標的型攻撃メールとフィッシングメールの違い：訓練でどう扱い分けるか

標的型攻撃メールとフィッシングメールの違いとは

メール訓練を計画していると、「標的型の訓練をするのか、フィッシングの訓練をするのか」という話が出てきます。どちらも「怪しいメール」ですが、ねらいと送られ方が違います。違いを押さえておくと、訓練で確かめることや、結果の見方を決めやすくなります。

IPA（情報処理推進機構）の資料では、次のように整理されています（IPA「企業組織を狙う攻撃メールの手口とその対策」2026年8月3日）。

• フィッシング：実在する企業やサービスをかたるメールやSMSを送り、偽のサイトに誘導して、IDやパスワードなどを入力させてだまし取る手口。フィッシングメールは、同じ文面を不特定多数に送る「ばらまき型」の一種
• 標的型攻撃メール：狙う人をあらかじめ決め、その人の業務内容を調べたうえで、業務に関係する内容を送る。添付ファイルやリンク先にマルウェア（不正なプログラム）を仕込み、パソコンを感染させる。主なねらいは機密情報を盗むこと

標的型攻撃メールそのものの特徴や見分け方は「標的型攻撃メールとは」で解説しています。この記事では、二つの違いと、訓練での扱い方に絞って説明します。

何が違うのか：4つの比べる点

1. ねらい（何を奪おうとするか）

フィッシングのねらいは、主に認証情報（IDとパスワードなど）です。IPAは、奪われた認証情報によって、社内ネットワークへの侵入、取引先とのメールの盗み見、クラウドに保存した情報へのアクセス、不正送金などの被害が起きるとしています。

標的型攻撃メールのねらいは、組織の中に入り込み、機密情報を盗むことです。IPAは、侵入後に長い期間にわたって活動を続ける攻撃者もいると説明しています。

2. 送り方と文面

フィッシングは、同じ文面を多くの人に送ります。IPAの資料では、メールボックスの容量が上限を超えたので新しいメールを受け取れない、といった緊急性を強調する文面が典型例として紹介されています。

標的型は、狙った人の業務に合わせて文面を作ります。IPAは、知らない相手からのメールでも、受け取った人が開かざるを得ない、または興味をそそる内容になっていると説明しています。

3. 受け取った人がしてしまう行動

二つは、被害につながる行動も違います。

比べる点	フィッシング（ばらまき型）	標的型攻撃メール
送る相手	不特定多数	決めた組織・人
文面	同じ文面。緊急性をあおる	相手の業務に合わせる
被害につながる行動	リンクを押し、偽のサイトにIDやパスワードを入力する	添付ファイルを開く、リンク先からファイルを開く
主な被害	不正ログイン、不正送金など	マルウェア感染、機密情報の流出

4. 境目があいまいなものもある

実際には、きれいに二つに分かれないメールもあります。IPAの資料は、社長や人事部門、IT部門などの組織をかたる「ばらまき型」のなりすましメールを、別の手口として取り上げています。特定の会社を狙っていなくても、社内の部署や代表者の名前を使うため、業務メールに見えることがあります。そのうえで、リンクのクリックへ誘うものはフィッシングにも当たるとしています。

訓練を考えるときは、「標的型かフィッシングか」の名前よりも、どの行動を確かめたいかで分けるほうが実務に合います。

訓練でそれぞれどう扱うか

確かめたいことを分ける

IPAは、訓練の内容を考える観点として、「想定する攻撃（標的型か、ばらまき型か）」「確認する内容（添付ファイルの開封率か、適切な対処の達成率か）」「対象者」を挙げています。そのうえで、目的と訓練の形の例を示しています（IPA「組織における標的型攻撃メール訓練は実施目的を明確に」2017年）。

• ばらまき型をまねた訓練：一般的なばらまき型メールに似せた訓練メールで、警戒せずに開いてしまう人の割合を測る
• 標的型をまねた訓練：組織内に実在する部門名や役職名が書かれたメールを使い、受け取った人や開いてしまった人から、担当部門に報告が届くまでの時間を測る

