標的型メール訓練の用語集：開封率・報告率からSPF・DKIM・DMARCまで

標的型メール訓練の用語集とは

この用語集は、標的型メール訓練を担当する人が、訓練サービスの資料や公的な資料を読むときに出てくる言葉をまとめたものです。1語につき1〜3文で説明し、詳しい記事がある言葉にはリンクを付けています。

言葉の意味は、資料やサービスによって少しずつ違うことがあります。特に開封率や報告率などの指標は、数え方を社内で決めてから使うようにしてください。

用語の種類

攻撃の手口に関する用語

• 標的型攻撃メール：特定の組織や人を狙い、業務内容を調べたうえで、業務に関係があるように見せかけて送る攻撃メールです。IPAは、添付ファイルやリンク先にマルウェアを仕込み、パソコンを感染させるものだと説明しています。詳しくは「標的型攻撃メールとは」
• ばらまき型メール：同じ文面のメールを不特定多数に送る攻撃メールです。IPAの資料では、フィッシングメールもばらまき型の一種とされています
• フィッシング：実在する企業やサービスをかたるメールやSMSで偽のサイトに誘い、IDやパスワードなどを入力させて盗む手口です（IPA）
• リアルタイムフィッシング：偽のサイトに入力させたIDやパスワード、ワンタイムパスワードを、その場で本物のサイトに入力して不正にログインする手口です。IPAは、多要素認証を突破する手段として使われることが増えているとしています
• ビジネスメール詐欺（BEC）：偽のメールで企業の従業員をだまし、攻撃者の口座へ送金させる詐欺です。IPAは、取引先との請求書を偽装するタイプと、経営者などになりすますタイプを代表的な手口として挙げています
• CEO詐欺：ビジネスメール詐欺のうち、経営者や役員になりすまして社員に振り込みをさせる手口です。詳しくは「役員・経営層を訓練の対象にするときの進め方」
• なりすましメール：実在する人物や組織を装って送られるメールです。差出人の表示名だけを社長名などにして、実際はフリーメールから送る例もあります（IPA）
• ソーシャルエンジニアリング：人の心理的な弱点や、相手への信頼感を利用してだます手法です。IPAは、メールを悪用した攻撃で昔から多く使われているとしています
• マルウェア：コンピュータウイルスなど、不正な動きをするソフトウェアの総称です
• Emotet（エモテット）：メールの情報を盗むことに加え、ほかのウイルスへの二次感染に悪用されるウイルスです。IPAによると、過去にやり取りした相手からの返信を装うメールが使われることがあります。詳しくは「Emotetの手口と、訓練での備え方」
• クイッシング：メールなどに載せたQRコードから、フィッシングサイトへ誘う手口です。詳しくは「クイッシングの手口と訓練での備え方」

訓練の結果（指標）に関する用語

• 開封率：訓練メールを開いた人の割合です。メールを開くこと自体は中身を確かめるために必要な行動でもあるため、参考として扱います
• リスク行動率（クリック率・添付ファイル開封率）：訓練メールのリンクを押した、添付ファイルを開いた人の割合です。分母を「届いた人数」にするなど、数え方を決めておきます
• 報告率（通報率）：不審なメールに気づいて、決められた窓口に報告した人の割合です。分母を「開いた人」にするか「対象者全体」にするかで意味が変わります。詳しくは「報告率とは」
• 報告までの時間：訓練メールの配信から報告が届くまでの時間です。IPAは、報告を受けるまでの時間を測ることを訓練の目的の例に挙げています

