出店アカウントの確認、売上金の保留、配送のトラブル
• 本部・社長：売上報告の様式の変更、至急の指示

顧客からのメールは、店舗やサポート窓口が開かないと仕事になりません。「開かない」ではなく、「開く前に何を確かめるか」「おかしいと思ったらどこに知らせるか」を身につけることが訓練の目的になります。

訓練の進め方のポイント

店舗と本部で文面を分ける

対象	件名の型の例	本文に入れる要素
店舗（店長・スタッフ）	「【本部】今月の売上報告の様式が変わりました」	本部の部署名、新しい様式と称する添付、提出の期限
カスタマーサポート	「購入した商品が破損していました」	注文番号らしい数字、写真と称する添付、返信の催促
EC運営	「【重要】出店者アカウントの確認のお願い」	サービス名、確認しないと売上金が保留になるという文、ログイン画面へのリンク
経理・仕入	「振込先口座変更のお知らせ」	取引先の担当者名、変更の理由、期限

店舗では、1台のパソコンや共有のメールアドレスを複数のスタッフで使うことがあります。この場合、誰が開いたかではなく、店舗として報告できたかを見るほうが実態に合います。配信先を店舗単位にするか個人単位にするかを、事前に決めておきましょう。文面の作り方は「訓練メールの文例・件名の作り方」で解説しています。

実施の時期を選ぶ

セールや年末商戦、棚卸しの時期は、店舗も本部も忙しく、問い合わせへの対応が難しくなります。繁忙期を避けて実施月を決め、シフト勤務のスタッフも見られるように、配信から集計までの期間を1〜2週間ほど取るとよいでしょう。

報告の窓口を店舗にもわかる形で

店舗のスタッフは、情報システム部門の連絡先を知らないことがあります。報告先のアドレスや手順を、バックヤードに掲示する、朝礼で伝えるなど、店舗で目に入る形で周知してください。報告の考え方は「報告率とは」を参考にしてください。

事後の教育は短く

店舗では、長い研修の時間を取りにくいものです。訓練のあとの種明かしと教育は、数分で見られる動画や1枚の資料にまとめると届きやすくなります。進め方は「訓練後の教育」で解説しています。店舗単位での配信や、短い教育コンテンツがあるかどうかは、比較表で確認できます。

まとめ

• 卸売・小売業は、警察庁の資料でランサムウェアの被害が2番目に多い業種です
• ECサイトでは、管理画面のIDとパスワードが盗まれると不正ログインの被害につながります
• 顧客・仕入先・ECモールや決済サービス・本部など、ふだんの業務の相手を装った文面を、店舗と本部で分けて用意しましょう
• 繁忙期を避け、店舗単位の報告の窓口と短い事後の教育を用意して、続けられる形にしましょう