業務上、フィッシングメール受信者の約5人に1人がURLを誤クリックしたことあり。

業務におけるフィッシングメールの実態を調査したところ、「週に数回程度届く」「ほぼ毎日届く」合わせて36.7％。受信者128人のうち、誤ってURLを開いた経験がある人が18.8％いることが明らかに。

300カテゴリー以上、2,000サービス以上を掲載する法人向けSaaS比較サイト「アスピック」（運営：一般社団法人日本クラウド産業協会）は、全国の会社員・経営者・役員240人を対象に「フィッシングメールに関するアンケート調査」を実施しました。

本調査では、業務用メールアドレスへのフィッシングメールの受信頻度や誤操作の経験、本物と間違えそうになったメールの内容、勤務先の対応ルールやセキュリティ対策の実施状況などを尋ねました。

■調査目的

フィッシングメールは、実在する企業やサービスなどを装い、偽のWebサイトへの誘導や不正な添付ファイルを通じて、認証情報の窃取やマルウェア感染などを狙うサイバー攻撃の一つです。

企業におけるフィッシングメール対策には、メールセキュリティ製品の導入などの技術的な対策のほか、従業員への注意喚起や研修、不審メールを受信した際の報告体制の整備など、様々な方法があります。

本調査では、業務用メールアドレスへのフィッシングメールの受信状況や誤操作の実態を把握するとともに、勤務先でどのような対策が行われているのか、従業員がその対策をどのように評価しているのかを明らかにすることを目的としています。

※調査結果の引用時は「アスピック調べ」とご記載ください。

■調査結果サマリー

※本リリースの調査結果・画像をご利用いただく際は、引用元として「アスピック」の公式サイトURL、もしくは本記事URLへのリンク設置をお願いいたします。

■調査概要

本アンケート調査の概要は以下の通りです。

• 調査実施日：2026年10月

• 調査回答者数：240人

• 居住地：全国

• 性別：男女（男性120人・女性120人）

• 年齢：20歳以上65歳以下

• 調査対象：会社員・経営者・役員

• 調査方法：インターネットリサーチ

• 調査メディア：アスピック URL｜https://www.aspicjapan.org/asu/

■調査の詳細

設問1．業務用メールアドレスに、フィッシングメールと思われるメールが届くことはありますか？

回答：

• ほぼ毎日届く：49人（20.4％）

• 週に数回程度届く：39人（16.3％）

• 月に数回程度届く：25人（10.4％）

• 数カ月に1回程度届く：15人（6.3％）

• ほとんど届かない：79人（32.9％）

• わからない：33人（13.8％）

【Point】回答者の約3人に1人が週に数回以上、フィッシングメールを受信
「ほぼ毎日届く」（20.4％）と「週に数回程度届く」（16.3％）を合わせると36.7％となり、回答者の約3人に1人が週に数回以上、フィッシングメールと思われるメールを受信していることがわかりました。また、月に数回程度以下の頻度も含めると53.3％に上り、フィッシングメールが一部の従業員だけでなく、幅広く届いている実態がうかがえます。

設問2．業務メールとして受信したフィッシングメールについて、誤ってURLや添付ファイルを開いたり、情報を入力したりしたことがありますか？（複数回答可）

※設問1で「ほぼ毎日届く」「週に数回程度届く」「月に数回程度届く」「数カ月に1回程度届く」と回答した128人を対象

回答：

• URLを開いたことがある：24人（18.8％） 

• 添付ファイルを開いたことがある：21人（16.4％） 

• ID・パスワードなどを入力したことがある：15人（11.7％） 

• 直前まで進んだことがある：17人（13.3％） 

• いずれもない：70人（54.7％） 

• 覚えていない：5人（3.9％）

【Point】フィッシングメール受信者の約5人に1人が、誤ってURLを開いた経験あり
フィッシングメールを受信している人の18.8％が「URLを開いたことがある」、16.4％が「添付ファイルを開いたことがある」と回答。更に、11.7％が「ID・パスワードなどを入力したことがある」と回答しており、単なるクリックにとどまらず、実際に情報入力に至った人も一定数いることがわかりました。

設問3．フィッシングメールのうち、本物と間違えそうになったものはどのような内容でしたか？（複数回答可）

※設問1で「ほぼ毎日届く」「週に数回程度届く」「月に数回程度届く」「数カ月に1回程度届く」と回答した128人を対象

回答：

• 上司・同僚・経営者など社内の人物を装ったメール：16人（12.5％） 

• 取引先・顧客を装ったメール：27人（21.1％） 

• Microsoft 365・Google Workspaceなど業務システムを装ったメール：34人（26.6％） 

• 請求書・見積書・発注書などを装ったメール：21人（16.4％） 

• パスワード変更・アカウント停止などを知らせるメール：24人（18.8％） 

• 宅配・配送通知を装ったメール：33人（25.8％） 

• 銀行・クレジットカード会社を装ったメール：35人（27.3％） 

• ECサイトを装ったメール：29人（22.7％） 

• 行政機関などを装ったメール：25人（19.5％） 

• 特にない：28人（21.9％） 

• その他：0人（0.0％）

【Point】業務システムから配送通知まで、幅広い内容のフィッシング手法あり

本物と間違えそうになったメールとしては、銀行・クレジットカード会社や業務システム、宅配・配送通知、ECサイト、取引先・顧客を装ったものなど、幅広い内容が挙がりました。特定の種類だけを警戒するのではなく、仕事や日常生活で見慣れた連絡にも、不審なメールが紛れ込む可能性を意識することが重要と考えられます。

