サイバーセキュリティ関連の運用に強みがあるArctic Wolfが2025年10月15日（現地時間、以下同）に発表した報告書「Human Risk Behavior Snapshot」によると（注1）、IT部門の上級管理職のおよそ3分の2がフィッシングリンクをクリックした経験を持っていた。そのうち17％はクリックした事実を報告していなかったという。

　さらにITリーダーの約10％は複数のフィッシングリンクをクリックしていたにもかかわらず、報告していなかった。

　報告をためらう背景について、Arctic Wolfは「処罰や解雇への恐れが消極的な態度につながっている可能性がある」とした。

　ITリーダーの4分の3以上は「当社はフィッシング攻撃には引っかからない」と自信を示していた。

　問題はフィッシング攻撃だけではない。ITリーダーの69％はサイバー攻撃の標的になった経験がある。攻撃の内訳は39％がフィッシング攻撃、35％がマルウェア、31％がソーシャルエンジニアリングによる攻撃だった。

生成AIの利用でもダメだった

　この調査にはAIの利用状況やポリシーに関する質問もある。ITリーダーの60％は「ChatGPTなどの生成AIに機密情報を共有したことがある」と回答しており、これは同様の行為を報告した従業員の割合（41％）を上回っていた。

　従業員の57％は「自社には、生成AIに関連する利用ポリシーがある」と答えていたが、残りの43％は「分からない」または「自社にそのようなポリシーはないと思う」と回答していた。なお、「利用ポリシーがある」と回答したITリーダーは100％ではなく、88％にとどまった。

　「このようなギャップは、AIツールの利用に伴うリスクに関するコミュニケーションや意識向上のためのトレーニングが不足していることを示している。組織は自社のポリシーを明確に伝え、確実に運用するとともに、AI技術が自社のデータやネットワーク全体にもたらすリスクをユーザーが理解できるよう支援するためのトレーニングを提供しなければならない」（Arctic Wolfの研究者）

　ITリーダーの52％はAIツールによる機密データの漏えいを懸念しており、さらに56％は、それらのツールの悪用に対して不安を抱いていると報告した。

　「AIは現在、組織に重大なリスクをもたらさない」と回答したITリーダーは10％と少なかった。

　Arctic Wolfの調査は日本を含む17カ国の中堅・中小企業や大企業に勤める855人のITとセキュリティのリーダー、855人のエンドユーザーを対象として2025年7月に実施された。

　調査結果には世界中のデータ侵害の発生状況に関する情報もある。日本のITリーダーで過去12カ月間に1回以上の侵害を経験したと回答した割合は77％だった。これはオーストラリアとニュージーランド（78％）やカナダ（72％）などと近い値だ。

　2024年から2025年にかけて侵害件数が最も増加したのはオーストラリアとニュージーランドで、侵入被害を報告した組織の割合は2024年の56％から2025年には78％へと大幅に上昇した。一方、米国では侵害を報告した組織の割合は横ばいで推移し、北欧諸国ではやや減少、カナダではわずかに増加した。