迷惑メール対策の完全ガイド｜受信・送信・法務まで実務手順を解説
Check!
- 迷惑メールの種類と、受信側で重ねるべき多層防御の設定手順がわかる
- SPF・DKIM・DMARCの役割と、なりすましを防ぐ段階的な設定方法がわかる
- フィッシングメールの見分け方と、特定電子メール法など法務面の注意点がわかる
業務用のメールアドレスには、広告宣伝の一方的な送りつけから、取引先や金融機関になりすましたフィッシングメール、ウイルス付きの添付ファイルまで、さまざまな迷惑メールが毎日のように届きます。1通の誤クリックが情報漏えいや業務停止につながることもあり、迷惑メール対策は「個人の注意」だけに任せておける問題ではなくなっています。
本記事では、迷惑メールの種類と企業にとっての危険性、受信側でできる設定手順、自社が「なりすましの送信元」にされないための送信ドメイン認証（SPF・DKIM・DMARC）、フィッシングメールの見分け方と開いてしまったときの初動、自社がメールを送る側として守るべき特定電子メール法のポイントまでを順に解説します。あわせて、情報システム・総務・法務のどの部署が何を担うかという役割分担の整理と、法務面の対応を外部の専門家に任せる選択肢も紹介します。
自社の迷惑メール対策、どこから手を付ける？ かんたん診断
Q1. 迷惑メール対策で一番気になるのはどれですか？
おすすめ記事
目次
開く
閉じる
開く
閉じる
迷惑メール対策の「法務・規程づくり」を支える、企業法務アウトソーシングの比較
迷惑メール対策は、フィルターや認証設定といった技術対策と、社内ルール・法令対応といった法務対策の2つで成り立っています。技術対策は情報システム担当やメールサービスの機能で進められますが、「自社のメルマガ配信は特定電子メール法に沿っているか」「なりすまし被害が起きたとき取引先にどう説明するか」「誤って開いた社員の報告ルールをどう規程にするか」といった論点は、法務の知識がないと判断しにくい部分です。
法務の専任者がいない中小企業では、こうした論点を社内で抱え込まず、企業法務アウトソーシング（ALSP）に相談する方法があります。下の表は、自社で対応する場合と外部に任せる場合の違いを整理したものです。
| 比較項目 | 自社（総務・情報システム担当）で対応 | 企業法務アウトソーシングを活用 |
|---|---|---|
| 得意なこと | フィルター設定、認証レコードの登録、社員への注意喚起 | 特定電子メール法の確認、配信同意文言や利用規約のチェック、社内規程の整備 |
| 費用の考え方 | 追加費用は少ないが、担当者の調査時間がかかる | 月額や依頼ごとの費用がかかるが、調査時間を減らせる |
| 留意点 | 法令の解釈を誤ると、気づかないまま違反状態が続くおそれがある | 技術的な設定作業そのものは対象外のことが多い |
| 向いている場面 | 受信側の設定、社員教育 | 広告メールの配信開始時、被害発生時の対外対応、規程の見直し |
企業法務アウトソーシングにもさまざまなタイプがあります。代表的なサービスの特徴を、強みと留意点に分けて並べると次のとおりです。
| サービス名 | 強み | 留意点 |
|---|---|---|
| クラウドリーガル（Molton株式会社） | 弁護士・専門士業の体制と生成AIによる自動化を組み合わせ、法務・労務相談から知的財産対応まで幅広く対応 | 申し込みに審査があり、年間契約の途中解約はできない |
| 契約審査サービス（弁護士法人ファースト＆タンデムスプリント法律事務所） | 契約レビューに特化し、チャットで依頼でき、継続的なトレーニングで品質を確保 | サービスの詳細は問い合わせが必要 |
迷惑メール対策の中でも、メール配信の同意取得や表示の方法、委託先との契約、被害発生時の対応方針など「法律の判断が絡む部分」に不安があるなら、企業法務アウトソーシングの比較記事でほかの選択肢もあわせて確認してみてください。サービス内容や料金は変更されることがあるため、依頼前には各公式サイトで最新情報を確認しましょう。
