Attack Simulation Trainingでフィッシング訓練を実行する設定確認ガイド

Attack Simulation Trainingでフィッシング訓練を実行するには、Microsoft Defender ポータルの「Email & collaboration」から「Attack simulation training」へ進み、「Simulations」タブで「Launch a simulation」を選びます。実務では、ボタンを押す前に ライセンス、管理者権限、対象ユーザー、ペイロード、通知、トレーニング、レポート確認方法、社内周知 をそろえておくことが重要です。Microsoft Learnでは、Attack simulation trainingはMicrosoft 365 E5またはMicrosoft Defender for Office 365 Plan 2で利用する機能として説明されています。(Microsoft Learn)

この記事では、2026年6月23日時点の確認観点として、Microsoft Defender for Office 365のAttack Simulation Trainingでフィッシング訓練を実行する前に見るべき設定場所、管理画面、利用条件、ユーザー周知のポイントを実務向けに整理します。初回実施で失敗しやすい「権限不足」「対象者の選び方」「訓練メールが届かない」「レポートが空に見える」といった問題も、事前チェックでかなり防げます。

Attack Simulation Trainingでできること

Attack Simulation Trainingは、組織内のユーザーに対して安全な疑似攻撃メールを送り、クリック、資格情報入力、報告、削除、転送、トレーニング完了などの反応を確認するための機能です。単なる「だましメール」ではなく、ユーザーの行動を可視化し、必要に応じてトレーニングを割り当てるところまでを一連のキャンペーンとして管理できます。

Microsoft Learnでは、シミュレーションは組織内で実行する無害なサイバー攻撃であり、セキュリティポリシーや従業員の意識向上に使うものとして説明されています。作成画面では、ソーシャルエンジニアリング手法、ペイロード、対象ユーザー、除外ユーザー、トレーニング、ランディングページ、通知、開始日時を順に設定します。(Microsoft Learn)

実務での主な用途は次のとおりです。

• フィッシングメールを見分ける力を測る
• 報告ボタンや通報フローが機能しているか確認する
• 部署別、拠点別、役職別にリスク傾向を見る
• クリックしたユーザーや繰り返し引っかかるユーザーに追加トレーニングを割り当てる
• 実施後の改善施策を数値で説明する

重要なのは、Attack Simulation Trainingを「一度だけの抜き打ちテスト」にしないことです。効果を出すには、初回は小規模に始め、結果を確認し、次回のテーマや対象者を調整する運用にする必要があります。

設定場所と管理画面の確認

Attack Simulation Trainingの基本的な設定場所は、Microsoft Defender ポータルです。Microsoft Learnでは、Microsoft Defender ポータルから「Email & collaboration」>「Attack simulation training」>「Simulations」タブへ進み、「Launch a simulation」を選択して新しいシミュレーションウィザードを開始すると案内されています。(Microsoft Learn)

確認したい内容	管理画面の場所	実務で見るポイント
フィッシング訓練の作成	Microsoft Defender ポータル > Email & collaboration > Attack simulation training > Simulations	「Launch a simulation」が表示されるか、権限不足で操作できない状態ではないか
既存シミュレーションの確認	Simulationsタブ	Draft、Scheduled、In progress、Completedなどの状態を確認する
ペイロードや通知の管理	Attack simulation training > Content library	組織独自の文面、ログインページ、通知が必要かを確認する
レポート確認	Overview、Reports、Attack simulation report	クリック率、報告率、トレーニング完了率、繰り返し該当者を見る
除外済みシミュレーション	Settingsタブ、またはSimulationsタブの表示切替	レポートから除外した訓練が集計に影響していないか確認する

管理画面で最初に見るべきなのは、作成ボタンそのものよりも「権限」と「表示されるタブ」です。Attack Simulation Trainingが表示されない、または作成できない場合は、ライセンス不足、ロール不足、対象テナントでの機能制限、管理ポータルの表示遅延などが考えられます。

利用条件で必ず確認すること

Attack Simulation Trainingは、すべてのMicrosoft 365契約で同じように使えるわけではありません。Microsoft Learnでは、Microsoft 365 E5、またはMicrosoft Defender for Office 365 Plan 2が必要とされています。Defender for Office 365 Plan 2は単体アドオンまたはMicrosoft 365 E5などに含まれる形で利用されます。(Microsoft Learn)

