フィッシング対策の社員教育で、「日本語がおかしいメールは怪しい」と教えていませんか。
その教え方は、もう効きにくくなっています。生成AIを使えば、誰でも自然な日本語の文面を作れるからです。敬語も整い、句読点も揃い、社内の言い回しまで真似できます。
結論から書きます。いま社員に教えるべきなのは、届いた連絡を見分ける目ではありません。自分で確かめる手順です。支払い・ログイン・情報の入力を求められたら、届いた連絡の中のリンクや電話番号は使わない。自分で公式の窓口を開いて確かめる。教えるのはこれだけで、それを迷わずできる状態を社内に作ることが研修の中身になります。
※本記事は2026年10月時点の情報にもとづいています。訓練メールの開封率や被害の件数といった数字は、当社が自分で確かめたものを持っていないため、この記事では使いません。
これまでの教え方は、だいたい次のようなものでした。
このうち、一つ目はAIでほぼ消せます。文面の不自然さは、もう手がかりになりません。
もう一つ厄介なのが、中身が本物であることです。
どこかの会社で情報が漏れると、そのあとに届く連絡には、本物の予約内容や取引の情報が入っています。名前も、日付も、金額も合っている。受け取った側から見れば「自分しか知らないはずのことを知っている相手」です。これで疑えと言われても、難しいと思います。
情報漏えいがその後どう連鎖するかは、秋の情報漏えいから、AI導入で見直すことでも触れました。
つまり、文面の出来と中身の正しさという、これまで見分ける手がかりにしてきた2つが、どちらも当てにならなくなったのです。
手がかりにするのは、文面ではなく相手が求めている行動です。
詐欺の連絡が最後に求めるものは、ほぼ決まっています。
| 求められる行動 | 例 |
|---|---|
| 支払い・振込 | 「振込先が変わりました」「未払いがあります」 |
| ログイン | 「パスワードの再設定が必要です」「セキュリティ確認のため」 |
| 情報の入力・送付 | 「本人確認のため」「契約更新のため」 |
この3つのどれかを求められたら、文面がどれだけ自然でも、中身がどれだけ正しくても、その連絡の中から先へは進まない。これを決まりにします。
進まずにどうするか。
ここで大事なのは、社員に「判断」をさせないことです。「これは本物っぽいから大丈夫」と考える余地を残すと、よくできた文面ほど通ってしまいます。求められた行動で一律に手順へ切り替える。見分ける力ではなく、切り替える習慣を作るわけです。
ところが、手順を教えるだけでは現場は動きません。止まる理由が2つあります。
「取引先から振込先の変更が来た」とき、誰に確かめればいいのか。経理の担当者か、営業の担当者か、上長か。ここが決まっていないと、受け取った人は「忙しそうだし、まあ大丈夫だろう」で進めてしまいます。
社内で決めておくのは次の2つです。
名前まで入れておくと迷いません。これは情報漏えいの初動対応で役割に名前を入れておく話と同じ考え方です。
もう一つは、報告の経路です。
リンクを開いてしまった、パスワードを入れてしまった。そのとき、すぐに言える会社かどうかで被害の大きさが変わります。言えば責められると思えば、人は黙ります。黙っている間に、そのアカウントは使われ続けます。
決めておくのは、次のことです。
「早く報告した人が助かる」ことを、研修の場ではっきり伝えます。これは訓練メールの開封率を下げるより、ずっと効く対策だと考えています。
フィッシングの話は情報セキュリティ研修に入れるのが普通ですが、生成AI研修の中で扱う手もあります。社員が生成AIに触れるとき、もう一つ教えるべきことと根が同じだからです。
それは**「渡してはいけないもの」**の話です。
どちらも「外に出したら取り返しがつかないもの」を、手前で止める話です。ツールの使い方の回に混ぜるのではなく、この2つを合わせて1コマにすると、社員の頭の中で一つの決まりとして残ります。
研修の組み立て方は生成AI研修のカリキュラム例にまとめています。社内のAI利用ルールの作り方はAIの利用ルールの基本もあわせてどうぞ。
逆に、研修でやらなくていいのは「本物と偽物のメールを見比べて当てるクイズ」です。当てられるようになっても、AIで作られた文面には通用しません。むしろ「自分は見分けられる」という自信を持たせてしまうぶん、逆効果になりかねません。
研修を組む前に、社内でこれを確かめておくと話が早く進みます。
どれも新しいツールは要りません。決めて、伝えて、繰り返すだけです。
AIで変わったのは、攻撃する側の文章力です。だから、文章の出来を見て守る方法はもう当てになりません。
変わらないのは、詐欺が最後に「お金」「ログイン」「情報」を求めてくることです。そこで一律に止まり、自分で確かめに行く。それを迷わずできる社内の決まりと、言い出せる空気を作る。社員教育で渡すべきなのは、この手順です。
当社の企業向けAI研修では、ツールの使い方とあわせて「渡してはいけないもの」の回を組み込んでいます。自社の研修にどう入れるかを相談したい方は、企業向けAI研修をご覧ください。