迷惑メール対策の完全ガイド｜受信・送信・法務まで実務手順を解説

企業の迷惑メール対策は、受信側のフィルター設定だけでは終わらず、4つを組み合わせて進めるのが基本です。受信箱の手前でメールを止める受信側の設定、自社ドメインを名乗る偽メールを防ぐ送信ドメイン認証（SPF・DKIM・DMARC）、怪しいメールを開いたときの報告と初動のルール、自社が広告メールを送るときの特定電子メール法への対応です。本記事では、迷惑メールが届く原因と種類から、受信側の設定手順、自社のメルマガが迷惑メール扱いされないための送信対策、フィッシングメールの見分け方、法令の要点、部署ごとの役割分担までを順に解説します。

目次

開く

閉じる

1. 迷惑メール対策は技術だけで終わらない｜社内ルールと法令対応の進め方
2. 迷惑メールが届く原因｜企業のメールアドレスが知られる経路
3. 迷惑メールの種類｜スパム・フィッシング・標的型
4. 受信側でできる迷惑メール対策【設定手順】
5. 送信側の対策｜SPF・DKIM・DMARCとは
6. 自社のメルマガ・案内メールが迷惑メール扱いされないための送信対策
7. フィッシングメールの見分け方
8. 迷惑メール対策における法務論点｜特定電子メール法
9. 部署別に見る迷惑メール対策の役割分担
10. 対策でよくある失敗パターン
11. よくある質問(FAQ)
12. まとめ
13. 参考文献

迷惑メール対策は技術だけで終わらない｜社内ルールと法令対応の進め方

迷惑メール対策とは、受信側のフィルター設定、送信側の認証設定、社内の報告ルール、法令への対応の4つを重ねて、業務メールのリスクを下げる取り組みです。

前の2つはメールサービスやセキュリティ製品の機能で進められますが、「怪しいメールを開いたら誰に報告するか」「広告メールを送る前に何を確認するか」といったルールと法令の部分は、設定だけでは決まりません。ルールを規程として文書にして更新し続ける作業と、判断が分かれる論点を専門家に確認する作業が必要です。技術の手順は次のH2以降で順に説明し、ここでは文書づくりと法務確認を支える2つのサービスの役割を並べます。

社内のメール利用ルールや情報セキュリティ規程を整える場合の一例が「LAWGUE」です。契約書や社内規程の作成・検索・レビューをAIエディタで行うクラウドツールで、編集履歴・コメント履歴が自動で保存され、改訂前後を比べる新旧対照表の作成にも対応しています。迷惑メール対策のルールは、手口や法令の変化に合わせて見直すことが前提のため、版の管理ができる形にしておくと運用しやすくなります。一方で、導入前にトライアルを行う流れのため、本格的な利用開始までに数か月かかる場合があります。料金はプランによって異なるため、資料や公式サイトで確認してください。

株式会社すららネットは、導入前の課題を「過去の類似契約の検索や修正履歴がない契約書の差分比較に手間がかかっていた」とし、導入後は「文書検索のUXが優れており、類似契約の検索を大幅に効率化」できたとしています。

出典：LAWGUE 導入事例 株式会社すららネット

迷惑メールが届く原因｜企業のメールアドレスが知られる経路

企業に迷惑メールが多く届く主な原因は、メールアドレスが公開されていること、推測されやすいアドレスを使っていること、過去に登録したサービスなどから流出していることの3つです。

原因	何が起きているか	見直すこと
アドレスの公開	Webサイト、名刺、問い合わせ窓口などで公開されたアドレスは、送信側に知られやすい	問い合わせはフォームにし、担当者個人のアドレスの掲載を減らす
推測されやすいアドレス	「info」「sales」のような一般的な名前や単純な文字列は、プログラムで自動生成して送る手口に当たりやすい	用途ごとにアドレスを分け、不要になった共有アドレスは廃止する
登録先・取引先からの流出	外部サービスへの登録や、過去の情報漏えいを通じて、アドレスが送信側に渡ることがある	業務に不要なサービスへの登録を避け、登録するときは用途専用のアドレスを使う

総務省のパンフレットは、プログラムにより自動的に作成された、利用者のいない電子メールアドレス（架空電子メールアドレス）あての送信を、特定電子メール法の規制の対象として挙げています。アドレスを自動で作って送る手口があることは、国も前提にしていると言えます。

