メールセキュリティ：受信・送信・なりすましの3方向で穴を探す順番

メールセキュリティとは、届く攻撃を止め、送るときの誤りを防ぎ、自社名のなりすましを減らす取り組みです。製品の話に入る前に、この3方向のどこが手薄かを確かめます。

何から手を付けるか

費用のかからない決まりから順に進めます。

1. 振込先の変更はメール以外で確かめると決める
2. 怪しいメールを開いてしまったときの報告先を決める
3. メールのアカウントに多要素認証を付ける
4. 自社ドメインにSPFとDKIMを設定する
5. DMARCをnoneから始める
6. 誤送信の防止とファイルの送り方を見直す
7. 足りない部分に製品を足す

受信：どんな攻撃が届くのか

量の多いものから見ます。警察庁の令和8年上半期の報告⁠によると、フィッシング報告は約73万件でした。フィッシング対策協議会の2026年9月の報告では94,661件で、前の月から約15.0%増えています。

警察庁の報告は、AI技術の発達で文章が自然になり、見抜きにくくなったと述べています。だから見分け方の教育だけに頼らず、「リンクから開かず公式サイトから入る」「IDとパスワードを入れる前に立ち止まる」⁠と⁠い⁠う手順で教えます。

メールセキュリティ製品⁠で届く量を減らし、すり抜けた分は社員の報告で拾います。開いてしまった社員を責めると、報告が遅くなります。「すぐ言ってくれて助かった」⁠と返す文化のほうが被害を小さくします。

ビジネスメール詐欺は、仕組みで止める

ビジネスメール詐欺は、取引先や経営者になりすまして、偽の口座へ送金させる攻撃です。IPAの10大脅威 2026⁠の組織編では10位⁠に挙げられています。解説書は、振込先の変更依頼を受けたらメール以外の方法で取引先に確かめる対策を示しています。

経理の担当者に見破りを求めるのではなく、次のような決まりにします。

• 振込先の変更は、登録済みの電話番号へかけて確かめる
• メールに書かれた電話番号にはかけない
• 急ぎでも、確認を省く権限を持つ人を作らない
• 社長名の急な送金依頼も同じ手順で確かめる

標的型攻撃メールや偽の請求書の対策には、訓練サービスという選択肢もあります。開封率で人を評価せず、報告が何分で来たかを見ると、続けやすくなります。

なりすまし：SPF・DKIM・DMARCの役割

自社名を騙ったメールを減らし、自社のメールを届きやすくするのが、この3つ⁠の設定です。

取引先に届かなくなる問題とも関わります。Googleの送信者ガイドラインは、Gmailの個人アカウントに送る全ての送信者にSPFまたはDKIMを求め、1日5,000件⁠を超えて送る送信者にはSPF、DKIM、DMARCのすべてを求めています。DMARCのポリシーはnoneでもよいとされています。

強める段階も大切です。フィッシング対策協議会の同じ報告は、運用者に向けてrejectへの変更を計画するよう求めています。ただ、いきなり強くすると、請求書の配信サービスや予約システムから送っている正規のメールが止まることがあります。レポートで送信元を確かめてから段階を上げます。レポートの読み取りに手が回らないなら、DMARCの運用支援サービス⁠を使う方法があります。

乗っ取られた自社のメールにも備える

攻撃は外から届くだけではありません。自社のメールのアカウントが乗っ取られると、過去のやり取りをもとに取引先へ偽のメールが送られることがあります。多要素認証を手順の3番目に置いたのは、そのためです。身に覚えのない自動転送の設定がないかも、ときどき確かめます。

送信：誤送信とファイルの渡し方

誤送信は攻撃ではありませんが、取引先の信用に関わる事故です。宛先の確認画面や送信の一時保留は誤送信防止の仕組み⁠で実現できますが、宛先の自動入力を切る、社外宛は上長を入れるといった設定でも減らせます。

個人情報を含む誤送信は、法律の報告の対象になることがあります。判断の基準は情報漏えい・内部不正⁠に書きました。

PPAPとは、パスワード付きのZIPファイルを送り、同じ経路で別のメールにパスワードを送る方法です。同じ経路なので、メールを盗み見られれば両方とも見られてしまいます。また受信側の検査が中身を見にくくなるという問題もあります。代わりに使うのが、期限やアクセスの記録を付けられるファイル転送サービスです。

クラウドのメールを使っている場合の設定はクラウドセキュリティに、全体の順番はセキュリティ対策の全体像⁠にまとめています。