本日、practice-makes-safe.org が一般公開されました。サイトは英語で、ドイツ語版は übung-macht-sicher.de にあります。今回のテーマはコンサルティングでも趣味でもなく、ほぼすべての人に関わることです。本物と見分けがつかないほどよくできていて、狙いはお金やログイン情報を手に入れることただ一つ、というメール、SMS、警告画面です。こうしたものへの注意喚起はたくさんあります。欠けていたのは、落ち着いて、リスクなく、恥をかくこともなく練習できる場所でした。
このサイトは非営利の取り組みです。アカウント登録なし、広告なし、トラッキングなし、売り物もありません。対象は IT を仕事にしていないすべての人で、高齢の方や家族、そしてこのテーマを一緒に練習する講座もはっきりと想定しています。
6 つのステーション、1 つのコース
練習の舞台は、何も起こりようのない再現画面です。コースは、いちばん怖いものから始まります。コンピューターがロックされたと主張し、電話番号を示してくる警告画面です。続いて、宅配便を装った通知から「Hi Mum, new number」（ママ、新しい番号だよ）まで SMS とメッセンジャーが届く再現スマートフォン、銀行の本当のアドレスを見極めるアドレス対決、そして本物と罠が混じった 10 通のメールが入った受信トレイが待っています。
どの判断にも、すぐに解説が付きます。罠はどこで見分けられるのか、その裏にどんな手口があるのか、代わりにどうすればよいのか。罠のないステーションも 2 つあります。「I clicked — what now?」（クリックしてしまった、どうしよう？）は、クリックしてしまった直後のための緊急時の手順で、説教はしません。そして「Asking AI for advice — with care」（AI に相談する、ただし慎重に）では、怪しいメッセージを AI に評価してもらいながら、その答えを鵜呑みにしない方法を紹介しています。
さらに、練習を習慣に変えるための仕組みがあります。1 日後、1 週間後、1 か月後のおさらい、印刷できる練習記録（試験でも修了証でもないと明記しています）、大きな表示の授業モード（何も保存しません）、そして「パスキー」から「スケアウェア」までの用語を日常の言葉で説明する用語集です。
なぜ練習するのか、そしてなぜ練習だけでは足りないのか
この考え方は研究に基づいており、その内容はサイト上で出典付きで読むことができます。読むより、自分でやってみるほうが効果があります。よく知られた研究では、フィッシング対策ゲームに 15 分取り組んだ後のほうが、チュートリアルの後よりも偽のウェブサイトをよく見抜けました。一方、19,500 人を超える従業員を対象とした大規模な研究では、一般的な研修は全体としてあまり効果がないことがわかりました。インタラクティブな練習を修了した人は、その後フィッシングメールをクリックする頻度が約 19% 低くなりましたが、これは相対的な効果で、絶対値で見れば小さなものです。しかも効果は時間とともに薄れるため、おさらいが役に立ちます。
だからこそ練習は短く、どの判断にもすぐに解説が付き、サイトは練習にできないこともはっきり伝えています。練習で無敵になれる人はいません。提供されている場合はパスキーが役立ちます（偽サイトではそもそも機能しません）。そうでなければ 2 段階認証です。さらに、パスワードマネージャー、アップデート、そして知っている番号にかけ直すという鉄則です。
ハウスルール：架空の会社、予約済みのアドレス
詐欺に備える練習サイトが、自ら誰かを傷つけてはなりません。そのため、練習に登場する会社（ParcelGull、Kestrelmoor Bank、CraneBasket）はすべて架空のもので、公開前に商標登録簿とウェブ検索で確認しています。アドレスはすべて .example か .test で終わります。これらは例示用に予約された末尾で、誰のものにもなり得ません。本物のロゴも、実在する会社のサイトを模したページも、コピーした詐欺メッセージもありません。すべての数字と事実の記述には、出典と日付があります。
作るうえで特に大切にしたルールがあります。画面が答えを明かしてはいけない、ということです。偽物は本物と同じ末尾を持ち、本物の送信者も偽の送信者も両方の末尾にいて、リンク付きの SMS がすべて罠というわけでもありません。ステーションをクリアした人は、本当にそれができるようになっているべきで、サイトのパターンを当てただけであってはなりません。