迷惑メールの種類｜スパム・フィッシング・標的型
迷惑メールとは、受信者の意思に関係なく一方的に送られてくるメールの総称です。企業のメールアドレスはWebサイトや名刺、問い合わせ窓口などで公開されていることが多く、個人よりも狙われやすい傾向があります。目的別に分けると、主に次の5種類があります。
| 種類 | 主な目的 | 企業にとっての危険性 |
|---|---|---|
| 広告宣伝メール（スパム） | 商品・サービスの宣伝、サイトへの誘導 | 大量に届くと業務メールが埋もれ、見落としの原因になる |
| フィッシングメール | 偽サイトに誘導し、IDやパスワード、カード情報を盗む | 業務アカウントの乗っ取り、不正送金、情報漏えい |
| ばらまき型のウイルスメール | 添付ファイルやリンクでマルウェアに感染させる | 社内ネットワークへの感染拡大、ランサムウェアによる業務停止 |
| 標的型攻撃メール | 特定の企業・担当者を狙い、機密情報を盗む | 実在の取引先や業務を装うため見破りにくく、被害が長期化しやすい |
| 架空請求・詐欺メール | 存在しない請求で金銭をだまし取る | 経理担当が誤って支払うと、回収が困難になる |
近年の傾向として、実在する企業やサービスのドメインを装った「なりすまし」が巧妙になっていることが挙げられます。かつては不自然な日本語で見分けがつくものが多かったものの、現在は自然な日本語で、実際の取引の流れに合わせた件名や本文で届くケースが増えています。過去に流行したマルウェアのEmotet（エモテット）のように、感染した端末のアドレス帳や過去のメールのやり取りを悪用し、実在の取引先からの返信を装って届く手口もありました。
もう一つ見落とされやすいのが、自社が被害者になるだけでなく「加害者側に見えてしまう」リスクです。社員の端末が感染して取引先にウイルスメールが送られたり、自社のドメインを名乗る偽メールが顧客に届いたりすると、実際には攻撃を受けた側であっても、取引先や顧客からの信頼を損なうことになります。迷惑メール対策は、受信の防御と同時に、自社の名前を悪用されないための対策でもあるのです。
受信側でできる迷惑メール対策【設定手順】
受信側の対策は、迷惑メールを「受信箱に届く前に止める」仕組みと、「届いてしまったときに開かせない」仕組みを重ねる多層防御で考えます。1つの対策ですべての迷惑メールを防ぐことはできないため、次の対策を組み合わせるのが基本です。
| 対策 | 設定・実施の方法 | 主な担当 |
|---|---|---|
| メールサーバー・プロバイダーの迷惑メールフィルター | 契約中のメールサービスの管理画面で、迷惑メール判定を有効にし、判定したメールを専用フォルダへ振り分けるか、件名に「SPAM」等の識別表示を付ける | 情報システム担当 |
| 送信ドメイン認証の結果による判定 | 受信時にSPF・DKIM・DMARCの検証結果を確認し、認証に失敗したメールを隔離または警告表示する | 情報システム担当 |
| メールソフトの迷惑メール機能 | Outlook・Gmail等の迷惑メール設定で、受信拒否リストや、外部からのメールに注意表示を出す設定を行う | 各社員（設定方法は情シスが周知） |
| セキュリティ対策ソフト・UTM | 端末のウイルス対策ソフトで添付ファイルを検査し、ネットワークの出入口ではUTM等でウイルスや不正サイトへの通信を止める | 情報システム担当 |
| メールアドレスの運用見直し | Webサイトにはアドレスを直接載せず問い合わせフォームにする、推測されやすい単純なアドレスを避ける、共有アドレスの用途を絞る | 総務・Web担当 |
| OSやソフトの更新 | OS・ブラウザ・メールソフト・Office製品の更新を自動にし、添付ファイル経由で悪用される脆弱性をふさぐ | 情報システム担当・各社員 |
フィルターの判定方法と誤判定への備え