アドレスを変えても迷惑メールが来るのはなぜか

アドレスを変えても迷惑メールが止まらないのは、原因が「アドレスそのもの」ではなく、公開の仕方や登録先にあるためです。同じ名前の組み合わせで推測されたり、新しいアドレスを前と同じサービスに登録したりすれば、再び知られてしまいます。変更するときは、公開の方法と、新しいアドレスを登録する先の両方を見直しましょう。

迷惑メールを増やさないための基本動作

届いた迷惑メールへの返信や不用意な操作は、アドレスが使われていることを相手に知らせるきっかけになります。NTT東日本の解説は、開封したことが送信側に伝わる仕組み（Webビーコン）があり、開封によってアドレスが有効だと知られるおそれがあると説明しています。次の3点を、社内の基本動作として決めておきます。

1. 怪しいメールは開かず、返信もしない。決められた窓口に転送して報告する
2. 本文のリンクや添付ファイルを操作しない。配信停止のリンクも、正規の配信元と確認できない場合は押さない
3. 同じメールが複数の社員に届いていないか、窓口で集約して確認し、必要なら全社に注意喚起する

迷惑メールの種類｜スパム・フィッシング・標的型

迷惑メールとは、受信者の意思に関係なく一方的に送られてくるメールの総称で、目的別に広告宣伝・フィッシング・ウイルス・標的型・架空請求の5種類に分けられます。スパムの意味や語源はスパムとは？意味・語源・種類から見分け方と個人・企業の対策までわかりやすく解説で詳しく説明しているため、ここでは企業にとっての危険性に絞って整理します。

種類	主な目的	企業にとっての危険性
広告宣伝メール（スパム）	商品・サービスの宣伝、サイトへの誘導	大量に届くと業務メールが埋もれ、見落としの原因になる
フィッシングメール	偽サイトに誘導し、IDやパスワード、カード情報を盗む	業務アカウントの乗っ取り、不正送金、情報漏えい
ばらまき型のウイルスメール	添付ファイルやリンクでマルウェアに感染させる	社内ネットワークへの感染拡大、ランサムウェアによる業務停止
標的型攻撃メール	特定の企業・担当者を狙い、機密情報を盗む	実在の取引先や業務を装うため見破りにくく、被害が長期化しやすい
架空請求・詐欺メール	存在しない請求で金銭をだまし取る	経理担当が誤って支払うと、回収が困難になる

近年は、実在する企業やサービスのドメインを装った「なりすまし」が巧妙になり、自然な日本語で、実際の取引の流れに合わせた件名や本文で届くケースが増えています。NTT東日本の解説も、日本語の不自然さだけで見分けるのは難しく、生成AIによって自然な文章も増えていると指摘しています。過去に流行したマルウェアのEmotet（エモテット）のように、感染した端末のアドレス帳や過去のメールのやり取りを悪用し、実在の取引先からの返信を装って届く手口もありました。

もう一つ見落とされやすいのが、自社が被害者になるだけでなく「加害者側に見えてしまう」リスクです。社員の端末が感染して取引先にウイルスメールが送られたり、自社のドメインを名乗る偽メールが顧客に届いたりすると、攻撃を受けた側であっても、取引先や顧客からの信頼を損なうことになります。迷惑メール対策は、受信の防御と同時に、自社の名前を悪用されないための対策でもあるのです。

受信側でできる迷惑メール対策【設定手順】

受信側の迷惑メール対策は、迷惑メールを受信箱に届く前に止める仕組みと、届いてしまったときに開かせない仕組みを重ねる多層防御が基本で、1つの設定だけでは防ぎきれません。

対策	設定・実施の方法	主な担当
メールサーバー・プロバイダーの迷惑メールフィルター	契約中のメールサービスの管理画面で、迷惑メール判定を有効にし、判定したメールを専用フォルダへ振り分けるか、件名に「SPAM」等の識別表示を付ける	情報システム担当
送信ドメイン認証の結果による判定	受信時にSPF・DKIM・DMARCの検証結果を確認し、認証に失敗したメールを隔離または警告表示する	情報システム担当
メールソフトの迷惑メール機能	Outlook・Gmail等の迷惑メール設定で、受信拒否リストや、外部からのメールに注意表示を出す設定を行う	各社員（設定方法は情シスが周知）
セキュリティ対策ソフト・UTM	端末のウイルス対策ソフトで添付ファイルを検査し、ネットワークの出入口ではUTM等でウイルスや不正サイトへの通信を止める	情報システム担当
メールアドレスの運用見直し	Webサイトにはアドレスを直接載せず問い合わせフォームにする、推測されやすい単純なアドレスを避ける、共有アドレスの用途を絞る	総務・Web担当
OSやソフトの更新	OS・ブラウザ・メールソフト・Office製品の更新を自動にし、添付ファイル経由で悪用される脆弱性をふさぐ	情報システム担当・各社員

