ホンモノのフィッシングメール？ ＃ショートショート
『緊急です。マイページを確認してください』
ノートPCの右下に、メール着信のポップアップが表示された。
夏季休暇明けの最初の会議。20人ほど会議室にいるが、休み明けにはいろいろやることがある。溜まったメールの返事。来週の会議の資料作成。月末に向けた諸手続きの準備……そういった諸々の作業、つまりこっそり内職をしているときだった。ずっと離れた席で課長が何か話しているので、気づかれないようにメールを開いた。
件名：緊急です。マイページを確認してください。
From：sys-info＠会社のドメイン名。
本文：緊急事態です。社内に悪質なウイルスが侵入しました。大至急、社内アカウントのマイページを確認してください。リンクはこちら。情報システムより。
会議中に緊急メール？
一瞬、背筋がシャンとするが、あらためてメールを見て考え直した。ひょっとして、フィッシングメールか？
きっとそうだ。このリンクをクリックすると、怪しいページに飛ばされるに違いない。長い休みの後にはサイバー攻撃が増えると聞いたことがある。
周りを見ると、PCを開いているのは俺と、隣の席にいる後輩のスズキくらい。きっとスズキも内職中だろう。他のみんなは、課長の話を真剣（そうに）聞いている。
『訓練ですよね？』
タスクバーに新しいポップアップが表示された。隣の席にいる後輩のスズキからのチャットだ。横目で見ると、スズキが自分のPCの画面を指さしている。彼のPCにも同じメールが届いたということか。いくら隣の席でも、さすがに会議中に声を出すのは憚られたようだ。
――訓練？
そういえば今月中にやるような話があった。フィッシングメールによる被害を防ぐため、社内一斉に偽のフィッシングメールを送るアレか。たしか去年もやってたな。今年はAIを導入するとか言ってた。そういうことか。
『たぶんな』
さりげなくそうチャットにタイプすると、すぐにサムズアップのアイコンが出た。
訓練であれば安心だ。
怪しいメールの対応。まず慌てない。緊急とか至急とかの単語に惑わされてリンクや画像はクリックしない。もちろん添付ファイルは開かない。送り主のアドレスやリンク先のURLを確認。システム部門に怪しいメールが来たと連絡。そんなところか。ま、これは訓練だから連絡は不要かな。
俺やスズキは訓練だって気づいたけど、ひょっとしたら、社内でうっかりリンクをクリックして、「これは訓練でした。怪しいメールには気を付けて」とシステム部門が用意した残念なページを見ている奴もいるかもしれない。
会議室の中では、相変わらず課長が何か話している。さっさとメールのことは忘れて内職しよう。そう思ったとき、ふと、メールの中の文字が目に入った。
「情報システムより」――というメール末尾の文だ。
メールアドレスのsys-info@～というのは、いかにも社内のアドレスっぽい。ただ、それが本物かどうか、なりすまされてるかは俺にはわからない。となると、メール文で不審かどうかチェックするしかない。
えっと、うちのシステム部門の正式名称ってなんだったっけ？ 情報システム部？ システム課？ IT部門？…… たしか『システム』って名前はあった気がするけど……情報システムだったろうか。
なんか違う気がする。
もしこれが訓練メールなら、わざわざ架空の部署名にするか？ そんなことしたら訓練ってバレバレじゃないか。実際の部署の名前を使うだろう。
じゃあ、これはホンモノのフィッシングメール？
もし攻撃者がうちの会社の正確な部署名を知っていたら、やっぱり実際の部署名を使うよな。
うーん。
そういえば去年、あまりにホンモノっぽい訓練メールを出したら、どっかの課長が本気になっちゃってひと騒動になったって話があったな。
そう考えると、これはやっぱり訓練メールで、訓練とわかるようにわざと違う部署名を使ったって考えるのが妥当だ。
うん、そうだ。
でも……
それでも、ちょっと気になる。
メールの件名は「緊急」。もし本当に緊急だったら……
いやいや。緊急なんて件名、引っかけに決まっているだろ。
でも……