迷惑メールフィルターは、送信元のIPアドレスやドメインの評判（レピュテーション）、件名や本文に含まれる語句、送信ドメイン認証の結果、添付ファイルのウイルス検査などを組み合わせて判定します。AIによる学習で判定精度を高めているサービスもあります。
注意したいのは、判定を厳しくするほど、正規の取引先のメールまで迷惑メールと判定される「誤判定」が増えることです。導入直後は、判定したメールを削除せず専用フォルダに隔離する設定にしておき、社員が定期的に確認できるようにしておくと安心です。重要な取引先のドメインは許可リストに登録しておく方法もありますが、許可リストに入れたドメインを装うなりすましメールは素通りしてしまうため、登録は必要最小限にとどめます。
技術対策と同時に決めておく社内ルール
フィルターをすり抜けたメールに対応するのは、最終的には社員一人ひとりです。そのため、技術対策と同時に「怪しいメールが届いたら開かずに誰に報告するか」「誤って開いたらまず何をするか」「報告した社員を責めない」といったルールを決め、社員に周知しておくことが欠かせません。報告の窓口を一本化しておくと、同じ迷惑メールが複数の社員に届いているかどうかを早く把握でき、全社への注意喚起も素早く行えます。
送信側の対策｜SPF・DKIM・DMARCとは
送信ドメイン認証とは、受け取ったメールが「本当にそのドメインの正規のサーバーから送られたものか」を確かめる技術です。自社のドメインで設定しておくと、自社を名乗る偽メールを受信側が見分けやすくなり、自社が送った正規のメールが迷惑メールと誤判定されにくくなります。警察庁のフィッシング対策のページでも、事業者向けの対策として送信ドメイン認証技術の導入が挙げられています。
| 技術 | 何を確かめるか | 設定の概要 |
|---|---|---|
| SPF | メールを送ったサーバーが、そのドメインの送信元として許可されているか | 自社ドメインのDNSに、送信に使うサーバーのIPアドレスやサービスを記載したTXTレコードを登録する |
| DKIM | メールに付けた電子署名により、送信者の正当性と途中で改ざんされていないこと | メールサーバー側で署名を有効にし、検証用の公開鍵をDNSに登録する |
| DMARC | SPF・DKIMの結果と差出人アドレスのドメインが一致しているか、認証失敗時にどう扱うか | DNSにポリシー（何もしない・隔離・拒否）とレポートの送付先を記載したレコードを登録する |
導入の進め方は「観察から段階的に」
送信ドメイン認証は、いきなり厳しい設定にすると、自社の正規のメールまで相手に届かなくなるおそれがあります。特に見落としやすいのが、メール配信サービスや予約システム、請求書発行システムなど、自社ドメインを名乗って外部のサービスからメールを送っているケースです。一般的には次の順序で進めます。
- 自社ドメインでメールを送っているサーバー・外部サービスを洗い出す
- SPFレコードに、洗い出した送信元をすべて含めて登録する
- メールサーバーと各外部サービスでDKIM署名を有効にする
- DMARCを「何もしない（none）」ポリシーで登録し、届くレポートで認証に失敗している送信元を確認する
- 正規の送信元がすべて認証に通るようになったら、「隔離（quarantine）」、さらに「拒否（reject）」へ段階的に強める
大手のメールサービスでは、大量にメールを送る送信者に対して送信ドメイン認証の設定を求める動きが進んでいます。メールマガジンや案内メールを顧客に送っている企業ほど、設定していないと顧客の迷惑メールフォルダに振り分けられやすくなるため、受信対策と同じくらい優先度の高い対策と考えておきましょう。メールを使っていないドメインも、なりすましに使われないよう「このドメインからはメールを送らない」ことを示す設定をしておくと安心です。
フィッシングメールの見分け方
フィッシングメールは、金融機関、ECサイト、配送業者、クラウドサービス、さらには自社の取引先や社内の部署を装って届きます。見た目だけで完全に見分けることは難しいものの、次のポイントを確認すると多くの怪しいメールに気づけます。
