社内のIT部門から「おめでとうございます。あなたの◯◯が届きました」というメールが来て、うれしくなってリンクを押したら——実はフィッシング訓練で、強制のセキュリティ研修に放り込まれた。そんな出来事が米プロバスケットボールの名門球団の運営会社で起き、ネット上で大きな批判を浴びました。
対岸の火事に見えますが、日本でも標的型攻撃メール訓練は多くの企業が年1〜2回実施しています。題材の選び方ひとつで「いい学び」にも「社員の信頼を削る事故」にもなる、という意味でかなり他人事ではありません。
何が起きたのか：優勝記念の品を題材にした標的型攻撃メール訓練
概要はシンプルです。チームが長年ぶりの優勝を果たし、社員の間では「記念リングがもらえるらしい」という期待が高まっていた。そこへ「あなたの記念リングが用意できました。デザインを選んでください」というメールが届く。リンクを踏んだ人は、宝飾品の選択画面ではなく、必須のセキュリティ講習に誘導された、というわけです。
さらにタイミングも最悪でした。実際の授与式では空の箱を渡されたスタッフがいた、長く勤めた従業員の一部はそもそも対象外だった、といった報道が重なり、「期待させておいて落とす」構図が完成。運営側は後に「あの題材を使ったのは誤りだった」と認めています。
訓練メールが炎上する3つの条件
海外の事例ですが、炎上の構造は日本の職場にもそのまま当てはまります。
- 金銭・処遇に直結する話題を使う：賞与、昇給、手当、記念品、退職金。いずれも「信じたい気持ち」を突く題材で、引っかかった人の心理的ダメージが大きい
- 実在する社内の期待に乗っかる：ちょうど社内で噂になっている話をそのまま使うと、訓練というより「からかい」に見える
- 引っかかった人への対応が罰ゲームに見える：強制研修、名前の共有、上司への通知。狙いは教育でも、受け手には処罰として伝わる
日本企業でも「賞与明細の確認」「人事評価の開示」といった題材で訓練を行い、社内から苦情が出たケースは珍しくありません。クリック率を下げることだけが目的化すると、こうなりがちです。
怒らせない訓練設計のポイント
題材は「業務メール」に寄せる
実際の攻撃で多いのは、請求書の送付、配送業者の不在通知、クラウドサービスのパスワード期限切れ、取引先を装った添付ファイルなど。処遇や感情ではなく業務フローを題材にするほうが、現実の攻撃にも近く、恨みも残りません。
クリックした人を責めない設計にする
訓練の目的は「誰が引っかかったか」の特定ではなく、報告する習慣を作ることです。クリック率より「不審メール報告ボタンを押した人の割合」を主要指標にするほうが、実務では効きます。報告した人を評価する仕組みがあると、本物の攻撃時に初動が速くなります。
事前と事後のコミュニケーションを用意する
「年に数回、訓練メールを送ります」と事前に周知しておくだけで、受け手の納得感は大きく変わります。終了後には、どこに不審点があったのか（差出人ドメイン、不自然な日本語、リンク先URL、急かす表現）を具体的に共有しましょう。
個人でできる、引っかかっても被害を出さない備え
訓練の良し悪しとは別に、現実の攻撃は確実に届きます。完全に見抜くのは無理だという前提で、踏んでも終わらない構えを作るのが現実的です。
- リンクではなく、ブックマークや公式アプリから目的のサイトにアクセスする
- パスワードは使い回さず、パスワード管理ツールに自動入力させる（偽サイトでは入力候補が出ないので気づける）
- SMSやアプリのワンタイムコードより、物理セキュリティキーによる認証を優先する
- 怪しいと思ったら、自分で判断せず社内の窓口に転送する
特に物理キーは、偽サイトに認証情報を渡せない仕組みになっているため、フィッシングへの耐性が高い方式として企業導入も進んでいます。
この記事に関連するおすすめアイテム
FIDO2対応 セキュリティキー
偽サイトでは認証が成立しない仕組みのため、うっかりリンクを踏んでもアカウント乗っ取りを防ぎやすく、重要アカウントの守りを一段上げられます。
総合セキュリティソフト（複数台・長期版）
フィッシングサイトのブロックや危険なリンクの警告機能があり、パソコンとスマホをまとめて守れます。家族の端末も含めて対策したい人向けです。
情報セキュリティ入門書
社内で訓練を企画する側の人が、題材選びや報告フローの設計を考えるときの土台になります。用語の共通理解づくりにも役立ちます。
日本の職場で今すぐ見直したいこと
国内では、宅配不在通知やキャリア決済、ネットバンキング、ECモールを装った詐欺メール・SMSが定番です。社用スマホを私用と兼ねているケースも多く、プライベートに届いた偽SMSから業務アカウントが侵害される経路も現実に存在します。
訓練を企画する側なら、まず「このメールを本物だと信じた社員が、後からどう感じるか」を想像してみてください。学びが残るか、不信感が残るか。その差は題材の選び方でほぼ決まります。
よくある質問
標的型攻撃メール訓練は、事前に社員へ知らせたら意味がなくなりませんか？
「いつ来るか」は伏せたまま「年に数回実施する」とだけ周知すれば、抜き打ち性は保てます。むしろ不審メールを報告する文化が根づき、本物の攻撃時の通報が増える効果が期待できます。
訓練メールのリンクを踏んでしまいました。どうすればいいですか？
訓練だと分かっていても、本物だった可能性を前提に行動するのが安全です。IDやパスワードを入力したならすぐ変更し、社内の情報システム部門に報告してください。報告が早いほど被害は小さく済みます。
フィッシング対策として、まず何から手をつけるべきですか？
パスワードの使い回しをやめることと、多要素認証を有効にすることの2つが基本です。そのうえで、重要なアカウントから順に物理セキュリティキーなど強い認証方式へ切り替えていくと負担が分散します。
関連記事
※本記事にはアフィリエイトリンクが含まれます。Amazonのアソシエイトとして、当サイトは適格販売により収入を得ています。
参考: The Knicks’ fake ring email is ticking off the internet（Mashable）の内容をもとに、日本の読者向けに独自に構成しています。
Photo by Markus Winkler on Pexels
