～フィッシング詐欺でアカウントが乗っ取られる仕組みと、訓練で伝えるべきこと～
❓まだ「二要素認証があるから安心」と思っていませんか？
多くの企業で導入が進む「二要素認証（2FA）」
様々なサイトで二要素認証による不正アクセス防止策が取られており、アカウントを乗っ取られたくなかったら二要素認証を設定するのはあたりまえとも言われるようになりました。
確かに、二要素認証はIDとパスワードだけでは防げなかった不正アクセスに対して、強力な防御壁になります。しかし残念ながら、「二要素認証さえ設定しておけばアカウントは安全」という認識は誤りです。
証券会社を狙ったフィッシング詐欺では、2025年4月16日までの時点で、証券会社6社で1454件の不正取引が確認され、不正売買額は954億円に上ると金融庁から発表されていますが、以下のフィッシング詐欺メールのように、情報確認などを装って詐欺サイトにアクセスさせようとする手口が横行していることを見ると、二要素認証を突破する手口に騙されてしまっているケースも多いのではないかと推察されます。
⚠ 二要素認証を突破するフィッシングの巧妙な手口
近年、攻撃者は二要素認証をも突破するフィッシング攻撃を仕掛けてきます。
その代表例が「リアルタイム中継型フィッシング」と呼ばれる手口。
例：リアルタイム中継型の流れ
- ユーザーが偽サイトにIDとパスワードを入力
- 攻撃者がその情報を即座に本物のサイトに中継して入力
- 本物のサイトは2FAコードをユーザーに送信
- ユーザーが2FAコードを偽サイトに入力
- 攻撃者がそのコードを使ってログイン成功！
→ 本人も気づかないうちにアカウントが乗っ取られる
つまり、ユーザーは自分が入力した情報に基づいて2FAコードが送られてきていると思い込んでいるが、実際には攻撃者が偽サイトから得た情報を正規サイトに入力したことによって送られてきた2FAコードであるので、ユーザーが2FAコードを入力したり、アクセスの続行を許可することで、攻撃者はまんまとサイトにログインできてしまうという構図になるのです。
🧠 なぜ人はこの危険性に気づけないのか？
- 「2FAがあるから安心」という思い込み
- ログイン画面のデザインが本物そっくり
- スマホに通知が来たことにより“正当なログイン”だと錯覚
このように、「安心感が油断を生み、冷静な判断を鈍らせる」のが特徴です。
🎓 訓練実施担当者が伝えるべき3つのポイント
✅ 1．「仕組みとしての2FA」と「人の行動」の関係を説明する
→ セキュリティは仕組みと人の行動の両輪。人の判断を攻撃するのがフィッシング。
✅ 2．2FAでは**「偽サイトへの入力」は防げない**ことを視覚的に示す
→ 実際の画面比較やシミュレーション動画などを活用すると効果的。
✅ 3．「URL確認」や「違和感の察知」を最優先の防御手段として周知
→ 「見慣れないURL」「急かす文言」「日本語の不自然さ」など、“気づける目”を養う訓練が必要です。
📢 訓練で活用したい実践的なアプローチ
- 2FAを入力させる訓練メール：実際にコード入力画面まで模した訓練を行う
- URLの見極めクイズ：正規サイトと偽サイトの違いをクイズ形式で体感させる
- アカウント乗っ取りシナリオ：もし乗っ取られたら…という“被害後”の影響を伝える
そもそもの話として、自分がアクセスしている先のサイトが正規のサイトであるのか、それとも、偽のサイトであるのかを判断できるだけの知識が無かったらどうしようもありません。例えて言うなら、”毒キノコを目の前にしながら、毒キノコとは知らずに食べてしまう”ようなものです。
- ドメイン名についての基本的な知識を身につける
- 正規のサイトのURLを把握しておく
といったことは、詐欺メールなどに騙されないためにも最低限押さえておくべき知識と言えますが、「インターネット」→「IT技術」→「難しい」というイメージが連想されるのか、こうした知識をあたりまえのものとして身につけている方は多くありません。
訓練実施担当者であれば、こうした知識は知っていてあたりまえと思うかもしれませんが、こうしたことを気にも止めておらず、知識として持っていない社員も現実には存在するので、自社の中にもこうした社員がいたりしないかどうか、常に社内を見渡して確認するといったことも、必要なことなのではないかと考えます。
💬 最後に：セキュリティ対策に「これで完璧」は存在しない
「二要素認証＝無敵」ではありません。
訓練を通じて伝えるべきは、「どんなに強固な仕組みでも、**最後の砦は“人の判断力”**である」ということです。
二要素認証を突破しようとする手口に見られるように、攻撃者は**人の判断力**でさえ、悪用しようと仕掛けてきます。
社員一人ひとりが、「自分の操作が会社のセキュリティを守っている」という自覚を持てるよう、丁寧な訓練設計が求められます。