| 確認ポイント | 怪しいサインの例 |
|---|---|
| 差出人の表示名とアドレス | 表示名は実在の企業名なのに、アドレスのドメインが公式のものと違う、または1文字だけ違う |
| 送信ドメイン認証の結果 | メールの詳細（ヘッダー）でSPF・DKIM・DMARCがfailになっている |
| 本文のリンク先 | リンクにカーソルを合わせたときに表示されるURLが、公式サイトのドメインと異なる |
| 内容と口調 | 「アカウントが停止されます」「至急ご確認ください」など、不安や急ぎを強調して操作を迫る |
| 依頼の内容 | パスワードやカード番号の入力、振込先口座の変更、添付ファイルのマクロ有効化を求める |
| 身に覚え | 利用していないサービスからの通知、取引のない相手からの請求書 |
特に企業で被害が大きくなりやすいのが、取引先を装って「振込先口座が変わった」と伝えるメールです。こうした依頼は、メールに記載された連絡先ではなく、以前から把握している電話番号などの別の手段で相手に確認することをルールにしておきましょう。ログインを求めるメールも、本文のリンクからではなく、ブックマークや公式アプリからサービスを開いて確認する習慣が有効です。
誤って開いてしまったときの初動
リンクを押してしまった、添付ファイルを開いてしまった場合は、被害を広げないための初動が重要です。慌てて自分で対処しようとせず、次の順で動くよう社内で決めておきます。
- 端末をネットワークから切り離す（Wi-Fiをオフにする、LANケーブルを抜く）
- 情報システム担当など決められた窓口にすぐ報告する（端末の電源は窓口の指示があるまで切らない）
- IDやパスワードを入力してしまった場合は、別の端末から該当サービスのパスワードを変更する
- カード情報を入力した場合はカード会社に、不正送金の疑いがあれば金融機関と警察に連絡する
- 取引先に偽メールが送られた可能性があれば、注意喚起の連絡を行う
フィッシングサイトを見つけた場合は、フィッシング対策協議会への報告や、警察の相談窓口への相談もできます。取引先への連絡で「どこまで事実を伝えるか」「損害が出た場合に誰が負担するか」といった判断が必要になるときは、法務の観点からの確認も欠かせません。
迷惑メール対策における法務論点｜特定電子メール法
迷惑メール対策というと受け取る側の話に目が向きがちですが、自社がメールマガジンや広告メールを送る側になる場合には、特定電子メール法（特定電子メールの送信の適正化等に関する法律）を守る必要があります。顧客のつもりで送ったメールが、法律上は「迷惑メール」と扱われてしまうこともあるため、配信を始める前に要点を確認しておきましょう。主なルールは次のとおりです（詳細は総務省・消費者庁の公表資料を確認してください）。
| ルール | 内容 | 実務での確認ポイント |
|---|---|---|
| オプトイン（事前同意） | 広告宣伝のメールは、原則としてあらかじめ同意を得た相手にだけ送る | 申込フォームなどで、広告メールを送ることがわかる形で同意を取っているか |
| 同意の記録の保存 | 同意を得たことを示す記録を保存する | いつ、どの画面で、どの文言で同意を得たかを後から示せるか |
| 表示義務 | 送信者の氏名・名称、受信拒否の連絡先などをメールに表示する | メールのテンプレートに必要な表示が入っているか |
| オプトアウト（配信停止） | 受信を拒否した相手には、以後送らない | 配信停止の手続きがわかりやすく、停止後に確実に送信対象から外れるか |
| 送信者情報の偽装の禁止 | 送信者のアドレスなどを偽って送ることは禁止されている | 配信サービス経由でも、送信者情報を正しく設定しているか |
同意なしで送れる例外として、名刺などで自らメールアドレスを通知した相手や、取引関係にある相手などが定められていますが、どこまでが例外にあたるかの判断は簡単ではありません。違反した場合には、総務大臣・内閣総理大臣（消費者庁）による措置命令の対象となり、命令に違反すると罰則が科されることがあるとされています。メールの配信を外部の配信サービスや代理店に委託している場合でも、送信者としての責任がなくなるわけではない点にも注意が必要です。