設定を進める順序

設定は、対象のメールサービスを把握してから、サーバー側、端末側、運用の順に進めると抜けが出にくくなります。

1. 自社で使っているメールサービス（独自ドメインのメールサーバー、Microsoft 365、Google Workspaceなど）と、利用している端末の一覧を作る
2. メールサービスの管理画面で、迷惑メールフィルターを有効にし、判定したメールの扱い（隔離・識別表示）を決める
3. 送信ドメイン認証の検証結果を、受信時の判定に使う設定を確認する
4. 端末のウイルス対策ソフトとOS・メールソフトの自動更新を有効にする
5. 隔離フォルダを誰がいつ確認するか、怪しいメールの報告先はどこかを決めて、社員に周知する

フィルターの判定方法と誤判定への備え

迷惑メールフィルターは、送信元のIPアドレスやドメインの評判（レピュテーション）、件名や本文に含まれる語句、送信ドメイン認証の結果、添付ファイルのウイルス検査などを組み合わせて判定します。AIによる学習で判定精度を高めているサービスもあります。

注意したいのは、判定を厳しくするほど、正規の取引先のメールまで迷惑メールと判定される「誤判定」が増えることです。導入直後は、判定したメールを削除せず専用フォルダに隔離する設定にしておき、社員が定期的に確認できるようにしておくと安心です。重要な取引先のドメインは許可リストに登録しておく方法もありますが、許可リストに入れたドメインを装うなりすましメールは素通りしてしまうため、登録は必要最小限にとどめます。

技術対策と同時に決めておく社内ルール

フィルターをすり抜けたメールに対応するのは、最終的には社員一人ひとりです。そのため、技術対策と同時に「怪しいメールが届いたら開かずに誰に報告するか」「誤って開いたらまず何をするか」「報告した社員を責めない」といったルールを決め、社員に周知しておくことが欠かせません。報告の窓口を一本化しておくと、同じ迷惑メールが複数の社員に届いているかどうかを早く把握でき、全社への注意喚起も素早く行えます。

こうしたルールは、決めて終わりではなく、手口の変化や組織の変更に合わせて更新し続ける必要があります。口頭の申し合わせのままだと、担当者が替わったときに引き継がれません。報告先や初動の手順は、版を管理できる文書にしておくと運用しやすくなります。

送信側の対策｜SPF・DKIM・DMARCとは

送信ドメイン認証とは、受け取ったメールの送信元ドメインが正規のものかを受信側が確かめられるようにする技術で、SPF・DKIM・DMARCの3つが中心です。

自社のドメインで設定しておくと、自社を名乗る偽メールを受信側が見分けやすくなり、自社が送った正規のメールが迷惑メールと誤判定されにくくなります。警察庁のフィッシング対策のページでも、事業者向けの対策として「自社のドメインの悪用を防止する観点で送信ドメイン認証技術の導入を検討する」ことが挙げられています。

技術	何を確かめるか	設定の概要
SPF	メールを送ったサーバーが、そのドメインの送信元として許可されているか	自社ドメインのDNSに、送信に使うサーバーのIPアドレスやサービスを記載したTXTレコードを登録する
DKIM	メールに付けた電子署名により、送信者の正当性と途中で改ざんされていないこと	メールサーバー側で署名を有効にし、検証用の公開鍵をDNSに登録する
DMARC	SPF・DKIMの結果と差出人アドレスのドメインが一致しているか、認証失敗時にどう扱うか	DNSにポリシー（何もしない・隔離・拒否）とレポートの送付先を記載したレコードを登録する

導入の進め方は「観察から段階的に」

送信ドメイン認証は、いきなり厳しい設定にすると、自社の正規のメールまで相手に届かなくなるおそれがあります。特に見落としやすいのが、メール配信サービスや予約システム、請求書発行システムなど、自社ドメインを名乗って外部のサービスからメールを送っているケースです。一般的には次の順序で進めます。

