ソフォス5月16日、企業向けのフィッシング詐欺訓練ツール「Sophos Phish Threat 2.0」を発表した。クラウドサービスとして既に提供を開始しており、同社の代理店を通じて利用できる。
新サービスは、140種類以上の攻撃シナリオと30種類以上のエンドユーザー（従業員など）向けの教育モジュールを用意している。攻撃シナリオでは、不特定多数を狙う「ばらまき型」や標的型、大手ITベンダーのオンラインサービスの詐称といったものをそろえ、今後は認証情報の窃取、添付ファイルの開封、「ビジネスメール詐欺（BEC）」などのシナリオを追加する予定。教育モジュールは訓練後に脅威や手口の解説、対策アドバイスなどの学習と、欧州の一般データ保護規則（GDPR）といった規制に基づく動向解説のeラーニングコンテンツを提供する。
Microsoft Teamsのテンプレートを使ったフィッシング訓練メール（左側）とソフォス社内で利用しているMicrosoft Teamsの本物のメール（右側）。テンプレートはHTML形式でカスタマイズもできる。テンプレートは他にGoogleのサービスなどがあり、サービス提供に際してSophosでは各社のロゴ使用などの許諾を得ているとのこと
Phish Threatは、英語版での提供が先に開始され、今回のバージョン 2.0から日本語や韓国語、中国語など9カ国語に対応し、グローバル企業で利用しやすくなった。訓練では、企業の担当者が対象従業員のアドレスを指定し、テンプレートをもとに訓練メールを作成して配信する。訓練結果では開封状況や学習の受講状況などをダッシュボードで把握できるようになっている。
ダッシュボード画面
学習コンテンツのイメージ。エンドユーザーが自席でeラーニングを行ったり、訓練後にグループ研修で使用したりする
ライセンスは1年間のサブスクリプションで、1ユーザー当たりの参考価格は10ユーザー利用時の場合が4320円、100ユーザー利用時の場合が2620円。代理店によって付加サービスが提供される場合もあるという。
ソフォスでは今後、Phish Threatでの訓練結果をもとにPCなどのセキュリティソフトでポリシーを変更するなどして防御レベルを強化するといった、製品連携機能の開発も予定している。