つまり、ばらまき型は「引っかかる人がどのくらいいるか」、標的型は「気づいたあと、どれだけ早く報告が届くか」を見るのに向いています。

文面と仕掛けの作り方

訓練メールの仕掛けも、まねる手口に合わせて選びます。

• フィッシングをまねる場合：リンクを押すと、訓練用のログイン画面が表示される形にする。入力まで記録するかどうかを事前に決めておく。Microsoftの訓練機能にも、偽のログインページで入力させる手法（資格情報の収集）が用意されています
• 標的型をまねる場合：業務に関係する件名と、添付ファイルやファイルを置いた先へのリンクを組み合わせる。Microsoftの訓練機能では、マルウェアの添付ファイルや、添付ファイル内のリンクといった手法を選べます

標的型に似せるほど、社内の実在の部署名や業務の話題を使いたくなります。ただし、IPAは実在する組織名や、よく似た名前を使った訓練は避けたほうがよいとしています。社外の組織の名前を使うと、その組織に問い合わせが入り、相手の業務に迷惑をかけるおそれがあるためです。件名の型や本文の要素は「訓練メールの文例・件名の作り方」で整理しています。

結果の見方を分ける

総務省の調査によると、訓練を行っていた21府省庁のうち、報告までを確かめていたのは約4割で、12府省庁は開封率やクリック率の把握が中心でした（総務省「国の行政機関における情報セキュリティ対策に関する実態調査」2021年）。

どちらの手口をまねた訓練でも、開封やクリックの数だけで終わらせず、報告の数と早さもあわせて見ることが大切です。特に標的型をまねた訓練は、スペルミスや不自然な緊急性といった手がかりが少ない文面になりがちです。Microsoftの訓練機能は、こうした手がかりが少ない文面ほど攻撃と見分けにくく、難しい文面だと位置づけています。ばらまき型に近い訓練と数字をそのまま比べず、文面の難しさも確かめてから評価しましょう。指標の考え方は「訓練の結果の見方」で解説しています。

組み合わせて行う

一年の中で、ばらまき型に近い訓練と、標的型に近い訓練を組み合わせる方法もあります。たとえば、最初はばらまき型に近い文面で全体の傾向をつかみ、次に業務に近い文面で報告の流れを確かめる、という順番です。年間の組み立て方は「訓練の頻度と年間計画」を参考にしてください。

訓練サービスによって、選べる仕掛け（ログイン画面、添付ファイル、QRコードなど）や、報告を記録できるかどうかは違います。詳しくは比較表で確認してください。

共通して伝えたいこと

手口は違っても、受け取った人にしてほしい行動は同じです。IPAは、不審なメールが届いたら、リンクを押さない、添付ファイルを開かない、送信元のドメインを確かめる、少しでも不審ならメール以外の方法で相手に確かめる、社内のセキュリティ担当者に報告する、といった対応を挙げています。誤ってパスワードを入力した場合はすぐに変更し、添付ファイルを開いた場合はパソコンをネットワークから切り離します。

訓練後の説明では、手口ごとの違いよりも、**「迷ったら報告する」**という共通の行動を繰り返し伝えましょう。

まとめ

• フィッシングは、実在の企業やサービスをかたって偽のサイトに誘導し、IDやパスワードをだまし取る手口。多くは同じ文面を不特定多数に送るばらまき型
• 標的型攻撃メールは、狙う人の業務を調べて文面を作り、マルウェアに感染させて機密情報を盗もうとする
• 組織をかたるばらまき型のように、境目があいまいなものもある。訓練では「どの行動を確かめたいか」で分ける
• ばらまき型をまねた訓練は引っかかる人の割合、標的型をまねた訓練は報告が届くまでの時間を見るのに向いている
• どちらの訓練でも、実在する組織名は使わず、開封の数だけでなく報告の数と早さもあわせて見る