でもだ。万が一、これが訓練でもフィッシングメールでもなく、本当にシステム部門からの緊急の連絡だったら……
まあ、99%訓練に違いないけれど、念のため、そう、念のため確認するってのは？
状況を正確に確認するために、リンクをクリックするのはありかもしれない。
訓練だったら、ネタバレページに飛ぶだけで何も起きないはずだし、仮にホンモノのフィッシングメールでも、飛ばされた先でログインしたり個人情報を入れなければ問題ないだろう。たぶん。きっと大丈夫。
どうする。クリックするか？ ほぼ安全なら、ちょっとだけ確かめてみるのもいいんじゃないか。
カーソルをメール文のリンクに近づける。リンク先のURLを見れば、何かわかるかもしれない。
いやいやいや。
URLを見たって、会社ドメインを真似したそれっぽいものだったらどうする？ 俺に区別がつくか？
その前に、社内ネットの掲示板に同じ内容の警告が出ているか確認してからでも遅くはない。それに掲示板には社内組織表があったはず。あれを見ればシステム部門の正式名称がわかる。あ、でも正式名称がわかったところで、それが訓練かホンモノか決定打にはならないか。
うーん、どうする、俺。
こんなことで迷っているうちに被害が広がったら？
そうだ。それなら、「お話中すいませんが」って課長の話を遮って、会議室の全員に確認してもらうってのはどうだ。そのほうが安全か。三人寄れば文殊の知恵っていうしな。俺だけの考えで間違っていれば大変だ。
いやいやいやいや。
うちの課長、プレゼン中に話を遮られるのをすごい嫌がる人だった。先月、会議中に「良く聞こえません」って言っただけで、顔真っ赤にして睨まれたもんな。あれから俺に対する態度が厳しくなったんだ。まったく腹の立つ上司だけど、この会社で生きていくなら揉め事は起こさないほうがいい。できるだけ目立たないように。事なかれ主義が最強だ。だから、ここで会議を止めるなんてできない。
じゃあ、どうする。
整理しよう。
俺は、このメールが訓練だとほぼ確信している。だったら、害はない。クリックしても何も起きない。もしクリックしても、きっと「訓練でした」って出るだけだ。
あとでシステム部門の連中（情報システムか、システム課か知らんけど）に何か言われたら、澄ました顔で「ええ。もちろん訓練ってわかってましたよ。ただ状況を正確に把握するために、あえてクリックしました」って言えばいいんだ。そう、それがいい。
俺はフィッシングに引っ掛かったわけじゃない。ちゃんとすべてわかったうえで、何事も起きないって知ってて冷静にクリックした。そういう説明なら「さすがですねえ。みんなのために自ら実験台になったんですね。お見事です」って言われるだろう。
よし。決めた。クリックしよう。どうせ何も起きないんだ。何も怖がることはない。ここはゆっくりとマウスをリンクに近づけて……
「あちゃー」
突然隣から、小さなうめき声が聞こえて俺はマウスから手を放した。スズキだ。横を向くと、今にも泣き出しそうな顔をしてこっちを見ている。
「どうした」
「……先輩。クリックしたら……」とスズキはPCを動かして、俺に画面全体が見えるようにした。
その画面には……
「おい、スズキ！」
今度は大きな罵声が、会議室の向こうから跳んできた。スズキがピクンとしてその場で立ち上がる。課長だ。課長がこっちを見ている。手にはスマホを握りしめている。
「大事な会議中に、何やってんだ」
課長はスマホの画面をこっちに向けた。
え？ どういうこと？
俺は慌てて、スズキのPCの画面にもう一度目をやった。赤い文字でこう表示されていた。
『会議集中度がレベルDと判定されたので上長に報告しました。該当者：社員番号AX54873 スズキタケシ』
課長が、直立不動のスズキをにらみつけている。
――そういえば。
さっきから課長がずっと話していたのは、会議中の内職防止システムのことだった。
ってことは……
悪いな、スズキ。
俺はスズキからゆっくり視線をそらし……
澄ました顔で……
誰にも見えないように、こっそりメールを削除した――
＜了＞
※怪しいメールや通知、特に「緊急」「至急」などと不安をあおり、リンクのクリックを急がせるものには注意しましょう。
