メールセキュリティ：受信・送信・なりすましの3方向で穴を探す順番

メールセキュリティとは、届く攻撃を止め、送るときの誤りを防ぎ、自社名のなりすましを減らす取り組みです。製品の話に入る前に、この3方向のどこが手薄かを確かめます。

何から手を付けるか

費用のかからない決まりから順に進めます。

1. 振込先の変更はメール以外で確かめると決める
2. 怪しいメールを開いてしまったときの報告先を決める
3. メールのアカウントに多要素認証を付ける
4. 自社ドメインにSPFとDKIMを設定する
5. DMARCをnoneから始める
6. 誤送信の防止とファイルの送り方を見直す
7. 足りない部分に製品を足す

受信：どんな攻撃が届くのか

量の多いものから見ます。警察庁の令和8年上半期の報告⁠によると、フィッシング報告は約73万件でした。フィッシング対策協議会の2026年9月の報告では94,661件で、前の月から約15.0%増えています。

警察庁の報告は、AI技術の発達で文章が自然になり、見抜きにくくなったと述べています。だから見分け方の教育だけに頼らず、「リンクから開かず公式サイトから入る」「IDとパスワードを入れる前に立ち止まる」⁠と⁠い⁠う手順で教えます。

メールセキュリティ製品で届く量を減らし、すり抜けた分は社員の報告で拾います。開いてしまった社員を責めると、報告が遅くなります。「すぐ言ってくれて助かった」⁠と返す文化のほうが被害を小さくします。

ビジネスメール詐欺は、仕組みで止める

ビジネスメール詐欺は、取引先や経営者になりすまして、偽の口座へ送金させる攻撃です。IPAの10大脅威 2026⁠の組織編では10位⁠に挙げられています。解説書は、振込先の変更依頼を受けたらメール以外の方法で取引先に確かめる対策を示しています。

経理の担当者に見破りを求めるのではなく、次のような決まりにします。

• 振込先の変更は、登録済みの電話番号へかけて確かめる
• メールに書かれた電話番号にはかけない
• 急ぎでも、確認を省く権限を持つ人を作らない
• 社長名の急な送金依頼も同じ手順で確かめる

標的型攻撃メールや偽の請求書の対策には、訓練サービスという選択肢もあります。開封率で人を評価せず、報告が何分で来たかを見ると、続けやすくなります。

なりすまし：SPF・DKIM・DMARCの役割

自社名を騙ったメールを減らし、自社のメールを届きやすくするのが、この3つ⁠の設定です。

取引先に届かなくなる問題とも関わります。Googleの送信者ガイドラインは、Gmailの個人アカウントに送る全ての送信者にSPFまたはDKIMを求め、1日5,000件⁠を超えて送る送信者にはSPF、DKIM、DMARCのすべてを求めています。DMARCのポリシーはnoneでもよいとされています。

強める段階も大切です。フィッシング対策協議会の同じ報告は、運用者に向けてrejectへの変更を計画するよう求めています。ただ、いきなり強くすると、請求書の配信サービスや予約システムから送っている正規のメールが止まることがあります。レポートで送信元を確かめてから段階を上げます。レポートの読み取りに手が回らないなら、DMARCの運用支援サービスを使う方法があります。

乗っ取られた自社のメールにも備える

攻撃は外から届くだけではありません。自社のメールのアカウントが乗っ取られると、過去のやり取りをもとに取引先へ偽のメールが送られることがあります。多要素認証を手順の3番目に置いたのは、そのためです。身に覚えのない自動転送の設定がないかも、ときどき確かめます。

送信：誤送信とファイルの渡し方

誤送信は攻撃ではありませんが、取引先の信用に関わる事故です。宛先の確認画面や送信の一時保留は誤送信防止の仕組みで実現できますが、宛先の自動入力を切る、社外宛は上長を入れるといった設定でも減らせます。

個人情報を含む誤送信は、法律の報告の対象になることがあります。判断の基準は情報漏えい・内部不正⁠に書きました。

PPAPとは、パスワード付きのZIPファイルを送り、同じ経路で別のメールにパスワードを送る方法です。同じ経路なので、メールを盗み見られれば両方とも見られてしまいます。また受信側の検査が中身を見にくくなるという問題もあります。代わりに使うのが、期限やアクセスの記録を付けられるファイル転送サービスです。

クラウドのメールを使っている場合の設定はクラウドセキュリティに、全体の順番はセキュリティ対策の全体像⁠にまとめています。