ITトレンドがおすすめする製品・サービス
- ■対応する脅威の世代別
- 迷惑メール・ウイルス対策：使えるメールバスター、IIJセキュアMXサービス、OneOfficeメールソリューション、matriXscan
- 送信ドメイン認証（DMARC）への対応：IIJセキュアMXサービス、TrendMicroEmailSecurity、DMARC/25Analyze
- 標的型攻撃対策（サンドボックス・添付ファイルの無害化など）：Acrive! zone SS、OneOfficeメールソリューション、Techvan Cloud App Security、TrendMicroEmailSecurity
- 誤送信防止・添付ファイル対策：まるっとメールセキュリティ for Outlook、IIJセキュアMXサービス、OneOfficeメールソリューション、MailGates
迷惑メールとウイルス対策から始まったメールセキュリティ
メールが企業や家庭に広まった時期、最初に大きな問題として扱われたのは、大量に届く迷惑メールと、添付ファイルで広がるウイルスでした。メールセキュリティの歴史は、この2つへの対策から始まっています。
スパムフィルタとゲートウェイ型のウイルス対策
迷惑メール（スパム）への初期の対策は、件名や本文に含まれる特定の語句や、送信元の情報をもとに判定するフィルタでした。その後、多数のメールの特徴から迷惑メールらしさを判定する方式も使われるようになりました。
ウイルス対策では、端末ごとの対策ソフトに加えて、メールサーバの手前で添付ファイルを検査するゲートウェイ型の製品が普及しました。社内に届く前に検査する考え方は、現在のメールセキュリティ製品にも受け継がれています。
特定電子メール法による迷惑メールの規制
技術的な対策と並行して、法律による規制も進みました。日本では2002年に特定電子メール法が制定され、広告や宣伝を目的とするメールの送信に一定のルールが設けられました。
2008年の改正では、あらかじめ同意した相手にだけ広告メールを送れるオプトイン方式が導入されています。この法律は総務省と消費者庁が所管しており、企業がメールマガジンなどを送る際にも、ルールを守る必要があります。
参考：特定電子メールの送信の適正化等に関する法律（特定電子メール法）｜消費者庁
なりすましに対抗する送信ドメイン認証の歴史
メールは送信元のアドレスを偽ることができる仕組みのため、実在の企業を装ったなりすましメールが問題となってきました。こうしたなりすましに対抗するため、送信元を確かめる送信ドメイン認証の技術が整えられてきました。
SPFとDKIMの登場
SPFは、ドメインの持ち主がメールを送ってよいサーバをDNSに登録し、受信側がそれと照合する仕組みです。2006年にRFC 4408として公開された後、2014年にRFC 7208として改訂されています。
DKIMは、送信するメールに電子署名を付け、受信側が改ざんやなりすましの有無を確かめる仕組みです。2007年にRFC 4871として公開され、2011年にRFC 6376として改訂されました。RFCとは、インターネットの技術標準を定める文書です。
DMARCの公開と普及への動き
DMARCは、SPFやDKIMの認証結果をもとに、認証に失敗したメールを受信側でどう扱うかを送信側が指定できる仕組みです。複数の企業が参加する団体によって2012年に仕様が公開され、2015年にはRFC 7489となりました。2026年5月には、これを置き換えるRFC 9989が公開されています。
日本では2023年2月、経済産業省と警察庁、総務省が、フィッシング被害の増加を受けてクレジットカード会社などにDMARCの導入を要請しています。DMARCは、自社のドメインがなりすましに使われるのを防ぐ対策として注目を集めました。
大手メールサービスによる送信者への要件
送信ドメイン認証の普及を後押ししたのが、大手メールサービス側の動きです。Googleは2024年2月1日から、Gmailの送信者ガイドラインの要件を強化しました。Gmailの個人アカウントに1日5,000件を超えるメールを送る送信者には、SPFやDKIM、DMARCの設定が求められています。
これにより、メールマガジンや通知メールを大量に送る企業では、送信ドメイン認証の設定が、メールを受信者に届けるための前提条件としても意識されるようになりました。要件の詳細は、各メールサービスの公式情報で確認しましょう。