もう一つあります。練習するのは「確かめること」で、「タップすること」ではありません。リンクの行き先は、マウスを重ねるか、「Show link target」（リンク先を表示）ボタンで確認できます。それでもクリックした場合、どこにも移動せず、やさしい注意が表示されます。本物のメッセージなら、今ごろそのページが開いていたはずです。
ü をめぐる話
ある細部が、技術とテーマがいかに近いかを示しています。practice-makes-safe.org と違い、ドイツ語版のアドレスは ü で始まります。u の上に点が 2 つ付いた、ウムラウトと呼ばれるドイツ語の文字です。インターネットのアドレスにはこうした文字も使えますが、技術的には代替表記に変換されます。übung-macht-sicher.de は xn--bung-macht-sicher-12b.de になるのです。この形をそのまま表示するプログラムもあり、そうなると本物のアドレスが急に見慣れないものに見えます。同じ仕組みを詐欺師は、形の似た文字でアドレスを偽装するのに使います。そのためこのサイトは、ドイツ語のアドレスを ü の一般的な代替表記である「ue」で書いています。übung-macht-sicher.de と入力すると、uebung-macht-sicher.de に移動します。
舞台裏で、ü にはもう一つの話があります。Azure は、ウムラウトを含むアドレスには、ふだんは無料の証明書を発行しません。想定されているのは英字、数字、ハイフン、ピリオドだけだからです。そのため、ウムラウトを含むアドレスの証明書は Let's Encrypt から取得しています。発行は専用のサーバーで行い、そのサーバーが証明書を Azure Key Vault に保存します。App Service はそこから新しいバージョンを自分で取得し、小さな見張り役が、実際に何が配信されているかを毎日チェックしています。
技術面：あえてシンプルに
技術的には、このサイトはファミリーのほかのサイトと同じ基盤、つまり .NET 10 上の Blazor の上に立っており、現在はそのうち最もシンプルな部分を使っています。どのページもサーバー側で完成した形にレンダリングされ、練習はブラウザー上で軽量な JavaScript として動き、サーバーから届いた内容をもとに組み立てられます。JavaScript をオフにしている場合は、壊れたページではなく案内が表示されます。
厳格な Content Security Policy（ブラウザーに、どのスクリプトを実行してよいかを伝えるルール）により、実行が許されるのは自前のサーバーのスクリプトと、チェックサムを固定した小さなインラインスクリプト 1 つだけです。サイトの中核となるルールは 2 回書かれています。アドレスは右から読み、決め手は末尾の直前の語である、というルールです。一つはサーバーからのテキスト用の C#、もう一つはブラウザーでの強調表示用の JavaScript です。200 を超えるテストが両者を一致させつつ、ハウスルールも見張っています。たとえば、すべての練習用アドレスが予約済みの末尾にあること、テキスト中の数字が練習の内容と合っていることなどです。
ぜひ広めてください
このサイトがいちばん役に立つのは、誰もわざわざ探そうとしないところです。ご両親や祖父母、ご近所の方に送って、ステーションを一つ一緒にやってみてください。講座、学校、シニアの集まり、図書館は、出典を明記すれば、非営利の教育の場で練習を無料で使い、見せることができます。詳しくは「In class and with family」（講座で、家族で）のページをご覧ください。間違いを見つけた方や、練習のアイデアがある方は、info@carecom.de までお寄せください。
そして、こうしたものを軽量に、トラッキングなしで、確認済みの内容とともに、ご自身のプロジェクトでどう実現できるか知りたい方のために、CARECOM Consulting があります。
最後に、人に渡せるものを一つ。ドイツ語の A4 チラシ 1 枚で、übung-macht-sicher.de を 2 つのプロボノの姉妹サイトとあわせて紹介しています。世界の喧噪のなかの静かな場所 its-all-right.org と、誇大宣伝もパニックもなく AI を語る lostcontext.ai です。何も売らない 3 つのウェブサイトです。チラシを PDF でダウンロード（A4、0.8 MB）して、印刷したり、掲示したり、転送したりしてお使いください。