このほか、迷惑メールの被害に関しても法務の論点はあります。社員の誤操作で顧客の個人情報が漏えいした場合の個人情報保護委員会への報告や本人への通知、なりすましメールで取引先に損害が出た場合の説明や責任の考え方、社員のメール利用ルールを就業規則や情報セキュリティ規程にどう定めるか、といった点です。これらは技術の担当者だけでは判断しにくく、法務の専門家に確認しながら進めるのが安全です（本記事は法的助言を目的としたものではありません。個別の判断は専門家に相談してください）。
社内に法務の専任者がいない場合は、メール配信の同意文言や利用規約のチェック、規程の整備を外部に任せる方法があります。必要なときに必要な範囲だけ依頼できるサービスもあるため、比較して自社に合う形を探してみてください。
部署別に見る迷惑メール対策の役割分担
迷惑メール対策がうまく進まない企業では、「情報システム担当がフィルターを入れたから終わり」と考えられていることが少なくありません。実際には、受信の防御、送信の認証、法令対応、社員教育、事故時の対応という複数の領域があり、それぞれ担当が異なります。誰が何を持つかを表にしておくと、抜け漏れを防げます。
| 領域 | 主な担当 | やること |
|---|---|---|
| 受信の防御 | 情報システム | フィルター・UTM・ウイルス対策ソフトの設定、誤判定の調整 |
| 送信の認証 | 情報システム・マーケティング | SPF・DKIM・DMARCの設定、外部配信サービスの送信元管理 |
| 法令対応 | 法務・総務（外部専門家） | 特定電子メール法に沿った同意取得・表示、個人情報の取扱いの確認 |
| 社員教育 | 総務・人事・情報システム | 見分け方の研修、訓練メール、報告ルールの周知 |
| 事故時の対応 | 情報システム・法務・経営層 | 初動対応、取引先・顧客への連絡、当局への報告の判断 |
小さな会社では1人の担当者がすべてを兼ねることもありますが、その場合でも「どの領域を自分で持ち、どの領域を外部のサービスや専門家に頼るか」を決めておくと、いざというときに迷わずに済みます。技術の領域はメールサービスやセキュリティ製品の機能で、法務の領域は外部の専門家で補う、という組み合わせが現実的です。
対策でよくある失敗パターン
企業の迷惑メール対策で起こりやすい失敗を、原因と対策に分けて整理しました。自社の現状の確認に使ってください。
| よくある失敗 | 主な原因 | 対策 |
|---|---|---|
| 取引先の重要なメールが迷惑メールフォルダに入っていた | フィルターを厳しくしすぎ、隔離フォルダを誰も確認していなかった | 導入直後は隔離設定にし、確認の頻度と担当を決める |
| DMARCを拒否設定にしたら自社の請求書メールが届かなくなった | 外部サービスからの送信を洗い出さずに厳しい設定にした | noneで観察し、レポートで送信元を確認してから段階的に強める |
| 振込先変更のメールを信じて送金してしまった | メールだけで口座変更を受け付けていた | 口座変更は既知の電話番号など別経路で確認するルールにする |
| 怪しいメールを開いた社員が報告せず被害が広がった | 報告先が決まっておらず、叱責を恐れて黙っていた | 報告窓口を一本化し、早く報告した社員を評価する方針を示す |
| 展示会で集めた名刺に一斉にメルマガを送り苦情が来た | 特定電子メール法の同意や例外の範囲を確認していなかった | 配信前に同意の取り方と表示内容を法務の観点で確認する |
| 配信停止を申し出た人にメールを送り続けていた | 複数の配信リストが連携しておらず、停止が反映されなかった | 配信停止の情報を一か所で管理し、全リストに反映させる |