標的型攻撃とマルウェアメールへの対応の変遷
2010年代に入ると、不特定多数に送るメールに加えて、特定の組織を狙って業務メールを装う攻撃が注目されるようになりました。手口の巧妙化にあわせて、メールセキュリティの対策も変化しています。
標的型攻撃メールとサンドボックスの広がり
標的型攻撃メールは、取引先や公的機関を装い、業務に関係がありそうな件名や添付ファイルで受信者に開封させようとする攻撃です。既知のウイルスの特徴と照合するだけでは見つけにくい場合があるため、新しい対策が求められました。
そこで広がったのが、添付ファイルを隔離した環境で実際に動かして挙動を確かめるサンドボックスです。本文中のURLを検査したり、クリックした時点で接続先の安全性を確かめたりする機能も、メールセキュリティ製品に取り入れられていきました。
Emotetの流行と公的機関の注意喚起
Emotetは、感染した端末からメールの情報を盗み、実在するメールのやり取りに返信する形で感染を広げるマルウェアです。JPCERT/CCは2019年11月に注意喚起を出し、その後も攻撃の再開にあわせて情報を更新しました。
2022年にはIPAとJPCERT/CCが感染の再拡大について注意喚起を行っています。実在の相手からの返信に見えるため、受信者が見分けるのは難しく、添付ファイルの検査と社員への注意喚起を組み合わせる対策の重要性が改めて認識されました。
ビジネスメール詐欺への警戒
ビジネスメール詐欺（BEC）は、取引先や経営者になりすまして偽の請求書を送り、送金させようとする詐欺です。マルウェアを使わずに文面だけでだます手口もあるため、添付ファイルの検査だけでは防ぎにくい特徴があります。
IPAが公表する「情報セキュリティ10大脅威 2018」の組織編では、ビジネスメール詐欺が初めて取り上げられ、3位となりました。送信ドメイン認証や、なりすましの兆候を見つける機能に加え、送金前の確認手順を社内で定めることも対策として求められています。
ITトレンドでは、最新の製品・サービスを多数比較・掲載しています。まず資料請求して、さまざまな製品の機能や特徴を比較してみてください。忙しい業務時間内でも、各社に問い合わせる手間なく、たった1回の入力（約60秒）でメールセキュリティの一括資料請求が可能です。浮いた時間で、じっくりと製品を比較検討し進めましょう。
情報漏えい対策としてのメールセキュリティの歩み
メールセキュリティは、外から届く脅威を防ぐだけでなく、社内から送るメールによる情報漏えいを防ぐ役割も担ってきました。送信側の対策は、働き方やメール環境の変化にあわせて形を変えています。
誤送信防止と脱PPAPの流れ
宛先の間違いや添付ファイルの取り違えによる誤送信を防ぐため、送信前に宛先や添付ファイルを確認させる機能や、一定時間送信を保留する機能が使われてきました。添付ファイルを暗号化して送る運用も広がりました。
一方、パスワード付きZIPファイルを送り、別のメールでパスワードを送る方法は、PPAPと呼ばれ見直しが進んでいます。2020年11月には内閣府と内閣官房が廃止を表明しました。添付ファイルをダウンロードリンクに置き換える方法などが代わりに検討されています。
クラウドメールの普及と提供形態の変化
自社でメールサーバを運用する企業が中心だった時期は、メールサーバと同じ社内に置くアプライアンスやソフトウェア型の製品が主流でした。クラウド型のメールサービスを使う企業が増えると、クラウド上で検査するサービス型の製品も広がりました。
現在は、メールの経路にゲートウェイを置く方式に加え、クラウドメールのAPIと連携して受信箱の中のメールを検査する方式もあります。どの方式が自社にあうかは、利用しているメール環境によって変わります。
歴史から考えるこれからのメールセキュリティ選び
メールセキュリティの歴史を振り返ると、新しい対策が古い対策を置き換えるのではなく、層として重なってきたことがわかります。この流れを、自社の対策や製品選びにどう生かせるかを考えます。
複数の対策を層で組み合わせる
迷惑メール対策、ウイルス対策、送信ドメイン認証、標的型攻撃対策、誤送信防止は、それぞれ別の脅威に対応しています。どれか1つを導入すれば十分というものではなく、自社にとって優先度の高い脅威から対策を重ねることが大切です。
製品を比べる際は、どの対策を標準で備え、どの対策をオプションで追加するのかを確認しましょう。すでに利用しているメールサービスに備わっている機能と重複しないかも、あわせて確かめておくと無駄を減らせます。
