「今年は年末のボーナスを支給しないGoDaddy、ソーシャルエンジニアリング攻撃対応訓練メールでボーナスに言及して批判される」記事へのコメント

この手の訓練ってスキルのある人が引っかかったことにされる

[Anonymous Coward]

この手の訓練メールって、作る側のレベルが低いから、スキルのある人ほどが引っかかったことにされるという問題がある。

例えば、メールヘッダーまで確認して、組織内の正規のメールサーバーから送信されていることと、リンク先のドメイン名のIPアドレスがLAN内の正規のWebサーバとなっていることを確認して情報入力しても、
「はいこれはフィッシングメールの訓練でした。情報乳利力した人は再教育プログラムを～」
となったりする。

酷い組織だと、仮想環境からリンク先にアクセスしただけでも引っかかったことにされてしまう。

実際こういう「訓練」をやるならば、外部のレンタルサーバと紛らわしいドメイン名（もしくはfromの詐称などを実際に行う）などを使用するなどして、実践に近い状況を再現すべきだが、そこまでせずに正規のメールサーバと正規のWebサーバで訓練するといったろくでもない組織が多い。

Re:この手の訓練ってスキルのある人が引っかかったことにされる

[Ryo.F (3896)]

普通、偽造の可能性を否定しきれないメール内のリンクを安易に踏むのは良くない、と思うんじゃね?
一般人程度のレベルをターゲットにする訓練なら、外部のレンタルサーバかどうかなんてのはどうでもよくて、少しでもあやしいメールの中のリンクは踏むな、ってルールの徹底を目指した方が、効果が高いと思うよ。