おはよう、後輩A君。
今日は、AIのニュースを1つ紹介するね。AIが1人ずつに合わせて偽メールを書いたら、リンクを押してしまう人が3.9％から10％に増えた、という実験の話なんだ。
偽メールは、本物の会社や人のふりをして、リンクを押させようとするメールのことだよ。今日は、文がていねいでも安心できない時代に、私がふだんメールのどこを見ているか、という話をするね。
1. AIが「その人専用」の偽メールを作る実験があったんだよ
出どころは、10月27日に出たこの記事だよ。
ITmedia NEWS「メアドを検索→AIで”その人専用フィッシングメール”を生成する手法、クリック率が約2.7倍に 7000人以上で実験」
もとになったのは、ドイツのベルリン工科大学などの研究者の研究なんだ。研究の発表の場「USENIX Security 2026」で出されたものだよ。
「A Large-Scale Study of Personalized Phishing using Large Language Models」Czybik ほか（2026）
実験の相手は、大学の職員だよ。
・大学の職員：7741人
・そのうち、ネットに情報があった人：4010人
・その人専用のメールを送った人：3310人
その人専用のメールは、こんな順番で作ったんだ。
① その人のメールアドレスを、検索サイトで調べる
② 出てきたページから、経歴や所属を取り出す
③ いくつかのAIをつないで、その人の紹介文（プロフィール）を作る
④ その人に合った差出人と文を、自動で作る
⇒ 人が1通ずつ考えるのではなく、AIが1人ずつに合わせて書いたんだよ。
2. 押した人は3.9％から10％に。文のおかしさでは、もう見抜けないんだよ
リンクを押した人の割合は、こうだったんだ。
| メールの作り方 | 押した人の割合 |
|---|---|
| 全員に同じ文 | 3.9％ |
| AIが1人ずつ作った文 | 10％ |
| 専門家が手で作った文 | 24.2％ |
⭐ AIが1人ずつ書くと、押した人は全員に同じ文のときの2.5倍より多くなったんだよ（10÷3.9で計算。記事は約2.7倍、論文は2.74倍と、べつの数え方で書いている）。
作るのにかかった時間とお金は、こうだよ。
・約4000通を、約50時間で作った
・1通あたり、約0.03ドル
記事には、ネットに出ている情報が少ない人ほど、だまされやすかった、とも書いてあったよ。
「文がおかしいから、これは偽物だな」という見分け方は、AIが1人ずつに合わせて書くようになると、⇒ もう頼れないと私は読んだんだ。
3. 迷惑メールの仕分けも、ほとんど止められなかったんだよ
もう1つ、気になる結果があったんだ。大学の迷惑メールの仕分けに、このメールをかけてみたら、こうだったんだよ。
・仕分けにかけたメール：3949通
・あやしいと判定されたメール：1通だけ
記事は、このことをこう書いているよ。
「迷惑メールへの自動フィルターはほぼ機能しておらず」
⇒ 迷惑メールの仕分けに、まかせきりにはできないんだ。
⚠️ ただし、ここで試されたのは大学の迷惑メールの仕分けだよ。Gmailの仕分けは、この研究では試されていないんだ。
4. 記事には守り方が書いていない。だから、私がふだん見ているところを話すね
⚠️ 記事には、研究者がすすめる守り方は書いていないんだ。それから、偽メールの差出人をどう作ったかも、記事には書いていないよ（これは元の論文に書いてあったので、このあと話すね）。
だからここからは、おもに私がふだんやっていることなんだ。会社と個人で、やり方を分けているよ。
会社のメール：差出人のアドレスの「@の後ろ」を見る
私は、差出人のメールアドレスの@（アットマーク）の後ろを見ているんだ。たとえば「info@example.com」なら、「example.com」のところだよ。
ここが、メールに書いてある会社名と合っているかを見るんだ。
| 見たもの | 私がすること |
|---|---|
| @の後ろが、会社名と違う | 読まずに消す |
| @の後ろは合っているように見える。でも、何か変 | リンクを押す前に、きちんと確かめる |
たとえば、会社のアドレスが「@example.com」なのに、届いたメールが「@example.net」だったら、違う、ということだよ。⚠️ ここに出したアドレスは、説明のための例だよ。
