標的型メール訓練は"絶対"やったほうがいい！！

おはようございます、かーでぃです。
今日は標的型メール訓練のお話です。先日、社内で実施されまして、見事にひっかかってしまいました💦
その体験談を少し書きたいと思います。

メール訓練って必要なの？メール訓練なんて意味あるの？
と思われている方、是非見てやってください🙇

標的型メール訓練

標的型メールとは？

ハッカーは脆弱性を突いて攻撃してきます。NW機器やPCの脆弱性は、セキュリティパッチなどを当てることである程度下げることができます。
脆弱性には、このようなシステム的なもの以外にも存在しています。それが「人」です。
標的型メールは、このような人の脆弱性をついた攻撃です。

標的型メール訓練とは？

標的型メール訓練は、そのような人の脆弱性を下げる（＝セキュリティリテラシーをあげる）ための訓練です。
定期的に行うことで、個々の意識の高まりからサイバー攻撃を受けにくくなります。

もちろん、標的型メール訓練をするだけではだめで、EDRやSASEなどのセキュリティを高めるための仕組みの導入、適切なNW機器の導入、そしてそれらを安全に使うために定期的なセキュリティパッチの適用なども重要です。

標的型メール訓練、やってますか？

うちの会社では…

四半期に一度ぐらい、事前連絡があったうえで標的型攻撃のメール訓練が開催されます。
どんなメールが来るかはアナウンスされませんが、「何日の何時ごろ送られます」という事前周知が来ます。

そんなん意味ないじゃん。と思うのですが、事前周知なしで実施すると怒る人もいるみたいで、周知しているようです。
周知されるので、怪しいメールがきても（もちろん自分は）開きません。
怪しいメールがきたら、差出人のメアドをしっかりと確認しますし、書いてあるURLもリンクにより偽装されていないか、マウスオーバーして確認します。

ところが…

先日、事前周知なしで「〇〇システムのパスワードの有効期限を迎えます」的なメールが飛んできました。
この「〇〇システム」が社内システムと酷似（まったく同一ではない）しており、またこのシステムを自分が使わなくなってちょうど1年ぐらい経つため、「あ、切れたら再発行めいんど…」と思い、ついついメアドやURLの確認無しに、リンクを踏んでしまいました…。

すると…

ブラウザに表示されたのは見たことのないシステムのログインページ。
「あれ？なんだこのシステム…？？」
と思って、メールに戻ってシステム名を確認していると、ページが自動的に切り替わって

「これは標的型メール訓練です」

とデカデカと表示されています。
うわ…しまった………というのが、最初の感想でした💦

その後は…

標的型訓練と言えど、踏んでしまった事実はあるので、すぐさま上長にＴＥＬにて報告。この辺りは、「セキュリティインシデントが発生したときの対応マニュアル」を強制的に定期的に受講する仕組みがあるので、それが役立ちました。

所感

自分は…

こーいうのは比較的に「やってしまう方」という認識があるため、普段は気にかけているのですが、ちょっとした油断（時間的なものと、〇〇システムという名称）してしまった感が非常にあるなぁ、、と反省してます。

唯一の救いは、メールに書いてあったパスワードで、偽サイトにログインしなかったこと。ここまでしてしまうと、完全にパスワード漏洩に繋がりますが、「ログイン画面が変」というところに気づけたのは良かったかな？

ただ、システムがSalesforceで、偽サイトのログイン画面もSalesforceに似せて作ってあると…（その場合は、事前にわかりそうですが…）。

だからこそ！

標的型メール訓練は、単なる形式的なテストではなく、私たちの「意識の壁」を再構築するために不可欠なプロセスだと改めて感じました。
ハッカーは、私たちが忙しい時や、ふと気を抜いた瞬間を逃さず突いてきます。「まさか自分が」と思うような巧妙なメールを前にしたとき、最後に頼りになるのは、訓練によって培われた経験と冷静な判断力です。こうした訓練を繰り返すことで、一人ひとりが「攻撃の入り口」にならないという自覚を持つこと。その積み重ねが、結果として組織全体を守る大きな力になると強く実感しました。

標的型訓練についての書籍を書きました。全人類、全ての人に見てもらいたくてゼロ円でダウンロードできるようにしてありますので、気軽にDLしてください🙇
30ページぐらいなので、サクッと読めます！