なぜ危ないのか
社外のレビュアーはHTMLの制作背景を知らないため、緊急性を煽る文言があれば本物の警告と誤解することがあります。大手企業のセキュリティ担当者であれば疑わしいHTMLを即座にSOCへエスカレーションし、その後の調査対応であなたの社名が出回ることになります。
メールで添付したHTMLがスパムフィルターにブロックされると、レビュー自体が成立しません。メール経由で再送できない場合は別の共有方法を用意するか、そもそもフィッシング的な文言を除去して再送する必要があり、どちらにせよ余分なコストが発生します。
- 相手がログインなしで開ける状態か確認する
- PCとスマホで最低1回ずつ表示を確認する
- 内部情報・個人情報・不要な外部送信が残っていないか見る
- レビュー期限と修正時の差し替え方を決めておく
ソースで見る場所
HTML内を「緊急」「今すぐ」「停止」「不正」「確認が取れていません」「〇〇時間以内」で検索します。これらは典型的なフィッシングキーワードであり、デザインサンプルのHTMLにAIが補完して出力することがあります。各ヒット箇所を前後の文脈で確認し、問題なければそのまま、問題があれば中立的な言い回しに書き換えます。
視覚的要素の確認として、ブラウザでHTMLを開いて全体をスクリーンショットします。全体を俯瞰すると、テキスト検索では気づかなかった「警告バナー全体のデザイン」「大量の赤テキスト」「不自然なポップアップ」が目に入ります。このスクリーンショットを自分以外の人に見せて「詐欺メールに見えるか」を確認するのが最速のチェックです。
- HTML内の外部script・form action・iframeを確認する
- APIキーやトークンらしき文字列がないか検索する
- 画像・CSS・JSのパスが公開後も解決できるか見る
- noindexと認証を混同せず、必要なら両方設定する
安全に共有する設定
フィッシング的文言を除去済みのHTMLは、ギガサイト便で「パスワード保護 + 有効期限付き」のURLを生成して送付します。期限付きのURLにすることで、レビュー完了後に不要なアクセスが続くリスクも排除できます。
共有メッセージには「XXXのUI確認用サンプルです。ページ内の文言はダミーです」と必ず添えます。受信者がHTMLを開く前にコンテキストを持つことで、フィッシング誤認を防ぎ、デザインや構成の確認に集中してもらえます。
- HTML内の外部script・form action・iframeを確認する
- APIキーやトークンらしき文字列がないか検索する
- 画像・CSS・JSのパスが公開後も解決できるか見る
- noindexと認証を混同せず、必要なら両方設定する
再発防止ルール
社外送付フローの標準テンプレートに「フィッシング文言チェック: 緊急・停止・不正・今すぐ等のキーワードを検索し除去した [ ]」という項目を追加します。チェックリストが存在することで担当者交代時にも確認漏れを防げます。
AIへのプロンプトで警告・通知系UIを依頼するときは、「文言はすべて『〇〇のお知らせ』や『ご確認ください』程度のトーンに留め、緊急性・脅迫感のある表現を使わないこと」と明示します。生成後の修正コストを最小化するには、生成段階での制約が最も効率的です。
- HTML内の外部script・form action・iframeを確認する
- APIキーやトークンらしき文字列がないか検索する
- 画像・CSS・JSのパスが公開後も解決できるか見る
- noindexと認証を混同せず、必要なら両方設定する
よくある質問
フィッシング的文言がどこにあるか見当たらない場合、AIが隠しテキストで出力していることはありますか？
CSSで`display:none`や`visibility:hidden`が設定されたテキストがHTMLソースに存在する場合があります。ブラウザのソースビューで全文検索し、非表示要素にも問題テキストがないか確認してください。
英語のフィッシング文言は日本語チェックのリストに含める必要がありますか？
必要です。AIは英語のフィッシングサンプルも学習しており、`Your account has been suspended`のような英語テキストが出力されることがあります。日本語と英語の両方のキーワードでチェックしてください。
社外送付前のチェックは誰が責任を持てばよいですか？
制作担当者が自己確認し、送付直前に別の担当者がクロスチェックする2名確認体制が理想です。1名の場合は、作成直後ではなく30分以上空けてから見直すと見落としが減ります。