1. 自社ドメインでメールを送っているサーバー・外部サービスを洗い出す
2. SPFレコードに、洗い出した送信元をすべて含めて登録する
3. メールサーバーと各外部サービスでDKIM署名を有効にする
4. DMARCを「何もしない（none）」ポリシーで登録し、届くレポートで認証に失敗している送信元を確認する
5. 正規の送信元がすべて認証に通るようになったら、「隔離（quarantine）」、さらに「拒否（reject）」へ段階的に強める

Gmailへ大量に送る場合は設定が必須

Googleは、2024年2月1日以降、Gmailアカウントに1日あたり5,000件を超えてメールを送る送信者に対して、SPFとDKIMの設定、送信元ドメインへのDMARC設定（ポリシーはnoneでもよい）、迷惑メール率を0.3%未満に保つこと、マーケティングメールなどでワンクリックで配信登録を解除できるようにすることなどを求めています。大量に配信していなくても、この水準を目安に整えておくと、顧客の迷惑メールフォルダに振り分けられるリスクを減らせます。

メールを使っていないドメインも、なりすましに使われないよう「このドメインからはメールを送らない」ことを示す設定をしておくと安心です。

自社のメルマガ・案内メールが迷惑メール扱いされないための送信対策

自社の配信メールが迷惑メールに振り分けられないようにするには、送信ドメイン認証に加えて、配信リストの管理、同意の確認、送信元の評価を保つ運用の3点が要になります。

対策	内容	理由
自社の独自ドメインから送る	フリーメールではなく、自社ドメインのアドレスで配信する	送信元の身元を確認しやすく、認証を設定できる
送信ドメイン認証を設定する	SPF・DKIM・DMARCを、配信に使うサービスごとに確認する	認証がないと、なりすましと判定されるおそれがある
配信リストを整える	購入したリストは使わず、届かないアドレスや反応のない休眠読者への配信は見直す	存在しないアドレスへの送信が続くと、送信元の評価が下がりやすい
同意を得た相手にだけ送る	登録フォームなどで、広告メールを送ることがわかる形で同意を取る	特定電子メール法のオプトインにも当たる
配信停止を確実に反映する	停止の連絡を受けたら、全ての配信リストから外す	停止後の送信は法令上も禁止されている
送信元の評価を確認する	新しい配信環境では配信数を段階的に増やし、ブラックリストへの掲載がないかを確認する	共有IPの配信サービスでは、他の利用者の影響を受けることがある

ブラックリストへの掲載は、SpamhausやMXToolBoxといった確認サイトで調べられると、ウィルクラウドの解説が紹介しています。ただし、これらの対策は「必ず届く」ことを保証するものではなく、迷惑メール判定のリスクを下げるものです。

メルマガとステップメールを別々の配信サービスで運用していると、送信元の認証設定や配信停止の情報が分かれやすくなります。配信リストと停止情報は一か所で管理し、認証の設定は配信サービスごとに確認しましょう。

フィッシングメールの見分け方

フィッシングメールは、差出人のドメイン、リンク先、依頼の内容の3点を確認すると、多くの場合に見分けられます。金融機関、ECサイト、配送業者、クラウドサービス、さらには自社の取引先や社内の部署を装って届きます。

確認ポイント	怪しいサインの例
差出人の表示名とアドレス	表示名は実在の企業名なのに、アドレスのドメインが公式のものと違う、または1文字だけ違う
送信ドメイン認証の結果	メールの詳細（ヘッダー）でSPF・DKIM・DMARCがfailになっている
本文のリンク先	リンクにカーソルを合わせたときに表示されるURLが、公式サイトのドメインと異なる
内容と口調	「アカウントが停止されます」「至急ご確認ください」など、不安や急ぎを強調して操作を迫る
依頼の内容	パスワードやカード番号の入力、振込先口座の変更、添付ファイルのマクロ有効化を求める
身に覚え	利用していないサービスからの通知、取引のない相手からの請求書

特に企業で被害が大きくなりやすいのが、取引先を装って「振込先口座が変わった」と伝えるメールです。こうした依頼は、メールに記載された連絡先ではなく、以前から把握している電話番号などの別の手段で相手に確認することをルールにしておきましょう。警察庁も、メールやSMSのリンクは安易にクリックせず、公式サイトのブックマークや公式アプリから正規のサイトに接続するよう呼びかけています。