表を見るとわかるとおり、失敗の多くは技術の設定ミスよりも、ルールや確認手順が決まっていないことから起こっています。特に、メール配信の同意や配信停止の扱い、口座変更の確認手順のように、法令や取引上の責任が関わる部分は、一度ルールを作れば継続して効果が出る領域です。抜け漏れなく整えたい場合は、法務の専門家の力を借りることも検討してください。
よくある質問
Q. 会社に迷惑メールが多く届くのはなぜですか？
A. 企業のメールアドレスはWebサイトや名刺、問い合わせ窓口などで公開されていることが多く、収集されやすいためです。推測しやすい単純なアドレスも狙われやすくなります。Webサイトにはアドレスを直接載せず、問い合わせフォームを使うなどの運用の見直しも有効です。
Q. 迷惑メールフィルターを入れれば対策は十分ですか？
A. フィルターだけですべての迷惑メールを防ぐことはできません。送信ドメイン認証、ウイルス対策ソフト、OSやソフトの更新、社員への周知と報告ルールを組み合わせた多層防御で考えることが大切です。
Q. SPF・DKIM・DMARCはすべて設定する必要がありますか？
A. 3つを組み合わせることで、自社を名乗るなりすましメールを受信側が見分けやすくなり、自社の正規のメールも届きやすくなります。DMARCは「何もしない」設定で観察を始め、外部サービスを含む正規の送信元が認証に通ることを確認してから段階的に強めるのが一般的です。
Q. 怪しいメールを開いてしまったらどうすればよいですか？
A. まず端末をネットワークから切り離し、社内の決められた窓口にすぐ報告します。IDやパスワードを入力した場合は別の端末からパスワードを変更し、カード情報や送金に関わる場合はカード会社や金融機関、警察にも連絡してください。
Q. 自社がメルマガを送るときに注意すべき法律はありますか？
A. 広告宣伝のメールには特定電子メール法が適用され、原則として事前の同意取得、同意の記録の保存、送信者情報などの表示、配信停止への対応が求められます。例外の範囲など判断が難しい点は、総務省・消費者庁の資料を確認し、必要に応じて専門家に相談してください。
Q. 法務の担当者がいない会社はどうすればよいですか？
A. 技術的な対策は情報システム担当やメールサービスの機能で進め、メール配信の同意文言のチェックや社内規程の整備など法務の判断が必要な部分は、企業法務アウトソーシングなど外部の専門家に任せる方法があります。必要な範囲だけ依頼できるサービスもあります。
まとめ
迷惑メール対策は、受信の防御、送信の認証、法令対応、社員のルールづくりを組み合わせて進めるものです。本記事のポイントを整理します。
- 迷惑メールには広告宣伝・フィッシング・ウイルス・標的型・架空請求があり、なりすましが巧妙になっている
- 受信側はフィルター、認証結果による判定、ウイルス対策、更新、アドレス運用の見直しを重ねる
- 送信側はSPF・DKIM・DMARCを、外部サービスの洗い出しから段階的に設定する
- フィッシングは差出人ドメイン・リンク先・依頼内容を確認し、口座変更は別経路で確かめる
- 自社がメールを送るときは特定電子メール法を守り、法務の判断が必要な部分は専門家の力も借りる
まずは自社ドメインでメールを送っているサービスの洗い出しと、怪しいメールを受け取ったときの報告ルールづくりから始めてみてください。技術と法務の両面で役割を決めておくと、迷惑メールによる被害を防ぐだけでなく、自社の信頼を守ることにもつながります。
参考文献
- 総務省「迷惑メール対策」https://www.soumu.go.jp/main_sosiki/joho_tsusin/d_syohi/m_mail.html
- 警察庁「フィッシング対策」https://www.npa.go.jp/bureau/cyber/countermeasures/phishing.html
- 一般財団法人日本データ通信協会 迷惑メール相談センター「迷惑メール対策技術」https://www.dekyo.or.jp/soudan/contents/taisaku/4-0.html