指標の見方は「訓練の結果の見方」で解説しています。

訓練の運用に関する用語

• 種明かし：訓練が終わったあとに、訓練だったことと、見分けるポイントや報告の方法を社員に知らせることです。詳しくは「種明かしと訓練後の教育」
• ランディングページ：訓練メールのリンクを押した人に表示するページです。訓練であることを伝え、気づくためのポイントを示す内容にすることが多くあります
• 事前告知（予告）・抜き打ち：訓練を行うことを社員に先に知らせるか、知らせずに行うかの違いです。詳しくは「訓練は予告する？抜き打ちにする？」
• 許可リスト：メールフィルタやセキュリティ製品で、特定の送信元やURLを止めずに通すための登録です。訓練メールが届くように、訓練の前に設定します
• テスト配信：本番の前に、担当者などの少数に訓練メールを送り、届くか、記録が取れるかを確かめることです。詳しくは「標的型メール訓練のやり方」
• 報告ボタン：メールソフトに付ける、不審なメールを窓口に報告するためのボタンです。報告の流れは「不審メールの報告窓口と流れの作り方」
• ツール型：自社の担当者が管理画面で配信や集計を行う形の訓練サービスです
• 配信代行型：提供元が配信や集計、報告書づくりなどを代わりに行う形の訓練サービスです。サービスの形の違いは比較表で確認できます
• CSIRT（シーサート）：コンピュータやネットワーク上のセキュリティの問題に対処する組織の総称です（IPA）。社内で不審メールの報告を受ける窓口になることもあります

メールの技術に関する用語

• 送信ドメイン認証：メールの送信者のドメイン（@より後ろの部分）が正しいものかどうかを確かめる仕組みです。迷惑メール相談センターは、普及すれば送信者を偽ったメールの判定ができるようになると説明しています
• SPF：送信側があらかじめ送信に使うサーバーのIPアドレスをDNSに登録しておき、受信側がそれと照らし合わせて、送信者のドメインが偽られていないかを判定する方式です
• DKIM：送信側がメールに電子署名を付け、受信側がDNSに登録された公開鍵で署名を確かめることで、改ざんされていないかを判定する方式です。迷惑メール相談センターは、SPFとDKIMはどちらにも不完全な部分があるため、組み合わせて使うことが必要だとしています
• DMARC：SPFとDKIMの認証結果を使い、受信者が送信者と考えるヘッダの「From」との整合性を確認する技術です。総務省の資料では、認証に失敗したメールの扱いを送信側が示す「ポリシー」を、まずnone（受信側に特別な扱いを求めない）から始め、quarantine、rejectと強めていく考え方が示されています。総務省の情報通信白書によると、2023年12月時点のJPドメインでの導入状況はSPFが約82.9％、DMARCが約10.2％でした
• 多要素認証：パスワードに加えて、SMSや認証アプリのワンタイムパスワードなど、複数の要素で本人を確かめる仕組みです。IPAは、リアルタイムフィッシングで突破されることがあると注意を呼びかけています

用語を使うときの注意点

社内での言葉の意味をそろえる

同じ「開封率」でも、メールを開いた割合を指す場合と、リンクを押した割合まで含める場合があります。訓練サービスの資料と社内の報告書で言葉の意味がずれると、前回との比較ができなくなります。報告書の最初に、指標の定義を1行ずつ書いておきましょう。

技術の言葉は、担当者が押さえておく

SPF・DKIM・DMARCは、社員向けの教育で細かく教える必要はありません。ただし、IPAの資料は、送信元がSPFやDMARCなどの対策を行っていない場合、メールソフトに表示される差出人は偽ることができると説明しています。社員には「差出人の表示が正しく見えても、不自然なメールは別の方法で相手に確かめる」と伝え、技術の詳しい設定は担当者が押さえておく、という分け方がおすすめです。

社員向けには言い換える

「CSIRT」「ランディングページ」などの言葉は、社員には伝わりにくいことがあります。社内への告知や種明かしでは、「不審メールの報告窓口」「リンクを押したときに表示されるページ」のように、日常の言葉に言い換えましょう。

まとめ

• 用語は、攻撃の手口・訓練の指標・訓練の運用・メールの技術の4つに分けると整理しやすい
• 開封率や報告率などの指標は、社内で数え方を決めてから使う
• BECやCEO詐欺、なりすましメールは、訓練の文面を考えるときの題材にもなる
• SPF・DKIM・DMARCは送信者の偽装を見分けるための仕組み。担当者が押さえ、社員には「表示を過信しない」ことを伝える
• 社員向けの説明では、専門用語を日常の言葉に言い換える