誤って開いてしまったときの初動

リンクを押してしまった、添付ファイルを開いてしまった場合は、被害を広げないための初動が重要です。慌てて自分で対処しようとせず、次の順で動くよう社内で決めておきます。

1. 端末をネットワークから切り離す（Wi-Fiをオフにする、LANケーブルを抜く）
2. 情報システム担当など決められた窓口にすぐ報告する（端末の電源は窓口の指示があるまで切らない）
3. IDやパスワードを入力してしまった場合は、別の端末から該当サービスのパスワードを変更する
4. カード情報を入力した場合はカード会社に、不正送金の疑いがあれば金融機関と警察に連絡する
5. 取引先に偽メールが送られた可能性があれば、注意喚起の連絡を行う

ランサムウェアへの感染が疑われる場合の対応はランサムウェア対策の手順と実践ガイド、業務で使うスマートフォンの対策はスマホ ウイルス対策の完全ガイドもあわせて参照してください。フィッシングサイトを見つけた場合は、フィッシング対策協議会への報告や、警察の相談窓口への相談もできます。取引先への連絡で「どこまで事実を伝えるか」「損害が出た場合に誰が負担するか」といった判断が必要になるときは、法務の観点からの確認も欠かせません。

迷惑メール対策における法務論点｜特定電子メール法

特定電子メール法は、広告宣伝メールを、あらかじめ同意した相手にだけ送るオプトイン方式を原則とする法律で、自社がメルマガや広告メールを送る場合に守る必要があります。

迷惑メール対策というと受け取る側の話に目が向きがちですが、顧客のつもりで送ったメールが、法律上は規制の対象になることもあります。総務省のパンフレット（2018年7月版）にもとづく主なルールは次のとおりです。最新の内容は、総務省・消費者庁の公表資料で確認してください。

ルール	内容	実務での確認ポイント
オプトイン（事前同意）	広告宣伝メールは、原則としてあらかじめ同意した相手にだけ送る。SMSなど電話番号あてのメッセージも対象	申込フォームなどで、広告メールを送ることがわかる形で同意を取っているか
同意の記録の保存	同意を得たことを示す記録（時期と方法など）を、最後に送信した日から1か月間保存する（措置命令を受けた場合は1年間）	いつ、どの画面で、どの文言で同意を得たかを後から示せるか
表示義務	送信者の氏名・名称、受信拒否の通知先（メールアドレスまたはURL）などをメールに表示する	メールのテンプレートに必要な表示が入っているか
受信拒否への対応	受信拒否の通知を受けた相手には、以後送らない	配信停止の手続きがわかりやすく、停止後に確実に送信対象から外れるか
送信者情報の偽装の禁止	送信に用いたメールアドレス、IPアドレス、ドメイン名を偽って送ることは禁止	配信サービス経由でも、送信者情報を正しく設定しているか

同意なしで送れる例外として、取引関係にある相手や、名刺などの書面で自らアドレスを通知した相手などが定められています。ただし、通信販売などの電子メール広告は特定商取引法も適用され、請求・承諾なしに送れません。罰則は、送信者情報を偽った場合などに、1年以下の懲役または100万円以下の罰金（法人は3,000万円以下の罰金）とされています。メールの配信を外部の配信サービスや代理店に委託している場合でも、規制の対象は送信者と送信委託者であり、委託したから責任がなくなるわけではありません。

このほか、迷惑メールの被害に関しても法務の論点はあります。社員の誤操作で顧客の個人情報が漏えいした場合の個人情報保護委員会への報告や本人への通知、なりすましメールで取引先に損害が出た場合の説明や責任の考え方、社員のメール利用ルールを就業規則や情報セキュリティ規程にどう定めるか、といった点です。これらは技術の担当者だけでは判断しにくく、法務の専門家に確認しながら進めるのが安全です（本記事は法的助言を目的としたものではありません。個別の判断は専門家に相談してください）。

配信の同意の取り方、表示事項、委託先との契約、被害が出たときの対外的な説明など、判断が分かれる論点を相談したい場合の一例が「クラウドリーガル」です。生成AIと弁護士・専門士業を組み合わせた企業法務のアウトソースサービスで、法務・労務相談、契約書レビュー、社内規程の整備、広告審査などを提供しています。登録弁護士の返答は基本1営業日以内とされており、契約書レビューではWordコメントが付きます。一方で、プランごとに相談時間や契約書レビューの件数に上限があり、超える場合は別途見積もりになります。料金はプランによって異なるため、資料や公式サイトで確認してください。

