フィッシングクリック率

計算式と考え方

訓練後のクリック率は「初回のクリック率 ×（1 − 低減率）の（回数 − 1）乗」で求めます。初回12%、1回ごとに40%ずつ下がるとすると、4回目には12×0.6の3乗で約2.59%になります。従業員1,200人が年4通の攻撃メールを受け取ると、クリックは年124件、そのうち30%が認証情報を入力し、多要素認証などで9割が阻止されるとして侵害は約3.73件です。報告率25%により発見が早まる効果を見込むと、被害額は1件150万円として年約490万円になります。訓練前の12%のままなら約2,268万円となるため、低減額は約1,778万円、訓練費用384万円に対して費用対効果は約4.6倍という計算です。

クリック率の水準

フィッシングクリック率の詳しい解説

フィッシングの訓練で測るクリック率は、組織の弱さを直接に示す数値です。一般に初回では1割から2割の従業員がリンクを開き、繰り返すことで数%まで下がります。この改善は知識の定着によるものですが、下げ幅は回数を重ねるほど小さくなります。最初の数回で大きく下がり、その後は一定の水準で止まるのが通例です。訓練の設計では、メールの巧妙さの水準を揃えることが前提になります。明らかに不自然な日本語のメールでクリック率が下がっても、それは対策が進んだ証拠にはなりません。実際の攻撃は、取引先や社内の部署を装い、請求書や人事の案内といった業務に近い文脈で送られてきます。訓練の難易度を変えながら測定すると数値の比較ができなくなるため、難易度を明示したうえで推移を見る運用が求められます。クリック率と並んで重要なのが報告率です。クリックしてしまった人がすぐに報告すれば、認証情報の無効化やアクセスの遮断といった対応が間に合い、被害の拡大を防げます。逆に、クリックした事実を隠す文化があると、対応が遅れて被害が広がります。この観点から、訓練でクリックした人を叱責したり氏名を公表したりする運用は避けられるようになりました。報告した人を評価する仕組みに変えたところ、報告率が数倍になった例が報告されています。技術的な対策との組み合わせも欠かせません。人の注意力だけに依存する対策には限界があり、送信ドメインの認証、メールの隔離、危険なサイトへの接続の遮断といった仕組みで、そもそも届く数を減らすことが基本になります。加えて、認証情報が漏れた場合でも侵入を防ぐ多要素認証の導入が、被害を決定的に減らします。ただし多要素認証を突破する手口も現れているため、方式の選択には注意が必要です。訓練の効果を金額で評価する際は、前提の置き方に注意が必要です。侵害1件あたりの被害額は、業種と扱う情報によって大きく変わります。個人情報の漏えいでは、調査、通知、問い合わせへの対応、再発防止の費用が積み上がり、事業の停止や信用の低下が加わることもあります。一方で、多くの事案は初期の段階で検知され、被害が限定的に終わります。極端な前提を置くと訓練の効果が過大にも過小にも見えるため、幅を持たせた複数の想定で比較することが実務的です。対象者の入れ替わりも考慮すべき要素です。新入社員や中途採用者、異動者は訓練を受けていないため、組織全体の数値が下がっていても、この層のクリック率は高いままになります。年数回の全体訓練に加え、入社時の教育に組み込む運用が有効です。訓練は一度で終わる施策ではなく、人が入れ替わり続ける限り継続が必要な仕組みだといえます。

業界・現場での使い方

よくある間違い・注意点

• クリック率だけを目標にする — 報告率が上がらないと被害の拡大を防げません。両方を指標に置いてください。
• クリックした人を罰する — 報告をためらう文化が生まれ、対応が遅れます。報告を評価する運用が有効です。
• 訓練メールの難易度を揃えない — 難易度が下がれば数値も下がります。推移を比べるには条件を明示する必要があります。

関連する規格・法規

• 電気通信事業法
• IETF規格

※本ツールは公的基準に基づく参考計算です。実際の設計・施工・法令適用は最新の告示・規格および所轄官庁の判断に従ってください。

よくある質問（FAQ）

関連計算ツール