多忙をねぎらう感謝のメールに見えたそれは、リンクをクリックした職員を記録するためのフィッシング訓練だった。カナダ・ニューファンドランド・ラブラドール州の医療機関 NL Health Services（NLHS）が2026年6月に送信した訓練メールは、医療従事者の強い反発を招き、組織のトップが公式に謝罪する事態にまで発展した。セキュリティ教育が従業員との信頼関係の上に成り立っていることを、あらためて突きつけた一件である。
「6月の祝日」と題されたメール
CBCニュースの報道によると、NLHSは新しい医療情報システム「CorCare」の導入にあたって職員が払った労力に報いるとして、全職員に有給休暇を1日付与すると通知した。件名は「June Holiday（6月の祝日）」。6月17日までにリンクをクリックして手続きするよう求める内容で、末尾は職員のケアとプロ意識、献身に感謝する言葉で結ばれていたという。
実際には、このメールはリンクをクリックした職員を把握するための内部のサイバーセキュリティ訓練だった。休暇は存在しなかった。
CorCare は10年間で6億カナダドル規模の費用が見込まれる大型システムで、2026年4月25日に稼働を開始したばかりだった。導入直後の現場は混乱の渦中にあり、職員はその対応に追われていたとされる。
「非常に趣味が悪い」 労働組合が相次いで批判
CBCの報道によると、登録看護師組合（RNU）のイベット・コフィー会長は、組合員はCorCareの導入で疲弊しきっており、トラブル対応と強制的な時間外労働が続いていたと訴えた。休暇申請が却下された例もあり、離職を選んだ職員もいたという。コフィー氏はこの訓練を、組合員に対して非常に無神経で無礼なものだったと批判し、謝罪だけでは足りず、誰かが責任を負うべきだと述べたと報じられている。
州公務・民間従業員協会（NAPE）のジェリー・アール会長も、残酷ないたずらだとして強い不快感を示し、内部調査と、訓練を実施した責任者を職務から外すことを求めた。州医師会（NLMA）のデイビッド・メトカーフ会長は、これがテストだったと知って、士気がすでに低下していた時期に多くの職員が意気消沈したとの声明を出している。
CEOが謝罪し、承認プロセスを調査
NLHSは2026年6月17日、公式サイトに謝罪文を掲載した。ロン・ジョンソン暫定最高経営責任者（CEO）は「今回の訓練で取ったアプローチが適切でなかったことを認識しており、従業員、医師、そして労働組合の代表者の皆様に心よりお詫び申し上げます」とコメント。「いただいたご意見を重く受け止め、今後の意識向上訓練をどのように策定し、どのように伝えるかを見直しています」と述べ、訓練が従業員や医師の視点と組織の価値観を反映したものであるべきだとした。
CBCによれば、デジタルヘルス担当副社長で暫定最高情報責任者（CIO）を兼ねるスティーブ・ロッキャー氏も職員向けのメールで謝罪し、訓練の作り方と伝え方をいったん立ち止まって見直すと説明した。
ジョンソン氏は報道陣に対し、自身もこのメールを受け取り、その無神経さを感じたと語ったと報じられている。承認プロセスについては調査が進められており、そこにはキャンペーンでNLHSと協働していたコンサルティング会社アーンスト・アンド・ヤング（EY）とのやり取りも含まれるという。処分の有無を問われた際には、まず経緯の把握を進めている段階であり、その種の話をするには早すぎると答えたとされる。
訓練の「餌」が組織の信頼を壊すとき
疑似フィッシングメールを送って従業員の反応を測る訓練は、日本でも標的型攻撃メール訓練として広く普及している。攻撃者が実際に使う手口を体験させる以上、ある程度もっともらしい文面が必要になるのは確かだ。
問題は題材の選び方にある。給与、賞与、休暇、人事評価といった、従業員の生活に直結するテーマは、確かに攻撃者が好んで悪用する。しかし同じ餌を雇用主自身が使うと、それは訓練ではなく裏切りとして受け止められる。とりわけ今回のように、現場が長時間労働と休暇の取りにくさに苦しんでいる最中であれば、なおさらだ。NLHSが調査の対象にしたのも、まさにこのメールがどのような承認を経て送られたのかという点だった。
訓練の設計と承認は、外部委託先やセキュリティ部門だけで完結させるべきものではない。文面を現場の管理者や人事部門がレビューする体制、そして「今この時期にこの題材を使うのか」を問い直す工程が要る。
もう一点、指標の置き方も見直す余地がある。クリック率の低さだけを成果とすると、訓練は職員を引っかける競技になりやすい。実際の攻撃で被害を左右するのは、不審なメールが速やかに情報システム部門へ報告されるかどうかだ。報告率を主要な指標に据え、クリックした職員を責めない運用にすれば、訓練は職員を試す道具ではなく、組織の防御力を測る仕組みに近づく。
セキュリティ教育の目的は、従業員に「うちの会社のメールは信用できない」と学ばせることではない。今回の一件は、その当たり前を痛みを伴う形で示した事例といえる。
同じ手口に、自社は備えられていますか？