設問4．フィッシングメールを受信した場合、勤務先ではどのように対応することになっていますか？（複数回答可）

回答：

• 開かずに隔離・削除する：118人（49.2％） 

• 上司に報告する：37人（15.4％） 

• 情報システム部門・セキュリティ担当者等に報告する：50人（20.8％） 

• 専用の報告窓口・フォームなどから報告する：25人（10.4％） 

• メールソフトなどからフィッシングメールとして報告する：16人（6.7％） 

• 特に決められていない：44人（18.3％） 

• 対応方法を知らない：31人（12.9％） 

• その他：2人（0.8％）

【Point】回答者の約半数は「開かずに隔離・削除」。対応ルールの未整備・周知不足に課題も

フィッシングメールを受信した際の対応方法として、最も多かったのは「開かずに隔離・削除する」（49.2％）。一方、「特に決められていない」が18.3％、「対応方法を知らない」が12.9％となり、対応ルールの整備や従業員への周知にも課題が見られました。

設問5．勤務先では、フィッシングメールに対してどのような対策を実施していますか？（複数回答可）

回答：

• 日頃より注意喚起を行っている：92人（38.3％）

• 定期的な研修を行っている：38人（15.8％） 

• 模擬フィッシングメール訓練を行っている：40人（16.7％） 

• 不審メールを報告・相談できる窓口がある：30人（12.5％） 

• システム対策を行っている（メールセキュリティ製品など）：46人（19.2％） 

• 多要素認証を導入している：15人（6.3％） 

• 特に対策していない：57人（23.8％） 

• わからない：34人（14.2％） 

• その他：0人（0.0％）

設問6．勤務先のフィッシングメール対策について、どのように感じていますか？

回答：

• 十分に対策されていると思う：17人（7.1％） 

• ある程度対策されていると思う：89人（37.1％） 

• あまり対策されていないと思う：41人（17.1％） 

• ほとんど対策されていないと思う：43人（17.9％） 

• わからない：50人（20.8％）

【Point】勤務先の対策を「十分」と評価する人はわずか7.1％。研修・訓練を実施している場合は肯定的な評価が高い傾向

勤務先のフィッシングメール対策について、「十分に対策されていると思う」と回答した人はわずか7.1％。「ある程度対策されていると思う」（37.1％）を合わせても44.2％と、半数に届きませんでした。

一方、実施済みの対策別に見ると、設問5で「定期的な研修を行っている」と回答した人では81.6％、「模擬フィッシングメール訓練を行っている」と回答した人では77.5％が、勤務先の対策を「十分・ある程度されている」と評価。「日頃から注意喚起を行っている」でも68.5％と、いずれも全体を上回っており、従業員への研修や訓練、注意喚起などの実施状況と、対策に対する評価との間に関連が見られました。

■まとめ（アスピック編集部）

今回は、全国の会社員・経営者・役員240人を対象に、業務用メールアドレスへのフィッシングメールの受信状況や誤操作の経験、勤務先での対策状況などについてアンケート調査を行いました。

• フィッシングメール受信者の18.8％が、誤ってURLを開いた経験あり 

• 業務用メールアドレスに週に数回以上フィッシングメールが届く人は36.7％ 

• 勤務先でフィッシングメール対策を「特にしていない」との回答は23.8％ 

• 勤務先の対策を「十分」と評価する人はわずか7.1％ 

• 定期的な研修や模擬訓練などを実施している企業では、対策への肯定的な評価が高い傾向

 特に注目したいのは、フィッシングメール受信者の18.8％が誤ってURLを開いた経験があり、11.7％がID・パスワードなどの情報入力に至っている点です。勤務先の対策を「十分」と評価した人もわずか7.1％にとどまり、フィッシングメールへの対応には依然として課題が残されていることがわかりました。

その一方、定期的な研修や模擬訓練、日頃からの注意喚起を実施している企業では、従業員が対策を肯定的に評価している傾向も見られました。こうした結果から、フィッシングメールの被害を防ぐためには、技術的な対策だけでなく、従業員への教育や対応ルールの周知についても、改めて確認することが大切だと考えられます。

アスピックでは、フィッシングメールなどの脅威に備えるメールセキュリティサービスや、従業員のセキュリティ意識向上を支援する標的型攻撃メール訓練サービスなどを紹介しています。自社のセキュリティ対策を見直したい企業担当者の方は、ぜひご覧ください。

• メールセキュリティ対策比較（https://www.aspicjapan.org/asu/article/7544）

• 標的型攻撃メール訓練サービス比較（https://www.aspicjapan.org/asu/article/2419）

■アスピックについて

アスピックは、国内最大級のSaaS団体である一般社団法人 日本クラウド産業協会が運営する、法人向けSaaS比較・資料請求サイトです。25年以上にわたりクラウド・SaaS業界を牽引し、1,400社以上の会員を持つ団体の知見をもとに、300カテゴリー・2,000以上のサービスを掲載しています。

業務課題とSaaS選定に詳しい編集部が、Web等で公開されている情報だけでなく、導入企業・SaaS企業へのインタビューで得た独自情報も活用し、各サービスの特徴や比較ポイントを図解・比較表・タイプ分類・診断などでわかりやすく紹介しています。

本記事やプレスリリースに関するご質問・お問い合わせは、運営委託先の株式会社ブルートーンまでお願いいたします。

運営元：一般社団法人 日本クラウド産業協会（ASPIC）

運営委託先：株式会社ブルートーン

お問い合わせ先：[e-mail]