株式会社Mediiは、従来の顧問弁護士への契約書審査では「担当弁護士のスケジュールにより返答に時間がかかることや、タイムチャージにばらつきがありました」とし、導入後は「社内の総務・法務リソースを効率的に使用できるようになり、全体としてコストダウンに成功しました」としています。

出典：クラウドリーガル 導入事例 株式会社Medii

部署別に見る迷惑メール対策の役割分担

迷惑メール対策は、受信の防御、送信の認証、法令対応、社員教育、事故時の対応の5領域に分かれ、領域ごとに担当部署が異なります。

迷惑メール対策がうまく進まない企業では、「情報システム担当がフィルターを入れたから終わり」と考えられていることが少なくありません。誰が何を持つかを表にしておくと、抜け漏れを防げます。

領域	主な担当	やること
受信の防御	情報システム	フィルター・UTM・ウイルス対策ソフトの設定、誤判定の調整
送信の認証	情報システム・マーケティング	SPF・DKIM・DMARCの設定、外部配信サービスの送信元管理
法令対応	法務・総務（外部専門家）	特定電子メール法に沿った同意取得・表示、個人情報の取扱いの確認
社員教育	総務・人事・情報システム	見分け方の研修、訓練メール、報告ルールの周知
事故時の対応	情報システム・法務・経営層	初動対応、取引先・顧客への連絡、当局への報告の判断

小さな会社では1人の担当者がすべてを兼ねることもありますが、その場合でも「どの領域を自分で持ち、どの領域を外部のサービスや専門家に頼るか」を決めておくと、いざというときに迷わずに済みます。技術の領域はメールサービスやセキュリティ製品の機能で、規程と法務の領域は文書管理のツールや外部の専門家で補う、という組み合わせが現実的です。次のセルフチェックで、自社のルールと確認の抜けを見てみましょう。

対策でよくある失敗パターン

企業の迷惑メール対策の失敗は、技術の設定ミスよりも、ルールや確認手順が決まっていないことから起こるものが多く、原因と対策をセットで見直すと防げます。

よくある失敗	主な原因	対策
取引先の重要なメールが迷惑メールフォルダに入っていた	フィルターを厳しくしすぎ、隔離フォルダを誰も確認していなかった	導入直後は隔離設定にし、確認の頻度と担当を決める
DMARCを拒否設定にしたら自社の請求書メールが届かなくなった	外部サービスからの送信を洗い出さずに厳しい設定にした	noneで観察し、レポートで送信元を確認してから段階的に強める
振込先変更のメールを信じて送金してしまった	メールだけで口座変更を受け付けていた	口座変更は既知の電話番号など別経路で確認するルールにする
怪しいメールを開いた社員が報告せず被害が広がった	報告先が決まっておらず、叱責を恐れて黙っていた	報告窓口を一本化し、早く報告した社員を評価する方針を示す
展示会で集めた名刺に一斉にメルマガを送り苦情が来た	特定電子メール法の同意や例外の範囲を確認していなかった	配信前に同意の取り方と表示内容を法務の観点で確認する
配信停止を申し出た人にメールを送り続けていた	複数の配信リストが連携しておらず、停止が反映されなかった	配信停止の情報を一か所で管理し、全リストに反映させる

表を見るとわかるとおり、失敗の多くは、ルールや確認手順が決まっていないことから起こっています。特に、メール配信の同意や配信停止の扱い、口座変更の確認手順のように、法令や取引上の責任が関わる部分は、一度ルールを作れば継続して効果が出る領域です。同意の取り方や表示内容のように判断が分かれる点を、配信を始める前に弁護士へ相談しておけば、後から配信を止めて直す手間を減らせます。

よくある質問(FAQ)

Q1. 会社に迷惑メールが多く届くのはなぜですか？

A. 企業のメールアドレスはWebサイトや名刺、問い合わせ窓口などで公開されていることが多く、送信側に知られやすいためです。推測しやすい単純なアドレスや、過去に登録したサービスなどから流出したアドレスも狙われます。問い合わせはフォームにし、用途ごとにアドレスを分けるなど、運用の見直しも有効です。

