とある昼下がり、街中で、
Amazonを名乗るメールに「ブラジルから不正アクセスがありました」と書かれていたことを信じ、怒りながら、正規のページからアカウントのパスワードを変更している20代くらいの若者を偶然見かけました。
その若者の話から漏れ聞こえてくる内容から推察すると、どうやらそのメール自体は偽の通知、つまり、いかにも不正アクセスがあったかのように装ったフィッシング詐欺メールのようです。
実際には不正アクセスなど発生していないのに、その若者は不正アクセスがあったと信じてパスワードを一生懸命変更しているというわけです。
念のためということもあるので、パスワードを変更するという行動自体は間違ってはいないと思いますが、実際には発生していない不正アクセスを、本当に不正アクセスがあったと思い込んでしまっているという点で、フィッシング詐欺についての本質的な理解が欠けているかもと感じました。
このようなケースに限らず、フィッシング詐欺については知っている、そして、パスワードを変更するなどの対応方法についても理解している、しかし、本質的な部分についてはちゃんと理解できていない。
そういうケースは、実は結構あるように思うのです。
❓「理解しているつもり」の危うさ
「不正アクセスの通知が来たから対応しなければ」
このような思考パターンに陥っている人は、“通知”という情報の信頼性を疑うという基本的な視点が抜けている可能性があります。
🔻見落としがちなポイント
- 通知の内容を鵜呑みにしてしまっている
- メールの送信元の正当性を確認していない
- 「アクセスがあった」＝「事実」と思い込んでいる
つまり、「わかっているつもり」でも、“見るべきところ”を見ていない可能性があるということです。
🎯 本質的な理解を促すにはどうするべきか？
① 「行動結果」ではなく「判断過程」に注目させる
フィッシング訓練で「リンクをクリックしたかどうか」「パスワードを入れたかどうか」だけに注目してしまうと、“偶然回避しただけの人”も“本質的に理解している人”も同じ成功者として扱われてしまいます。
✅ 重要なのは「なぜ、そのメールを信じたのか？」「どこを見て安全と判断したのか？」を振り返らせることです。
② 「不正アクセス通知」というシナリオを訓練に取り入れる
今回のような不正アクセス通知を装った偽メールは、近年よく使われるパターンです。
💡訓練メール例：
「お客様のアカウントに、ブラジルからのログインがありました。心当たりがない場合は、以下よりパスワードをリセットしてください」
［パスワードを変更する］
このような訓練メールを使い、メールの中にある“確認すべきポイント”に気づけたかどうかを評価します。
訓練メールに記載のリンクをクリックしてしまった人をカウントするというだけでは無く、後述の”訓練実施後の振り返り”とセットで実施することがポイントです。
③ 訓練後の振り返りに「偽の事実を信じていなかったか」を含める
訓練後のアンケートやワークショップで以下のような問いを入れることで、
“行動”だけでなく“認知のズレ”にも気づいてもらう機会を設けます。
📝 振り返り質問例：
- メールの内容をどこまで信用しましたか？
- 「不正アクセスがあった」という情報の裏取りを行いましたか？
- 送信元メールアドレスやリンク先を確認しましたか？
- 正規のログイン画面からパスワードリセットを行いましたか？
- パスワードを変更する必要があると思いますか？
「パスワードを変更してください」という通知自体が全くもって事実無根の偽メールであり、不正アクセスなど発生していないことはもちろん、パスワードを変更する必要など無いことをわかっていたかどうか？を”振り返り”によって確認してもらうということがポイントです。
🧠 結論：「対応した」ではなく「騙されなかったか」が重要
冒頭の若者の例のように、不正アクセスがあったこと自体は信じてしまっているようなケースの場合、本人の視点では「すぐにパスワードを変えて対応した」と思っているかもしれませんが、“偽情報を信じて行動した”という時点で、攻撃者の思うツボです。
訓練実施担当者として重要なのは、
「結果として行動したかどうか」ではなく、「その判断が適切だったかどうか」を見極める訓練の設計と、振り返りの設計です。
リンクをクリックしなかったからOK、不審なメールを受信したと報告したからOKということからもう一歩踏み込んで、不審なメールの内容を一部でも信じてしまっていなかったか？など、騙されなかったという結果に至ったことが、適切な判断に基づいたものだったのか？を確認できる仕組みを取り入れていくことも、社員に真の理解を促すということでは必要なことと考えます。
🔧 実践Tipsまとめ
| 訓練設計の工夫 | 内容 |
|---|---|
| 🎭 シナリオに「不正アクセス通知」を含める | 「驚かせる」メールで疑う力を試す |
| 🧐 判断のプロセスに注目 | 「なぜ騙されたか」「なぜ信じたか」を明確に |
| 💬 振り返りを重視 | 「その通知は本物か？」を問い直す機会を作る |
🗣 本質的な理解を促すアプローチを
「怪しいリンクはクリックしてはいけない」
この知識だけでは、“信じるに足る情報”を偽装されると防げません。
だからこそ、訓練実施担当者は、**“情報を疑う力”と“判断の筋道”**を育てるような訓練を意識的に設計していく必要があります。
「行動したから偉い」ではなく、「騙されなかった理由が説明できる」ことこそ、真のセキュリティリテラシーの証だと考えます。
御社の社員は誰もが”騙されなかった理由“を説明できるだけのリテラシーを備えているでしょうか？
