英国企業2112社の調査から
請求書や配送通知に見えるメールを受け取ったとき、開く前に誰へ相談するかが決まっていると、対応を引き継ぎやすくなります。フィッシング対策は、個人が偽物を見抜く訓練だけでなく、受信後の動きも含めて考える必要があります。
英国政府が2026年4月30日に公表した調査では、企業の38％が、過去12か月にフィッシングを把握したと回答しました。何らかのサイバー侵害や攻撃を把握した企業だけに絞ると88％です。後者は全企業の割合ではなく、情報流出が起きた割合でもありません。調査では、偽メールの受信や偽サイトへの誘導をフィッシングとして扱っています。
調査は2025年8～12月、無作為抽出した英国企業2,112社などに電話とオンラインで実施されました。企業の構成に合わせて重み付けした自己申告の集計で、企業側が気づかなかった攻撃は捉えられません。日本企業の発生率を示す数字としては使えません。
気づいた人が迷わない手順にする
同じ調査で、偽メールや偽サイトに対して従業員が従う手順を決めている企業は58％でした。これは対策の実施状況を尋ねた別の設問です。手順のある企業で被害が何％減ったかを検証した結果ではありません。
自社で整えるなら、報告先、伝える情報、返信を待つ間の扱いを短くまとめます。例えば、受信時刻、表示された差出人、件名、リンクや添付を開いたかを管理担当者へ伝える形です。調査のためにリンクを開いたり、広い宛先へ疑わしいメールを転送したりせず、社内で決めた方法を使います。
経理や出荷など、急ぎの処理を装うメールでは、取引先の普段の連絡先から用件を確かめる経路も用意します。メール本文に書かれた新しい電話番号だけで判断すると、相手の確認まで偽の案内に任せることになります。
開いた場合も同じ窓口へ伝える
すでにリンクを開いた場合や情報を入力した場合も、同じ窓口へ早く伝えられるようにします。英国NCSCも、職場のパソコンや電話で詐欺メッセージを受けた場合はIT担当へ知らせるよう案内しています。
社内手順には、不在時の代行者と、疑わしいメールを受けてから担当者へ渡すまでの流れを入れます。実際の不審メールを使わず、架空の例で連絡先に迷わないかを試す方法もあります。以上は調査値を踏まえた運用上の提案です。報告した人を責めるより、どこまで操作したかを正確に把握できる窓口を整えることが、次の対応につながります。
営業、経理、採用などで受信窓口が分かれていても、社内の報告先を共通にすると、似たメールが複数部署へ届いた場合にまとめて扱えます。社外の保守会社を使っている場合は、そこへ連絡する人と、社内へ対応を知らせる人を決めます。窓口の一覧は、対象のメールや端末が使えないときにも参照できる場所へ残しておきます。
参考資料：英国政府の調査・図3.6と4.4～4.5／調査方法／NCSCの不審メール対応案内。確認日：2026年11月2日。