Q2. 迷惑メールが届かないようにするにはどうすればよいですか？

A. 1つの対策だけで完全に止めることはできないため、メールサーバーのフィルター、送信ドメイン認証の結果による判定、ウイルス対策ソフト、OSやソフトの更新、アドレスの公開方法の見直しを重ねます。届いたメールは開かず、返信もせず、決められた窓口に報告するルールも合わせて決めておきます。

Q3. アドレスを変えても迷惑メールが来るのはなぜですか？

A. 原因がアドレスそのものではなく、公開の仕方や登録先にある場合が多いためです。同じ名前の組み合わせで推測されたり、新しいアドレスを前と同じサービスに登録したりすると、再び知られてしまいます。アドレスを変えるときは、公開方法と登録する先も見直してください。

Q4. SPF・DKIM・DMARCはすべて設定する必要がありますか？

A. 3つを組み合わせることで、自社を名乗るなりすましメールを受信側が見分けやすくなり、自社の正規のメールも届きやすくなります。DMARCは「何もしない」設定で観察を始め、外部サービスを含む正規の送信元が認証に通ることを確認してから段階的に強めるのが一般的です。Gmailに1日5,000件を超えて送る場合は、設定が求められています。

Q5. 怪しいメールを開いてしまったらどうすればよいですか？

A. まず端末をネットワークから切り離し、社内の決められた窓口にすぐ報告します。IDやパスワードを入力した場合は別の端末からパスワードを変更し、カード情報や送金に関わる場合はカード会社や金融機関、警察にも連絡してください。

Q6. 自社がメルマガを送るときに注意すべき法律はありますか？

A. 広告宣伝のメールには特定電子メール法が適用され、原則として事前の同意取得、同意の記録の保存、送信者の名称や受信拒否の連絡先などの表示、配信停止への対応が求められます。通信販売の電子メール広告には特定商取引法も適用されます。例外の範囲など判断が難しい点は、総務省・消費者庁の資料を確認し、必要に応じて専門家に相談してください。

まとめ

迷惑メール対策は、受信の防御、送信の認証、法令対応、社員のルールづくりを組み合わせて進めるものです。本記事のポイントを整理します。

1. 迷惑メールが届く原因は、アドレスの公開、推測されやすいアドレス、登録先などからの流出で、種類と手口を知って備える
2. 受信側はフィルター、認証結果による判定、ウイルス対策、更新、アドレス運用を重ね、隔離フォルダの確認担当を決める
3. 送信側はSPF・DKIM・DMARCを段階的に設定し、メルマガは配信リストの整理と同意・配信停止の管理を整える
4. フィッシングは差出人ドメイン・リンク先・依頼内容を確認し、開いてしまったら切り離して窓口に報告する
5. 広告メールは特定電子メール法に沿って、同意・記録・表示・受信拒否への対応を整える
6. 報告ルールや規程を文書にして更新する仕組みと、法令の判断を相談できる先を整えるために、LAWGUEやクラウドリーガルのような外部サービスの資料を取り寄せて検討する

まずは自社ドメインでメールを送っているサービスの洗い出しと、怪しいメールを受け取ったときの報告ルールづくりから始めてみてください。技術と法務の両面で役割を決めておくと、迷惑メールによる被害を防ぐだけでなく、自社の信頼を守ることにもつながります。

参考文献

• 総務省「迷惑メール対策」https://www.soumu.go.jp/main_sosiki/joho_tsusin/d_syohi/m_mail.html
• 総務省・消費者庁「特定電子メールの送信の適正化等に関する法律のポイント」（2018年7月）https://www.soumu.go.jp/main_sosiki/joho_tsusin/d_syohi/pdf/m_mail_pamphlet.pdf
• 警察庁「フィッシング対策」https://www.npa.go.jp/bureau/cyber/countermeasures/phishing.html
• 一般財団法人日本データ通信協会 迷惑メール相談センター「迷惑メール対策技術」https://www.dekyo.or.jp/soudan/contents/taisaku/4-0.html
• Google Workspace 管理者ヘルプ「メールの送信者のガイドライン」https://support.google.com/a/answer/81126?hl=ja
• NTT東日本「スパムメールを開いてしまった際の対策」https://business.ntt-east.co.jp/column/service/securitypackage/cybermimamori_spam_none.html
• ウィルクラウド「メールマガジンが届かない！そんなときに確認したい9個の迷惑メール対策」https://willcloud.jp/mail/ten-anti-spam-10-measures