メールセキュリティとは？受信・送信・なりすましの3方向で考える対策

メールセキュリティとは、会社のメールを、届く攻撃、送るときの誤り、自社名のなりすましの3方向から守る取り組みです。

今日やることは、下の3つ⁠の質問に社内で答えることです。答えに詰まった所が、足りない所です。

1. 取引先から「振込先が変わった」⁠とメールが来たら、誰がどの方法で確かめますか
2. 図面や見積書を社外へ送る方法は、会社で決まっていますか
3. 自社名をかたるメールが送られても受信側で見分けられるよう、SPF、DKIM、DMARCを設定していますか

なぜ3方向に分けて考える？

メール対策と聞くと、迷惑メールを止める製品を思い浮かべがちです。ただ、その製品が見ているのは主に、外から届くメールです。誤った宛先へ自社の社員が送るメールや、他人が自社名で第三者へ送るメールは、別の仕組みで考えます。

3方向は担当も違います。受信の製品は情シス、送金の決まりは経理、ファイルの渡し方は現場、DMARCはドメインの管理者が関わります。だから「メールは対策済み」⁠と一言でまとめると、抜けが見えません。

受信：何が届いて、何を決めておく？

受信で多いのは、偽サイトへ誘導するフィッシング、送金をだますビジネスメール詐欺、特定の組織を狙う標的型攻撃メールです。IPAの解説（2026年8月）⁠は⁠、これらの手口と被害を中小企業の担当者向けにまとめています。

規模感は、警察庁の2026年上半期の資料から分かります。フィッシングの報告は、フィッシング対策協議会によれば約73万件でした。同じ資料は、AI技術の発達で文章が自然になり、見抜きにくいものが増えていると説明しています。

社長の名をかたる「ニセ社長詐欺」⁠も同じ資料に載っています。2026年1〜6月⁠の認知件数は127件⁠、被害額は約38億8,000万円で、既遂1件あたり約3,100万円でした。SNSのグループへ誘導し、法人口座の残高を聞き出してから送金させる流れです。

金額が大きいので製品の話になりがちですが、この手口に効くのは社内の決まりです。IPAの解説が事前の対策の最初に挙げているのは、送金の承認ルールでした。

製品は、今使っているメールサービスの機能を確かめてから足りない所を選びます。IPAは検知の手段として、ウイルス対策ソフト、UTM、メールサービスのフィッシング・迷惑メール対策を挙げています。追加を考える段階では、メールセキュリティ製品の比較で、対応している機能と運用の負担を見比べられます。

どの製品でも、すり抜けはあります。IPAも、受信ボックスに届いた攻撃メールを社員が報告することを、検知の一環と位置づけています。報告の流れは開いてしまった社員を責めない社内の動き⁠に分けました。

製造業なら、受信でどこを見る？

海外や遠方の仕入先と、メールで請求や振込先をやり取りしている会社は、経理の流れを先に見ます。

総務省の被害事例には、海外から部品を仕入れる会社の話が載っています。取引先に似せたアドレスから振込先変更の連絡が届き、その月から変更後の口座へ振り込んだものの、翌月に取引先からの督促で偽物と分かりました。資金はすでに引き出されていたという内容です。

この事例の予防法は、前任の担当者への確認、電話などメール以外の手段での確認、チェックシート化、複数名でのチェックです。どれも製品がなくても始められます。

たとえば、月末に仕入先へ送金する部品メーカーの場合、「振込先の変更は、登録済みの電話番号へかけ直して確かめ、2人⁠で確認してから口座を変える⁠」⁠と1行決めるだけで、経理の動きが変わります。電話番号はメールに書かれたものを使わないところが要点です。

送信：誤りはどこで防ぐ？

送信の問題は、攻撃がなくても起こります。IPAの中小企業向けガイドライン第4.0⁠版⁠の自社診断には、「電子メールやFAXの宛先の送信ミスを防ぐ取り組み⁠」⁠と「重要情報の受け渡しを暗号化など安全な手段で行っているか⁠」⁠が項目として入っています。

パスワード付きZIPを送り、別のメールでパスワードを送る方法は、宛先の誤りには強くありません。総務省の事例は、2通とも同じ誤った宛先へ送ってしまうケースが多いため、本質的に有効とは言えないと説明しています。やめ方と取引先への伝え方は、PPAPをやめる理由と伝え方⁠で扱います。

防ぎ方は、宛先を間違えにくくする工夫と、間違えても読まれにくくする工夫の2つです。

• 間違えにくくする：社外へ添付して送る前に、別の人が確認する
• 間違えても読まれにくくする：権限がないと開けないクラウドストレージで渡す

全員の全メールに確認を挟むと続きません。図面、見積、個人情報など、確認が要るものを先に決めます。製品で補うなら、メール誤送信防止ツールの比較で、送信の保留や上長承認の有無を見ます。

個人データを誤って送ったときは、報告が必要かどうかを個人情報保護委員会の案内⁠で確かめます。誰が判断するのかも、平時に決めておきます。

なりすまし：自社名で送られるのをどう防ぐ？

3つ目は、自社が受け取るメールではなく、他人が自社の名前で送るメールの話です。自社の製品をいくら強くしても、この経路には届きません。

IPAの解説は、送信元がSPFやDMARCなどを適切に設定していない場合、メールソフトに表示される差出人は偽装が可能だと説明しています。取引先を守るために自社の送信元を設定する、という順番になります。

設定があるかどうかは、自社ドメインのDNSを管理している担当者か委託先に聞けば分かります。ドメインの管理者が誰か分からない場合は、そこから確かめます。

この設定は、自社のメールが相手に届くかどうかにも関わります。Googleの送信者ガイドラインは、Gmailアカウントへ送るすべての送信者にSPFまたはDKIMの設定を求めています。

設定の順番と届かなくなる理由は、DMARCの設定と会社のメールが届かなくなる理由⁠にまとめました。支援を頼むなら、DMARC導入・運用支援サービスの比較で、レポートの読み取りまで含むかどうかを確かめます。

どの順番で手を付ける？

費用がかからず、被害額に直結するものから進めます。

1. 振込先の変更を確かめる決まりを作る
2. メールの多要素認証を確かめ、未設定なら設定する
3. 不審なメールの報告先を1か所に決める
4. 外部へファイルを送る決まりを作る
5. SPF、DKIM、DMARCの有無を確かめる
6. メールサービスの標準機能を確かめ、足りない所に製品を足す

順番は会社で変わります。メールの配信や取引先への通知が多い会社は、5を早めたほうが、届かないトラブルを防げます。

大切なのは、1つ⁠の製品を入れて終わりにしないことです。答えに詰まった質問があれば、そこから担当を決めてください。メールのほかの論点はメールセキュリティの一覧⁠に置いています。

全体の順位づけを確認したいときは、IPAの情報セキュリティ10大脅威 2026⁠が参考になります。組織編では、機密情報を狙った標的型攻撃が5位⁠、ビジネスメール詐欺が10位でした。