会社名と@の後ろが違っていて、本物だったメールは、私のところでは今のところないんだ。私が見てきた偽メールの多くは、日本の会社（.co.jp の会社）の名前なのに、@の後ろがなぜそれなのか分からないものだったんだよね。
だから後輩A君も、会社名と@の後ろが違うメールは、読まずに消すのが基本だよ。
そんなメールを読む時間は、むだなんだ。その時間は、ほかの仕事に回したほうがいいよ。自分の時間は「ただ」じゃない、という話は、この記事にも書いたよ。
それから、@の後ろが合っているように見えても、見たときに「あれ？」と感じることがあると思うんだ。そう感じたら、きちんと確かめることが大切だよ。
⭐ じつは、元の論文を読むと、この研究の偽メールは、受け取った人の大学のふりはしていなかったんだ。学会の案内や研修、研究機関のような外の団体を名のって、その名前に合う@の後ろを使っていたよ。
⇒ つまり、@の後ろが名前と合っているから安心、とは言えないんだ。だから「あれ？」と感じたら、押す前にきちんと確かめる。ここがいちばん大事なんだよ。
@の後ろを見る話は、Gmailを@の後ろごとに分けたときのことを、前に書いたよ。
個人のメール：Gmailを使う
個人のメールでは、私はGmailを使っているよ。私の使っているアカウントには、迷惑メールが一切届かないんだ。
会社では、使うメールアプリが決められていることが多いと思うんだよね。だから後輩A君には、こうすすめるよ。
・会社：差出人の@の後ろを見る
・個人：Gmailを使う
⇒ これで、大概の迷惑メールは避けられるよ（私の場合）
⚠️ Gmailの話は、私のアカウントでの体験だよ。3章のとおり、この研究ではGmailは試されていないんだ。だから「Gmailなら必ず防げる」とは言えないよ。
身を守る話は、ほかにもこの2本に書いたよ。
PDFの黒塗り、黒い四角を重ねただけでは消えていないんだよ
【AI活用】お問い合わせフォームを作ったら、2日でスパムが来たよ。「3たす1は？」が最強の門番になる話
結論：文では見抜けない。だから差出人を見て、違えば消す。あれ？と感じたら確かめるんだよ
今日の話をまとめるとこうだよ。
① AIが1人ずつに合わせて書いた偽メールは、押した人が3.9％から10％に
② 約4000通を約50時間、1通あたり約0.03ドルで作れた
③ 大学の迷惑メールの仕分けは、3949通のうち1通しか止められなかった
④ 記事には、守り方は書いていない
⑤ 研究の偽メールは、外の団体を名のって、その名前に合う@の後ろを使っていた（論文より）
⑥ 私は、会社では@の後ろを見て、会社名と違えば読まずに消す。合っていても「あれ？」と感じたら確かめる。個人ではGmailを使う
文がていねいかどうかでは、もう見分けられないんだ。だから見るところを、文から差出人の@の後ろに変えようか。そして、@の後ろが合っていても、「あれ？」と感じたら確かめようか。
だから後輩A君も、違うメールは読まずに消して、その時間はほかの仕事に回そうか。
よくある質問
Q1. @の後ろが会社名と合っていれば、安全なの？
そうとは言い切れないよ。⚠️ 元の論文を読むと、この研究の偽メールは、学会や研修のような外の団体を名のって、その名前に合う@の後ろを使っていたんだ。だから、@の後ろが合っていても、見たときに「あれ？」と感じたら、リンクを押す前にきちんと確かめようか。
Q2. 会社名と@の後ろが違うメールも、念のため読んだほうがいいの？
私は、読まずに消すのが基本だと思っているよ。会社名と違っていて本物だったメールは、私のところでは今のところないんだ。そんなメールを読む時間はむだだから、ほかの仕事に回したほうがいいよ。
Q3. Gmailなら、こういう偽メールも止められるの？
分からないんだ。この研究で試されたのは大学の迷惑メールの仕分けで、Gmailは試されていないよ。私の使っているGmailのアカウントには迷惑メールが一切届かないけれど、それは私の体験なんだ。
【本日のミッション：メールは、文より先に差出人を見てみようか】
- ☐ 届いたメールは、文を読む前に、差出人の@の後ろを見てみようか
- ☐ 会社名と@の後ろが違ったら、読まずに消してみようか
- ☐ 文がていねいでも、それだけで本物と決めないでおこうか
- ☐ （後輩A君へ）@の後ろが合っていても、「あれ？」と感じたら、押す前にきちんと確かめようか。違うメールを読む時間は、ほかの仕事に回していいんだよ
📚 AI活用シリーズ（おすすめ）
コメント