なぜ危ないのか
AIはフィッシングメール対策の解説記事や警告サンプルを学習データとして持っており、「フィッシング風のUIを例として作って」と依頼すると忠実に再現します。意図してそのような依頼をしなくても、ログイン画面や通知バナーを生成させると、過剰に緊急性の高い文言が出てくることがあります。
社外レビュアーがそのHTMLを受け取ったとき、フィッシング詐欺と判断してセキュリティチームに報告するケースがあります。その調査対応に時間が取られる上、送付者の信頼を大きく損なう可能性があります。メールセキュリティフィルターが添付ファイルをブロックすることもあります。
- 相手がログインなしで開ける状態か確認する
- PCとスマホで最低1回ずつ表示を確認する
- 内部情報・個人情報・不要な外部送信が残っていないか見る
- レビュー期限と修正時の差し替え方を決めておく
ソースで見る場所
HTMLのテキストコンテンツから「アカウント停止」「即時対応」「24時間以内」「パスワードの変更が必要」「クリックして確認」といった緊急性・脅迫的な表現を検索します。メールクライアントのスパムフィルターが反応するフレーズ一覧を参照すると効率的です。
ブラウザでHTMLを開き、実際の見た目で確認します。テキストだけでなく、赤や橙の警告色のバナー・錠前アイコン・「Security Alert」のようなアイコン付きテキストも視覚的なフィッシング要素になります。スクリーンショットを第三者に見せて「詐欺に見えますか？」と確認するのも有効な方法です。
- HTML内の外部script・form action・iframeを確認する
- APIキーやトークンらしき文字列がないか検索する
- 画像・CSS・JSのパスが公開後も解決できるか見る
- noindexと認証を混同せず、必要なら両方設定する
安全に共有する設定
フィッシング的文言を発見した場合は、実際のビジネス文脈に合った自然な表現に書き換えます。「パスワードを今すぐ変更してください！」であれば「パスワードの更新をご確認ください」のように、緊急性の演出を取り除いた文言に変更します。
送付前のメールやチャットに「UIデザインのレビュー用サンプルです。ダミーテキストが含まれています」と一文添えることで、受信者が内容を誤解するリスクを下げられます。サンプルであることを明示することで、フィッシングと疑われる確率が格段に下がります。
- HTML内の外部script・form action・iframeを確認する
- APIキーやトークンらしき文字列がないか検索する
- 画像・CSS・JSのパスが公開後も解決できるか見る
- noindexと認証を混同せず、必要なら両方設定する
再発防止ルール
AIへのプロンプトで警告・通知系UIを依頼する際は「ユーザーを脅かす表現・緊急性を煽る言葉は使わないこと。丁寧な通知文に留めること」と明示します。UIの色やアイコンについても「赤い警告デザインは避けること」と追記すると視覚的なフィッシング要素も抑えられます。
チームのデザインシステムやコンポーネントライブラリにトーン&マナーのガイドラインを整備し、警告コンポーネントの文言例をプリセットとして用意します。AIが生成したテキストをそのまま使わず、ガイドラインの文言に差し替えるステップをレビューフローに組み込むことで品質が安定します。
- HTML内の外部script・form action・iframeを確認する
- APIキーやトークンらしき文字列がないか検索する
- 画像・CSS・JSのパスが公開後も解決できるか見る
- noindexと認証を混同せず、必要なら両方設定する
よくある質問
フィッシング的に見えるかどうか判断が難しい場合、どう判定しますか？
Googleのフィッシング判定基準（セーフブラウジングのガイドライン）や、実際のフィッシング報告データベース（PhishTank等）に登録されている文言パターンと比較すると判断の根拠が得られます。
テストページであることをHTMLに明記すれば問題ありませんか？
ページ上部に「DEMO / テスト用ページ」と大きく表示するとフィッシングとの混同は減りますが、ウォーターマークが削除されて悪用されるリスクも考慮してください。本質的にはフィッシング的文言自体を除去することをお勧めします。
メールセキュリティフィルターにブロックされた場合の対処法は？
問題のある文言を除去したファイルを再送するか、ギガサイト便のような外部共有URLで渡すことでメール経由のブロックを回避できます。IT部門に添付許可リストへの追加を依頼する方法もありますが、根本対処は文言の修正です。