差出人は、ドイツ語の先生だった。ただ投稿者は、来年その授業を取る予定がない。おかしい、とは思った。思ったうえで、彼は本文に貼られたリンクを開いてしまう。そして見慣れたログイン画面に、学校のメールアドレスとパスワードを打ち込んだ。送信ボタンを押した1秒後、彼は自分が何をしたのかを正確に理解する。ここから、学校の生徒と職員を丸ごと巻き込んだ、彼の人生でいちばん長い一日が始まった。
※注：アメリカの公立校は、いくつもの学校をまとめた「学区」という単位で運営されている。生徒には学校から一人一台のノートパソコン（授業用に配られる低価格の機種が多い）と、学校名義のメールアドレスが配られ、そのアカウントは学区の情報システム担当部署が一括で管理する。生徒本人が自由に設定を変えられない部分も多い。文中の「教育長」は、その学区全体を統括する責任者のこと。日本でいえば、市の教育委員会のトップが全校の生徒にメールを出せる立場にいる、と考えると近い。
何をやらかした？
📌 アメリカの高校生である投稿者のもとに、しばらく学校を休んでいたドイツ語の先生から「請求書」と書かれたリンク付きのメールが届いた。怪しいとは感じたものの、事務的な連絡かもしれないと考えて開き、ログイン画面に学校アカウントのメールアドレスとパスワードを入力してしまう。乗っ取られたアカウントからは、過去にやり取りのあった100〜150人へ詐欺メールが送信され、さらに学校のアドレス帳に載っている全員へ、アルファベット順に同じメールがばらまかれた。接続していた端末の所在地は、南アフリカのケープタウンだった。
事の発端
差出人は、数週間前から学校に来ていない先生だった
投稿者はアメリカの高校生で、次の学年からいわゆる上級生にあたる学年に上がるところだった。その日、彼はいつもの習慣で学校のメールを開いた。受信箱に入っていたのは、ドイツ語を担当している先生からの一通である。本文には「請求書」と説明されたリンクが一つ貼られていた。後から振り返れば、その時点で明らかに怪しかった、と彼自身が書いている。学校の先生が生徒に請求書を送る理由など、普通に考えれば一つもない。
ただ、そのとき彼の頭を占めていたのは別の疑問だった。自分は来年度、ドイツ語の授業を取っていない。名簿に名前が載っていないはずの生徒に、なぜドイツ語の先生からメールが来るのか。彼が引っかかったのは「リンクが怪しいこと」ではなく、「自分に連絡が来る理由がないこと」のほうだったのである。
「事務的な行き違いだろう」と思わせる材料が揃っていた
そして、まずいことに、その疑問には妙に納得のいく説明がついてしまった。その先生は個人的な事情で、学期の最後の数週間ずっと学校を休んでいたのだ。長く不在にしていた先生が、久しぶりに戻ってきて事務処理をまとめて片付けている。名簿の情報が古いままで、去年の生徒に連絡が飛んできた——そう考えれば、辻褄が合ってしまう。
彼は、リンクの中身は出席状況に関する何かだろうと考えた。自分の履修や出席の記録に手違いがあるなら、放っておくのはまずい。真面目な生徒ほど、この種の「事務的な行き違いを早く直さなきゃ」という気持ちで動いてしまう。本人の言葉を借りれば、この一瞬だけ「頭の中で批判的に考える機能がオフになっていた」。リンクを開いた先に出てきたのは、パソコンで何かにログインするときに毎回見ている、あの見慣れた入力画面だった。彼はそこに、学校のメールアドレスとパスワードを入力した。
やらかしの一部始終
送信した瞬間に、すべてを理解した
「パスワードを送った、まさにその瞬間に、自分のミスに気づいた」と彼は書いている。惜しいところで踏みとどまった話ではなく、押し切ってから理解した話である。彼はすぐにパスワードを変えようとした。ところが、ここで学校のアカウントらしい壁にぶつかる。学校の敷地の外にある端末からは、生徒は自分のパスワードを変更できない設定になっていたのだ。休みの日に自宅から気づいた生徒にできることは、事実上ほとんど残されていない。
何をすればいいのか分からないまま、10分ほどが過ぎた。とりあえず彼は、アカウントに保存されていたパスワードのうち、いくつかを消した。そして受信箱ではなく、ゴミ箱を開けてみた。
ゴミ箱に、送った覚えのないメールが並んでいた
そこにあったのは、彼が送った覚えのないメールだった。宛先は、彼が過去にやり取りをした100〜150人。その多くが学校関係者である。中身にはやはりリンクが一つ貼られており、しかも末尾の署名だけは彼の名前ではなく、学区の教育長の名前と連絡先が入れてあった。生徒の名前で来たメールなら疑われるが、教育長の署名が入っていれば信じる人が出る。相手はそこまで計算していた。