ライセンス確認

まず確認するのは、管理者ではなく訓練を受ける対象ユーザー側のライセンスです。管理者だけがE5を持っていても、対象ユーザーのレポート取得や機能利用で期待どおりに動かない場合があります。

確認の目安は次のとおりです。

項目	確認内容	注意点
テナント契約	Microsoft 365 E5またはDefender for Office 365 Plan 2を利用しているか	E3だけの環境では利用範囲が限定される場合がある
対象ユーザー	訓練対象者に必要なライセンスが割り当てられているか	一部ユーザーだけ未割り当てだとレポートの見え方に差が出る
政府機関向け環境	GCC、GCC High、DoDなどの制限がないか	一部の高度な機能が使えない場合がある
オンプレミスメールボックス	ハイブリッド環境で対象にするか	オンプレミスメールボックスはレポート機能が一部制限される

Microsoft Learnでは、Attack simulation trainingはオンプレミスメールボックスもサポートする一方で、レポート機能は縮小されると説明されています。また、GCC HighやDoDではペイロード自動化、推奨ペイロード、予測侵害率など一部の高度な機能が利用できない場合があります。(Microsoft Learn)

権限確認

次に、操作する管理者のロールを確認します。Microsoft Learnでは、Global Administrator、Security Administrator、Attack Simulation Administrator、Attack Payload Author、Security Operator、Security Readerなどのロールが示されています。ただし、できる操作範囲はロールによって異なります。(Microsoft Learn)

実務では、原則としてGlobal Administratorを常用せず、Attack Simulation AdministratorまたはSecurity Administratorを使うのが安全です。Global Administratorは強い権限を持つため、日常的な訓練作成に使うと監査上の説明が難しくなります。

ロール	主な用途	注意点
Attack Simulation Administrator	訓練キャンペーンの作成・管理	フィッシング訓練担当者に割り当てやすい
Security Administrator	セキュリティ管理全般	他のセキュリティ設定も変更できるため運用ルールが必要
Attack Payload Author	ペイロード作成	シミュレーション作成やレポート閲覧には制限がある
Security Reader	結果確認、監査確認	作成や変更はできない
Global Administrator	緊急時または初期構成	最小権限の原則から常用は避ける

なお、Microsoft Learnでは、Attack simulation trainingに対応するPowerShellコマンドレットはないと説明されています。大量運用を考えている場合でも、通常の作成・管理はDefenderポータルまたは対応APIの利用を前提に設計します。(Microsoft Learn)

フィッシング訓練を実行する基本手順

Attack Simulation Trainingでフィッシング訓練を実行する流れは、ウィザード形式です。初回は細かいカスタマイズを詰め込みすぎず、目的を1つに絞ると失敗しにくくなります。

訓練目的を先に決める

画面を開く前に、訓練の目的を明確にします。目的が曖昧なまま進めると、ペイロードや対象者の選び方がぶれます。

目的	適した設計
報告ボタンの利用率を見たい	比較的分かりやすいフィッシング文面にし、報告率を重視する
資格情報入力リスクを見たい	Credential Harvestを検討し、対象を小規模にする
添付ファイルへの警戒度を見たい	Malware AttachmentまたはLink in Attachmentを検討する
QRコード型フィッシングを教育したい	QRコード対応の手法やトレーニングを検討する
新入社員向けに教育したい	シミュレーションよりTraining campaignやHow-to Guideも候補に入れる

Microsoft Learnでは、選択できるソーシャルエンジニアリング手法として、Credential Harvest、Malware Attachment、Link in Attachment、Link to Malware、Drive-by URL、OAuth Consent Grant、How-to Guideが示されています。また一部の手法ではQRコードも利用できます。(Microsoft Learn)

ペイロードを選ぶ

ペイロードは、訓練メールの中身です。Microsoftが用意したGlobal payloadsを使う方法と、組織独自のTenant payloadsを作る方法があります。Microsoft Learnでは、ペイロードのフィルター項目として、言語、複雑さ、テーマ、ブランド、業種、時事性などが示されています。(Microsoft Learn)

日本語圏の組織では、次の点を確認してください。

• 日本語の文面として不自然すぎないか
• 実在の社内通知と紛らわしすぎないか
• 実在企業のブランドやロゴを使う場合、法務・広報上の問題がないか
• クリック率を上げることだけを目的に、過度に攻撃的な内容にしていないか
• 事前テスト送信で、表示崩れや文字化けがないか