公的機関の情報で脅威の変化を追う
メールを使った攻撃の手口は、時期によって変化してきました。IPAやJPCERT/CCは、流行している攻撃の注意喚起や、脅威の動向をまとめた資料を公表しています。
こうした情報を定期的に確認すると、自社の対策で足りない部分に気づきやすくなります。製品を導入した後も、ベンダーが新しい手口にあわせて検知の仕組みや定義ファイルを更新しているかを確認し、対策を見直していきましょう。
脅威の変遷に対応するメールセキュリティの特徴一覧
迷惑メール対策から送信ドメイン認証、標的型攻撃対策、誤送信防止へと広がってきた流れに沿って、検討しやすい製品の特徴を一覧にまとめました。
| 製品名 | 特徴 |
|---|---|
| まるっとメールセキュリティ for Outlook | Outlook向け。送信前の宛先確認や添付ファイルの自動暗号化、受信時の不審メール警告に対応 |
| 使えるメールバスター | 学習型AIで迷惑メールやウイルスをメールサーバへの到達前に検知・遮断する完全クラウド型 |
| Acrive! zone SS | 添付ファイルの分離・マクロ除去・プレビューや送信元の国旗表示に対応。サンドボックス機能も選択可能 |
| IIJセキュアMXサービス | 複数エンジンによる多層フィルタとDMARC認証による受信対策に対応。誤送信防止機能も提供 |
| OneOfficeメールソリューション | 迷惑メール・ウイルス対策に加え、クラウドサンドボックス、誤送信対策、メールアーカイブなどを選択可能 |
| Techvan Cloud App Security | Microsoft 365などのクラウドアプリとAPI連携。クラウドサンドボックスや不正URL対策に対応 |
| matriXscan | 国内開発のメールセキュリティゲートウェイ。迷惑メール・マルウェア対策や暗号化ZIPファイルの検知に対応 |
| TrendMicroEmailSecurity | オンプレミスやクラウドメールに対応。既知・未知の脅威の多層防御、DMARC認証、情報漏えい対策を提供 |
| MailGates | 既存メール環境に追加できるクラウド型。誤送信防止や添付ファイル暗号化などの機能を選択可能 |
| DMARC/25Analyze | SPF・DKIM・DMARCの設定と解析を支援。送信ドメインのなりすまし検知や運用管理に対応 |
脅威の世代で選ぶメールセキュリティ製品
迷惑メールやウイルス対策から標的型攻撃対策、送信側の情報漏えい対策まで、対応する脅威や機能の異なる製品を、歴史の流れにあわせて紹介します。
まるっとメールセキュリティ for Outlook
- チェック機能とガード機能の両方を備えたシンプルで頼もしい設計
- 必要な機能だけを絞り込んだことでリーズナブルな価格を実現
- 社外への送信時は暗号化やパスワード自動生成機能等で誤送信防止
株式会社トインクスが提供する「まるっとメールセキュリティ for Outlook」は、メールの誤送信防止と標的型攻撃メール対策を備えたOutlook向けのサービスです。送信前に宛先や本文の確認画面を表示し、社外宛ての添付ファイルは自動でZIP形式に暗号化できます。また、受信メールから標的型攻撃の特徴を検知すると、開封前に警告を表示して利用者に注意を促します。攻撃メールそのものをブロックする機能ではなく、利用者の確認を支援する仕組みです。日常的なメールの送受信におけるヒューマンエラー対策を重視する企業に向いています。
使えるメールバスター
- かんたん設定でメールセキュリティ向上
- フィッシング・ビジネスメール詐欺・ウイルス攻撃に効果的
- Office365等の主要メールサービスにも対応
使えるねっと株式会社が提供する「使えるメールバスター」は、迷惑メールやウイルスなどの脅威をメールサーバへの到達前に検知・遮断する完全クラウド型のサービスです。独自の学習型AI技術による受信フィルタを備え、スパムやフィッシング、ランサムウェアなどへの対策に対応します。また、自社のメールサーバから不正に迷惑メールが送信されるのを防ぐ送信フィルタも提供。パソコンへのソフトウェアのインストールは不要で、DNSのMXレコードを変更して導入できます。迷惑メール対策の強化やメールサーバの負荷軽減を図りたい企業に適しています。
