訓練メールの文例・件名の作り方：よく使われる型と注意点

訓練メールの文面とは

訓練メールとは、標的型メール訓練で社員に送る「本物の攻撃メールに似せたメール」のことです。件名・差出人・本文・リンクや添付ファイルの組み合わせで作ります。

文面を考えるときに、最初に決めるべきなのは「何を確かめたいか」です。IPA（情報処理推進機構）は、訓練の目的を明確にしてから訓練の内容を決めることが大切だとしています。確かめたい内容の例として、不審なメールの添付ファイルを開いてしまう割合のほか、受信した人が適切に対処できるか、報告を受ける体制が機能するか、が挙げられています（IPA「組織における標的型攻撃メール訓練は実施目的を明確に」）。

IPAはこの資料で、目的と文面の組み合わせの例も示しています。「不審なメールへの耐性を測る」なら一般的なばらまき型のメールをまねた文面、「巧妙な攻撃を受けたときの対処の早さを測る」なら社内に実在する部署や役職の名前を入れた文面、という整理です。文面の「上手さ」より、目的に合っているかを先に考えましょう。

この記事では、そのまま使える文面の全文は載せません。悪用を防ぐためです。代わりに、文面を組み立てるときの「型」と「要素」を整理します。

よく使われる件名の型

ばらまき型と標的型

まず、まねる攻撃が「ばらまき型」か「標的型」かで、文面の作り方が変わります。IPAの資料「企業組織を狙う攻撃メールの手口とその対策」は、フィッシングメールは同じ文面を不特定多数に送る「ばらまき型」の一種である一方、標的型攻撃メールは相手の業務内容を調べたうえで業務に関連した内容を送る、と説明しています。

まねる攻撃	話題の特徴	件名の型の例
ばらまき型	誰にでも関係がありそうな話題	メールボックスの容量超過、パスワードの期限切れ、荷物の不在連絡風
標的型	受け取る人の業務に関係が深い話題	資料の確認依頼、会議・イベントの案内、人事異動の連絡
ビジネスメール詐欺風	お金の手続きに関わる話題	請求書の送付、振込先口座の変更、経営者からの至急の依頼

IPAの資料では、フィッシングの典型的な手口として「緊急性の強調」が挙げられ、例としてメールボックスの保存容量を超えたと知らせる文面が紹介されています。ビジネスメール詐欺については、取引先を装った送金先口座の変更依頼と、経営者や幹部へのなりすましの2つの型が示されています。

攻撃メールが使う話題の分け方

IPAの2011年の資料は、IPAに届いた標的型攻撃メールの内容を「公開情報」「組織内限定」「関係者限定情報」の3つに分けて分析しています。関係者限定情報（組織をまたいだ関係者向けに見える情報）を扱うメールが半分以上で、自分にあまり関係がなくても「自分に届いた」ことを疑わずに開いてしまう心理をついている、と分析されています。訓練でも型を変えて試すと、どの型に弱いかが見えてきます。

件名によく入る要素

件名は、次の要素の組み合わせでできています。

• 急ぎを感じさせる言葉：期限、至急、本日中 など
• 自分に関係があると思わせる言葉：部署名、役職、担当業務の名前
• 手続きを求める言葉：確認、承認、再設定、提出
• 季節や時期の話題：年末調整、健康診断、人事異動の時期 など

Microsoftの訓練機能の公式ドキュメントでも、訓練メールのひな形が「請求書」「給与」「パスワード」「メールボックス ストレージのアップグレード」などのテーマで分類されています。実際の攻撃メールでは、Webで公表されている情報や業務連絡のメールを加工して文面を作った例も報告されています（IPA「標的型攻撃／新しいタイプの攻撃の実態と対策」）。