彼は震えながら、宛先に入っていた友人たちに片っ端から連絡を取った。ここで初めて、少しだけ息がつける情報が返ってくる。不審な動きと判断されて、そのメールはそもそも配信されていなかったのだ。彼は先回りして「自分のアカウントが乗っ取られました」という注意喚起のメールを自分から送った。恥ずかしい報告だが、黙っていれば被害が広がる。ここで隠さなかったことが、後々効いてくる。
止まったと思った直後、今度は全校に流れ始めた
ところが、事態は収まるどころか一段階上がった。相手は、彼のアカウントから狙える連絡先がもう一組あることに気づいたのである。学校のアドレス帳に載っている全員だ。そこから先は、機械的だった。名前のアルファベット順に、学校のメールアドレスを持つ人間へ片っ端から、別の詐欺リンク付きのメールが送られていく。宛先は、彼の学校の関係者を丸ごと飲み込む規模になった。
彼がそれに気づいたのは、生徒たちから返信が届き始めたからだった。「この請求書って何？」——自分の名前で送られた身に覚えのないメールについて、次々と問い合わせが来る。自宅にいる高校生が、たった一人で受け止めるには重すぎる光景である。
ここで動いてくれたのが、彼の友人だった。二人がかりで、まずスマートフォンを使った2段階認証（ログイン時にパスワードだけでなく、手元の端末での確認も必要にする仕組み）を有効にし、アカウントにつながっていた見知らぬ端末を強制的に切り離した。その端末の所在地は、南アフリカのケープタウンと表示されていた。地球の裏側から、アメリカの一つの学校のメール網が動かされていたことになる。
その後
接続を切ったあと、彼はもう一度、同じ注意喚起のメールを送った。今度の宛先は、詐欺メールが届いてしまった残り全員である。本人の書き方では「数百人、下手をすれば数千人」。自分のアカウントが乗っ取られたという告白を、学校中に自分から配って回ったことになる。
その後は新しいメールは送信されていない。ただ、彼は「何度か半分パニックのような状態になるくらい、ずっと緊張していた」と書いている。パスワードは念のため変えたいが、彼にできるのは翌日に学校の事務室へ連絡することだけだった。しかも学校側の連絡窓口は開いている時間が限られている。彼がそれを痛感していた理由が少し切ない。職員の休暇を知らせる自動返信メールが、この日の彼のもとに何通も届いていたからである。緊急事態のさなかに、返ってくるのは休暇のお知らせだけ。学校のアカウントを学区が一括管理している以上、生徒側で打てる手は本当に少ない。
なお、この告白には後日談がある。学校側はすでに事態を把握しており、パスワードは職員の手で変更されたそうだ。最悪の展開は避けられたことになる。もう一つ、彼が最後にさらっと書き添えた一行がある。「例の友人は、相手に仕返しのハッキングを試みている」。この一文が、掲示板でそこそこの騒ぎになった。
海外の反応
1. やらかし名無しさん
まず落ち着いてほしい。あなたは誰かをハッキングしたわけじゃなくて、フィッシング詐欺の被害者になっただけです。入力した直後に自分で気づいて動けたのは、大人でもなかなかできないことだと思う。
2. やらかし名無しさん（>>1への返信）
たぶん投稿者が言いたいのは「自分のせいで学区がハッキングされた」という意味であって、自分が犯人だと名乗っているわけじゃないと思う。タイトルの付け方が真面目すぎるだけ。
3. やらかし名無しさん
未成年なら、今すぐ先生か家の大人に話すこと。大学生なら大学の情報セキュリティ担当に連絡を。これは規模によっては本当に危ない話なので、明日まで待たずに動いたほうがいい。
4. やらかし名無しさん（>>3への返信）
投稿者です。学校側はもう把握して動いてくれていて、私のパスワードは職員の手で変更されました。連絡がついた時点でだいぶ気持ちが軽くなりました。
5. やらかし名無しさん（>>4への返信）
よかった、ひとまず一安心ですね。ところで、新しいパスワードは何になったのか、そこがいちばん気になっているのは私だけでしょうか。
6. やらかし名無しさん（>>5への返信）
うちの学区の窓口は、誰のを再設定するときも決まって同じ簡単な文字列に戻していた。おかげで生徒の間では合言葉みたいに知れ渡っていて、正直あそこがいちばんの穴だったと思う。
7. やらかし名無しさん