訓練は「だませた人数」を競うものではありません。業務で実際に起こりそうなリスクを再現し、次の教育につなげることが目的です。たとえば経費精算、請求書、パスワード期限、共有ファイル通知、TeamsやSharePoint風の通知などは実務に近い一方、社内の重大発表や人事評価を装う文面は心理的負担が大きくなりやすいため、社内ルールを決めてから使うべきです。

対象ユーザーを選ぶ

対象ユーザーは、全社一括よりも段階的に選ぶほうが安全です。Microsoft Learnでは、全ユーザー、特定ユーザーやグループ、CSVインポート、ユーザータグ、部署、国、都市、役職などを使った対象選択が説明されています。(Microsoft Learn)

初回におすすめなのは、IT部門、情報システム部門、セキュリティ担当、各部署の協力者などを含む小規模グループです。ここでメール配送、リンク遷移、ランディングページ、通知、レポートを確認してから、本番対象を広げます。

対象者を選ぶ際は、次のユーザーを除外するか事前に判断します。

• 休職中、長期休暇中のユーザー
• 新入社員研修中など、別の教育施策と重なるユーザー
• 役員秘書、コールセンター、医療・製造現場など即時対応が重要な部署
• 共有メールボックスやシステム用メールボックス
• 外部ゲストや無効化されたアカウント

FAQでは、無効なメールアドレス、ゲスト、Microsoft Entra IDで非アクティブなユーザーは対象検証時に除外されると説明されています。また、共有メールボックスは現在サポート対象外で、ユーザーメールボックスまたはユーザーメールボックスを含むグループを対象にするべきとされています。(Microsoft Learn)

トレーニングを割り当てる

Attack Simulation Trainingでは、ユーザーの行動に応じてトレーニングを割り当てられます。Microsoft Learnでは、Microsoft training experienceを使って自動的に割り当てる方法、管理者がコースやモジュールを選ぶ方法、カスタムURLへリダイレクトする方法、トレーニングなしにする方法が説明されています。(Microsoft Learn)

実務では、初回から「トレーニングなし」にしないほうがよいです。クリックしたユーザーに何も返さないと、ただの抜き打ちテストになり、行動改善につながりにくくなります。クリック後に「どこが危険だったか」「次回どう判断すべきか」をすぐ学べる設計にします。

トレーニング期限は、業務負荷を考えると7日では短すぎる場合があります。月末、繁忙期、監査対応、年末調整、決算期などと重なる場合は、15日または30日を検討すると完了率を上げやすくなります。

ランディングページと通知を確認する

ランディングページは、ユーザーがリンクを開いた後に表示されるページです。Microsoft Learnでは、組み込みのランディングページ、カスタムランディングページ、カスタムURLを選べると説明されています。言語やロゴ、ペイロードのインジケーター表示も確認対象です。(Microsoft Learn)

通知には、トレーニング割り当て通知、リマインダー通知、ポジティブ強化通知があります。Microsoft Learnでは、既定のMicrosoft通知またはカスタム通知を選べること、リマインダー頻度としてWeeklyまたはTwice a weekを選べることが説明されています。(Microsoft Learn)

通知文面で確認すべきポイントは次のとおりです。

• 日本語の件名と本文が自然か
• 誰からの通知に見えるか
• トレーニング期限が明確か
• 問い合わせ先が分かるか
• 叱責や脅しに見える表現がないか
• 本物のフィッシングメールと誤認されすぎないか

特に「あなたは訓練に失敗しました」のような表現は避けたほうが無難です。ユーザーを萎縮させるより、「今回のメールには確認すべきサインが含まれていました。次回は送信者、URL、添付ファイル、緊急性の表現を確認してください」のように、次の行動を示す表現が適しています。

開始日時と終了日を設定する

Launch detailsでは、すぐに開始するか、後で開始するかを選びます。Microsoft Learnでは、シミュレーション終了までの日数は既定値が2日、最小2日、最大30日と説明されています。また、地域を考慮したタイムゾーン配信を有効にすると、ユーザーの地域の勤務時間中に疑似攻撃メールを配信できます。(Microsoft Learn)

初回は「すぐ開始」よりも、関係者が対応できる日時に予約することをおすすめします。たとえば、月曜朝、金曜夕方、祝日前、全社会議中、システム障害対応中は避けたほうがよいでしょう。問い合わせが増えた場合にヘルプデスクやセキュリティ担当が対応できる時間帯を選びます。