本文を組み立てる要素

本文は、次の要素に分けて考えると作りやすくなります。

1. 差出人：架空の人物・部署にするのが基本です。社内に実在する人の名前を使いたいときは、事前に本人の了解を取り、問い合わせが来たときの対応も頼んでおきましょう
2. 呼びかけと用件：誰に、何の用で送ったのかを短く書きます
3. 行動を促す一文：「リンク先で確認」「添付ファイルを確認」など、訓練で測りたい行動につなげます
4. リンクまたは添付ファイル：どの形式で訓練するかを決めます。Microsoftの訓練機能では、ログイン画面に入力させる「資格情報の収集」、添付ファイルを開かせる型、リンクを踏ませる型などが選べるようになっています
5. 見分けるための手がかり：差出人のアドレスの不自然さ、署名の不備、日本語の違和感など、振り返りの教育で説明できる「気づくポイント」を意図して残しておきます

難しさ（難易度）の調整

Microsoftの公式ドキュメントは、訓練メールの「複雑さ」を、攻撃の可能性を示す手がかり（スペルミスや緊急性など）の数で決めています。手がかりが多いほど見分けやすく、複雑さは低い、という考え方です。

はじめは手がかりの多い文面で行い、結果が良くなってきたら手がかりを減らす・社内の用語を入れる、といった形で少しずつ難しくしていくことをおすすめします。いきなり難しい文面にすると、結果が悪く出るだけで、何を学べばよいかが伝わりにくくなります。

注意点：実在の企業・サービスをかたらない

いちばん大事な注意点は、実在する企業・団体・サービスの名前やそれに似たドメインを、訓練メールに使わないことです。

IPAは、IPAの名前をかたった不審なメールの相談の多くが、実はIPAの名前を使った訓練メールだったと公表しています。そのうえで、実在の組織名を使った訓練には次の懸念があるとしています。

• 受信した人が、名前を使われた組織に直接問い合わせ、その組織が事実確認に追われる
• 受信した人が注意を呼びかけるつもりでSNSに投稿し、名前を使われた組織の風評被害につながる
• 場合によっては訴訟問題に発展するおそれがある

IPAは「実在または酷似する組織名を使ったメールでの訓練は実施しないことが賢明」としています。また、独立行政法人ではない組織が独立行政法人を名乗ると、法律（独立行政法人通則法）違反で罰則の対象となる可能性にも触れています。

訓練は社内の取り組みでも、メールは社外の組織の名前と信用に関わります。取引先・宅配業者・銀行・クラウドサービスなどを思わせる文面を使いたいときも、架空の名前にしましょう。判断に迷うときは、社内の法務担当に確認してください。

文面を決めたあとの準備

文面が決まったら、送る前に次の点を確認します。

• 問い合わせ先への連絡：社内の制度や行事の案内に似せた文面は、その担当部署に問い合わせが入ります。送る前に担当部署へ知らせ、一次対応を頼んでおきましょう
• 複数の文面を用意する：全員に同じメールを一斉に送ると、周りの反応で訓練だと気づかれることがあります。Microsoftの公式ドキュメントも、利用者どうしの話し合いや見抜きを避けるため、配信をずらし、異なる文面を使うよう案内しています
• リハーサル：少人数に送って、届き方や記録のされ方、報告の受付を確かめます
• 振り返りの材料：「このメールのどこで気づけたか」を説明できるよう、見分けるポイントをまとめておきます

訓練サービスには、あらかじめ文面のひな形を用意しているものもあります。ひな形の数や、自社で文面を編集できるかはサービスによって違うため、比較表で確認してください。

まとめ

• 文面は「何を確かめたいか」という訓練の目的から決める
• 件名は「ばらまき型」「標的型」「ビジネスメール詐欺風」などの型と、急ぎ・自分ごと・手続きといった要素の組み合わせで考える
• 本文は、差出人・用件・行動を促す一文・リンクや添付・見分ける手がかりに分けて組み立てる
• 実在の企業・団体・サービスの名前や似たドメインは使わない（IPAも実施しないことが賢明としている）
• 問い合わせ先への事前連絡、複数文面、リハーサルまで準備してから送る