Acrive! zone SS
- Emotet（エモテット）に効果を発揮！検知・ブロック実績も多数！
- Microsoft 365/Google Workspaceと連携する標的型メール攻撃対策
- 感染拡大するマルウェア対策！すぐに始められるクラウドサービス
株式会社クオリティアが提供する「Acrive! zone SS」は、標的型メール攻撃への対策に特化したクラウド型サービスです。受信メールの添付ファイルを分離し、ブラウザ上でプレビューしてから、原本のまま、マクロ除去、画像化、PDF化などの方法を選んでダウンロードできます。パスワード付きZIPファイルにも対応し、送信元や配送経路の国を国旗で表示する機能も備えています。また、サンドボックス機能を利用できるプランも用意されています。添付ファイルの無害化と利用者による確認を組み合わせ、標的型攻撃への対策を強化したい企業に向いています。
IIJセキュアMXサービス
- 多層フィルタによってあらゆる脅威を強力ブロック
- 脅威対策と誤送信対策をワンストップに実現
- Microsoft 365 と連携し、セキュリティ機能を強化
株式会社インターネットイニシアティブが提供する「IIJセキュアMXサービス」は、受信時の脅威対策と送信時の情報漏えい対策を一体で提供するクラウドサービスです。計６社のエンジンによる多層フィルタリングに加え、送信ドメイン認証やDMARC認証を活用したなりすましメール対策、添付ファイルのマクロ除去に対応します。また、送信メールの差し戻しや上長承認など、企業のポリシーに応じた誤送信対策も可能です。Microsoft 365との連携にも対応しており、既存のメール環境に多層防御を追加したい企業に適しています。
OneOfficeメールソリューション
- 最新の脅威から会社を守る！アンチスパム・ウイルス対策
- 選べる機能でメールセキュリティを万全に
- お使いのメールサーバはそのままにゲートウェイ型でも利用可能！
株式会社TOKAIコミュニケーションズが提供する「OneOfficeメールソリューション」は、必要な機能を選んで組み合わせられる企業向けクラウド型メールセキュリティサービスです。迷惑メールやウイルス対策に加え、クラウドサンドボックスによる未知の脅威の解析、メールアーカイブ、誤送信防止、添付ファイルの暗号化などに対応します。Microsoft 365などの外部メールサービスとも連携でき、既存のメールサーバを変更せずにゲートウェイ型で導入する構成も選択可能です。従来の迷惑メール対策に加え、標的型攻撃や情報漏えいへの対策を強化したい企業に向いています。
Techvan Cloud App Security （テクバン株式会社）
- 1か月の無料トライアルで自社のクラウド環境に潜む危険がわかる
- クラウドメールを保護し巧妙化するメール攻撃から情報資産を守る
- 未知の脅威を仮想OSで解析できるクラウドサンドボックス
matriXscan （アイマトリックス株式会社）
- 独自の「msecテクノロジー」で最新のスパムも徹底防御！
- 通常は検知できない暗号化されたZIPファイルの危険も検知可能！
- ニーズに応じてクラウド・アプライアンス・仮想環境で導入可能！
TrendMicroEmailSecurity （トレンドマイクロ株式会社）
- 既知・未知のマルウェアを多層防御。
- DMARCでなりすましメールを抑止。
- 200以上のDLPテンプレートで情報漏えいを防止。
MailGates （サイバーソリューションズ株式会社）
- メール環境を問わず導入可能
- 入口対策、誤送信・PPAP対策など機能を選択可能。
- 管理画面で承認・ログ検索など運用を一元管理。
DMARC/25Analyze （株式会社TwoFive）
- SPF/DKIM/DMARCの自動設定と解析機能
- 偽装メール検知：送信元IPアドレスレピュテーションチェック
- ドメインなりすまし・偽装をリアルタイムで検知
まとめ
メールセキュリティの歴史は、迷惑メールとウイルスへの対策から始まりました。その後、SPFやDKIM、DMARCによる送信ドメイン認証、標的型攻撃やEmotetへの対応、誤送信防止や脱PPAPへと広がっています。対策は層として重なっているため、自社に必要な対策を組み合わせて選ぶことが大切です。年代ごとの脅威を踏まえて、自社にあうメールセキュリティを比べるために、資料請求を活用してみてください。