学区の情報システム部門で働いています。乗っ取られたアカウントの対応なんて、うちでは週に何件も出ます。本当によくあることなので、必要以上に自分を責めないでほしい。生徒も職員も管理者の権限は持っていないので、一つのアカウントが取られても、そこから全体が壊れる作りにはなっていません。
8. やらかし名無しさん（>>7への返信）
現場の人がそう言ってくれるのは、今の投稿者にとっていちばんの薬だと思う。ただ、学校の全員に流れたとなると規模が普段の話とは違う気もするので、そこは正直どうなんでしょう。
9. やらかし名無しさん（>>8への返信）
そこは大丈夫で、この手のメールは届く前に自動でまとめて止まる仕組みが入っています。実際、投稿者の一通目も配信されずに止まっている。手作業で全部追いかけているわけではありません。
10. やらかし名無しさん
気になったんだけど、家からだと生徒が自分のパスワードを変えられない、っていう設定のほうが問題では。本人が気づいて止めようとしているのに、学校まで行かないと何もできないって、被害を広げるための仕様じゃないか。
11. やらかし名無しさん（>>10への返信）
そのうえ緊急の連絡窓口もなくて、返ってくるのは職員の休暇を知らせる自動返信だけ。この状態で「生徒が気をつければいい」で片付けるのは、さすがに学校側に甘すぎると思う。
12. やらかし名無しさん
怪しいリンクを開いてパスワードを入れる、というのは古典的中の古典的な失敗です。責めるつもりはないけれど、これは一度やると本当に忘れないので、次からは絶対に大丈夫になると思う。
13. やらかし名無しさん（>>12への返信）
その書き方だと、自分が初めてインターネットに触れた頃のことを思い出してしまう。ちなみに90年代です。あの頃に比べれば、疑ってから開いているだけ立派なものですよ。
14. やらかし名無しさん
学校側で対応する立場だったけど、こういう生徒は毎年一人か二人は必ず出る。うちは送信済みのメールを回収して、リンクを遮断して、引っかかった人に個別に連絡していました。だいたい二人分のパスワードが取られる前に封じ込められましたよ。
15. やらかし名無しさん
みんなあっさり流しているけど、最後の一行がとんでもないと思う。「例の友人が仕返しのハッキングを試みている」って、そこだけ話のジャンルが変わっているじゃないか。二人とも無事でいてほしい。
16. やらかし名無しさん（>>15への返信）
面白がる気持ちは分かるけど、本職の詐欺グループに素人が手を出すのは本当にやめたほうがいい。あれだけの数のメールを一気に流せる時点で相手は道具も手順も持っているので、こちらの情報を掘り返される側に回りかねない。
17. やらかし名無しさん
私がいちばん立派だと思ったのは、気づいた直後に自分から「乗っ取られました」と全員に送ったところ。あれは相当恥ずかしいはずで、普通の人はバレないことを祈って黙る。あの一通で救われた人が確実にいる。
18. やらかし名無しさん
差出人が、しばらく学校を休んでいた先生の名前だったというのが本当にたちが悪い。「久しぶりに戻ってきて事務処理をしているんだな」と思わせる材料が最初から揃っていたわけで、これは条件が悪すぎる。
19. やらかし名無しさん
署名の部分だけ教育長の名前にしてある、というのが地味にいちばん怖い。生徒の名前で来たら誰かは疑うけれど、いちばん偉い人の名前が入っていたら信じてしまう人が出る。完全に分かってやっている。
20. やらかし名無しさん
接続していた端末が南アフリカのケープタウンだった、という一文で背筋が寒くなった。地球の反対側にいる誰かにとって、アメリカの高校の連絡網が仕事の材料になっているという事実がすごい。
まとめ
怪しいと思いながら開いてしまった一通のメールから、投稿者の学校アカウントは乗っ取られ、過去の連絡相手と学校のアドレス帳に載っている全員へ、彼の名前で詐欺メールがばらまかれた。海外の反応は「これはハッキングではなく、あなたが被害者だ」と落ち着かせる声が中心で、学区の情報部門で働く人からは「週に何件もある。全体が壊れる作りにはなっていない」という現場からの安心材料も出た。一方で「家から自分のパスワードすら変えられない設定こそ問題だ」と学校側の管理体制に矛先を向ける意見や、「仕返しのハッキングだけは絶対にやめろ」という真顔の忠告も並んだ。最も評価されていたのは、恥を承知で自分から全員に「乗っ取られました」と送った一通である。やらかした後にどう動くかで、被害の大きさは変わる。
コメント