実行前チェックリスト

Attack Simulation Trainingでフィッシング訓練を実行する直前には、次のチェックを行います。

チェック項目	確認内容	未確認のまま実行した場合のリスク
ライセンス	Microsoft 365 E5またはDefender for Office 365 Plan 2が必要範囲にあるか	機能が表示されない、レポートが不足する
権限	管理者に適切なロールがあるか	作成・編集・レポート確認ができない
対象者	対象グループ、除外者、休職者、共有メールボックスを確認したか	不要な問い合わせ、対象外ユーザーへの送信
ペイロード	日本語、ブランド、法務、心理的負荷を確認したか	社内トラブル、苦情、誤解
ブラウザー	ChromeやEdgeなど利用ブラウザーでURLを確認したか	Google Safe Browsing等で警告が出る可能性
メール配送	フィルター、プロキシ、WAF、セキュリティ製品が妨げないか	訓練メールが届かない、クリックが誤検知される
通知	トレーニング通知、リマインダー、問い合わせ先を確認したか	ユーザーが次に何をすべきか分からない
レポート	どの指標を見るか決めたか	結果を改善活動に使えない
社内周知	事前周知の範囲と文面を決めたか	不信感や過剰な問い合わせが増える

FAQでは、Google Safe Browsingが一部の疑似フィッシングURLを警告する可能性、プロキシやフィルターがシミュレーションURLや管理URLをブロックする可能性、セキュリティ製品の自動検査によりクリックや侵害イベントの誤検知が起きる可能性が説明されています。実施前に、社内標準ブラウザーとメールセキュリティ製品でテストしておくことが重要です。(Microsoft Learn)

ユーザー周知で確認すべきポイント

フィッシング訓練は、周知の仕方で効果が大きく変わります。完全な抜き打ちにすると現実に近い反応を測りやすい一方、ユーザーの不信感や問い合わせが増えます。反対に、日時や内容を細かく知らせすぎると、訓練としての測定価値が下がります。

おすすめは、詳細は伏せつつ、制度としての実施は事前に周知する方法です。

事前周知に入れる内容

事前周知では、次の内容を簡潔に伝えます。

• セキュリティ意識向上のため、定期的にフィッシング訓練を行うこと
• 訓練の目的は個人の処罰ではなく、組織全体の改善であること
• 不審なメールを受け取った場合の報告方法
• 訓練結果は教育や改善施策に使うこと
• 問い合わせ先

具体的には、次のような文面が使いやすいです。

当社では、フィッシングメールへの対応力向上を目的として、定期的にセキュリティ訓練を実施します。訓練の目的は個人を責めることではなく、不審なメールを見分け、適切に報告できる状態を整えることです。不審なメールを受け取った場合は、通常の報告手順に従って報告してください。

逆に、次のような周知は避けたほうがよいです。

• 「引っかかった人を特定します」と強調する
• 具体的な配信日時、件名、送信者を全員に知らせる
• 失敗者リストを公開するような印象を与える
• 罰則や評価への影響を示唆する

フィッシング訓練は、人を試すイベントではなく、報告文化を育てる仕組みです。クリック率だけを下げるよりも、「怪しいと思ったら報告する」「分からなければ確認する」行動を増やすほうが、実際の攻撃対策では効果的です。

レポートで見るべき指標

実施後は、Overview、Reports、シミュレーション個別レポートを確認します。Microsoft Learnでは、レポートサマリーはOverviewタブとReportsタブ、詳細レポートはAttack simulation reportや進行中・完了済みシミュレーションのレポートで確認できると説明されています。(Microsoft Learn)

見るべき指標は、クリック率だけではありません。実務では次の順番で確認すると、改善につなげやすくなります。

指標	見る理由	次のアクション
配信成功・失敗	訓練が対象者に届いたか確認する	失敗したユーザー、グループ、メールフローを確認
報告率	不審メールを報告する文化があるか見る	報告手順の再周知、Outlook報告ボタンの整備
クリック率	リンクや添付ファイルへの反応を見る	文面別、部署別、役職別に傾向を確認
資格情報入力	重大リスクの有無を見る	対象者への個別フォロー、追加トレーニング
トレーニング完了率	教育が最後まで届いたか見る	未完了者へのリマインダー、期限調整
Repeat offenders	繰り返し該当するユーザーを見る	叱責ではなく個別教育や業務環境の確認

