こんにちは！
AXLBIT株式会社の @kurasawa-axl です。
セキュリティ教育に関して、参考になるガイドを見つけたので、それに従って基本的な教育内容についてまとめていきたいと思います！全7部作になる予定です！

この記事を読んでほしい人

「自分は大した情報を持っていないから狙われない」 と思っている全従業員の方
「怪しいメールは日本語が不自然だからすぐに見抜ける」 と自信を持っている方
経理・人事・役員など、機密情報や送金権限を扱いをする職務の方

はじめに：CISコントロールとは？

CIS Controls（CISコントロール） は、組織が日々直面する最も一般的かつ重要なサイバー攻撃を特定し、それらに対する具体的かつ優先順位付けされた防御策をまとめたベストプラクティス集です。単なるチェックリストではなく、最新の脅威データに基づいた「今、本当にやるべきこと」が凝縮されています。

その中でも、Control 14「セキュリティ意識向上とスキルのトレーニング」 は、技術的な対策だけでは防げない「人間」という脆弱性を突く攻撃から組織を守るための重要な柱です。

本連載の構成（全7回）

本シリーズでは、CIS Control 14のSafeguard 14.2〜14.8に基づき、従業員に伝えるべき実践的なセキュリティ知識を全7回で解説します。

【14.2】ソーシャルエンジニアリング攻撃の正体と対策（本記事）
【14.3】パスワードの「123456」は卒業！認証ベストプラクティス
【14.4】その共有、大丈夫？データの取り扱いと「社外秘」の境界線
【14.5】「ついうっかり」が命取り！意図しないデータ漏洩を防ぐ
【14.6】「これってインシデント？」迷わず報告するための判断基準
【14.7】「後で」はNG！セキュリティ更新の重要性
【14.8】テレワークの落とし穴！公衆Wi-Fiや自宅ネットワークの安全な接続

1. なぜ「メール」が狙われ続けるのか？

システムに比べ、人間は隙だらけ だからです。OSやソフトウェアはパッチを適用すればアップデートできますが、「人間」は簡単にアップデートできません 。攻撃者は、人間の「善意」や「責任感」、「焦り」といった心理的な隙を突くことで、強固なシステムを内側から崩そうとします。

サイバー攻撃は、サイバーキルチェーンと呼ばれる7つの段階を経て進行しますが、多くの攻撃においてメールは「第3段階：配送」の主要なルートとして悪用されます。ここでウイルスなどを仕込まれると、その後の攻撃につなげられてしまうことになります。

サイバーキルチェーンとは、サイバー攻撃の一連のプロセスを7つの段階に分解して体系化したセキュリティフレームワークです。このどれか一つでも断ち切ることができれば、攻撃を防ぐすることができます。

IT業界では、問題は「キーボードと椅子の間=人間」にあるという意味で PEBKAC (Problem Exists Between Keyboard And Chair) というスラングが使われることもあります。

2. 巧妙化する最新の手口

現在はRaaS（Ransomware as a Service）やAIの普及により、専門知識がなくても高度な攻撃が可能になっています。それらの普及により、攻撃の数自体も年々増加してきています。

① AIによる「完璧な日本語」

以前のメールは、よくわからない漢字が使われていたり、通常ではありえない誤字があるなど、明らかにおかしいメールがほとんどでしたが、現在ではAIを使うことで、不自然な敬語や誤字が一切ない完璧な日本語のメールを簡単に作成できるようになりました。もはや 文章の違和感だけで偽物を見分けることは不可能 です。

② スレッドハイジャック

実際の過去のメールのやり取りに、攻撃者が「返信」として割り込んでくる手法です。過去の文脈を引き継いでいるため、受信者は「返信だから本物だ」と思い込みやすくなります。

③ クィッシング（Quishing / QRコード詐欺）

メール本文にリンクを貼らず、代わりにQRコードを読み取らせて偽サイトへ飛ばす手口です。セキュリティソフトの検知をすり抜けやすく、スマートフォンで読み取るためPCの防御機能が働きにくいという罠があります。

④ ビジネスメール詐欺（BEC）

社長などの役員名義で「至急の案件で外出しておりメールが見られない」「急ぎでLINEグループを作ってほしい」と指示が届き、そこから不正送金や機密情報の奪取へ繋げられます。

3. 私たちが今日から実践すべきこと

不審なメールを察知し、組織を守るための具体的なアクションを整理しましょう。

違和感に気づくチェックポイント

アドレスの確認： 表示されている名前は正しいが、実際のアドレスをみると一文字足りない（例：micosoft.com）など、おかしな点はないか。
行動の違和感： いつもはTeamsで連絡しているのに、急にメールで連絡が来た、など普段と手順が違わないか。
感情の揺さぶり： 「至急」「重要」「アカウント停止」など、焦らせる文言が入っていないか。

テクニカルな確認方法（例：Gmail等の機能活用）

原本の確認： メールの詳細から「原本を表示」を確認し、 SPF/DKIM/DMARCがすべて「PASS」 になっているかチェックしましょう。
リンク・拡張子の確認： リンクをホスト（マウスオーバー）して実際の遷移先を確認したり、.exe（実行ファイル）や.scr（スクリーンセーバー）など、危険度の高い拡張子が含まれていないか確認します。

究極の対策：別の方法で本人確認（これが最強）

少しでも「おかしい」と思ったら、メール内のリンクをクリックするのではなく、直接対面で聞く、電話する、あるいはTeamsなど、メール以外の手段で再確認するのが最強の防御策です。

まとめ：「知ること」こそが、人間に適用できる最強のセキュリティパッチ

このような攻撃に気づけるかどうかは、 「それを知っているかどうか」 で決まります。メールに悪質なリンクが埋められている可能性があること、社長や役員の名前を詐称したメールが来る可能性があること。 細かい知識はなくとも、知っているか知らないか では、対応が変わってきます。

普段からセキュリティや、攻撃についての情報を仕入れるようにしておくと良いでしょう。通勤中にちらっとニュースを見るだけでも変わります。

また、「自分は騙されない」という思い込みは、攻撃者にとって「都合の良い誤解」でしかありません。不審に思ったら、迷わず上司や情シス部門等に報告すると良いでしょう。 結果として普通のメールであったとしても、報告したことが問題になることはありません。

参考資料：