Microsoft Learnでは、Simulation coverage、Training completion、Repeat offenders、Behavior impact on compromise rateなどのカードが説明されています。Predicted compromise rateとActual compromise rateを比較することで、選んだペイロードに対して組織の反応が高いのか低いのかを見られます。(Microsoft Learn)

注意点として、レポートは即時に完全更新されるとは限りません。FAQでは、シミュレーション開始後に詳細レポートが更新されるまで最大30分かかる場合があること、最初の60分は10分ごと、その後は時間経過に応じて更新間隔が変わることが説明されています。実行直後に空のレポートを見て、失敗と判断しないようにしてください。(Microsoft Learn)

よくある失敗と対策

訓練メールが届かない

対象者にメールが届かない場合は、対象グループの展開、無効ユーザー、ゲスト、メールフロー、プロキシ、メールセキュリティ製品を確認します。FAQでは、無効な受信者、ゲスト、非アクティブなMicrosoft Entra IDユーザーが対象検証で除外されると説明されています。(Microsoft Learn)

対策として、初回は10〜30人程度のテストグループで配信確認を行い、配信成功、ランディングページ表示、通知、レポート更新までを確認してから本番展開します。

クリックしていないのにクリック扱いになる

セキュリティ製品、Outlookアドイン、SOAR、自動解析ツールなどがURLを検査すると、ユーザーがクリックしていなくてもクリックイベントのように見えることがあります。FAQでは、数秒以内のクリックやユーザーが否定するクリックについて、非Microsoftのフィルターやサービスによる検査の可能性が説明されています。(Microsoft Learn)

対策は、シミュレーションURLやカスタムペイロードのドメインを、必要に応じてセキュリティ製品側で許可または例外設定することです。ただし、本番のメールセキュリティを弱めすぎないよう、対象範囲と期間を限定して管理します。

レポートが空に見える

レポートが空の場合、単に反映待ちの可能性があります。それでも表示されない場合は、監査ログ、対象ユーザーのライセンス、オンプレミスメールボックス、非Microsoftツールによる報告などを確認します。FAQでは、監査ログが無効だとレポートデータが利用できず、トレーニング割り当てもブロックされると説明されています。(Microsoft Learn)

訓練後に不満が出る

「だまされた」「評価に使われるのではないか」と受け取られると、次回以降の協力が得にくくなります。訓練後は、個人名を強調するのではなく、組織全体の傾向と改善ポイントを共有します。

たとえば、次のような共有が適しています。

• 今回は請求書を装ったメールをテーマにした
• 多くのユーザーが送信者とリンク先を確認できていた
• 一方で、急ぎの表現に反応してクリックしたケースがあった
• 今後はリンクを開く前に、送信者、URL、添付ファイル、文面の不自然さを確認してほしい
• 不審なメールは報告ボタンまたは指定窓口へ報告してほしい

実務でおすすめの進め方

最初から全社一斉で実行するより、次の順序で進めると安定します。

フェーズ	対象	目的
事前確認	セキュリティ担当、メール管理者、ヘルプデスク	ライセンス、権限、配送、レポート確認
パイロット	IT部門、協力部署、少人数	文面、通知、問い合わせ対応の確認
初回本番	1〜2部署または一部拠点	報告率、クリック率、トレーニング完了率を測定
改善展開	部署別、役職別、リスク別	結果に応じて訓練テーマを変える
定期運用	四半期または半期ごと	行動変化と教育効果を継続確認

実施後は、クリックしたユーザーだけを見るのではなく、報告できたユーザー、トレーニングを完了したユーザー、配信されなかったユーザーも確認します。特に部署や拠点ごとに差が出る場合は、利用している業務システム、メール量、言語、職務特性が影響している可能性があります。

次に取るべき行動

Attack Simulation Trainingでフィッシング訓練を実行する前に、まずMicrosoft Defender ポータルで「Attack simulation training」が表示されるか、対象ライセンスと管理者ロールがそろっているかを確認してください。次に、小規模なテストグループを作り、ペイロード、通知、ランディングページ、レポート更新までを一度通します。

本番実行では、目的を「クリック率を下げる」だけにせず、「報告率を上げる」「トレーニング完了率を上げる」「繰り返し該当者に適切な支援を行う」まで含めて設計することが大切です。社内周知では、処罰ではなく教育と改善のための訓練であることを明確に伝えましょう。