# 2026年のビジネスメール保護：Microsoft 365、Google Workspace、cPanelにおけるスパムおよびフィッシングフィルタリングの仕組み

> FBIによると、ビジネスメール詐欺（BEC）による報告済みの損失額は、2025年に30.5億ドルに達しました。本ガイドでは、MXレベルのフィルタがMicrosoft 365、Google Workspace、またはcPanelの前面にどのように配置されるのか、SPF、DKIM、DMARCが実際に何を証明しているのか、そしてGmail、Yahoo、Outlook.comの送信者ルールがお客様のドメインにどのような影響を与えるのかを解説します。

- 正規URL: https://www.broadnet.me/ja/blog/business-email-spam-phishing-protection-guide-2026
- 言語: ja
- 最終更新日: 2026-10-22
- 発行者: BroadNet (https://www.broadnet.me)

- 公開日: 2026-10-22
- 著者: BroadNet Editorial Team

2026年におけるビジネスメール保護とは、ドメイン内のすべてのメールボックスの前にフィルターを設置することを意味します。ドメインのMXレコードをフィルタリングゲートウェイに向けることで、受信する各メッセージに対してスパム、フィッシング、マルウェア、なりすましをチェックし、クリーンなメールのみをMicrosoft 365、Google Workspace、cPanel/WHM、またはExchangeへと転送します。SPF、DKIM、DMARCは、自社ドメインが偽装されるのを防ぎます。[iBlockSpam](https://iblockspam.com/)は、BroadNetのメール保護サービスであり、ドメインごとに固定料金でこの仕組みを提供します。

> 2026年10月22日に情報源にて事実確認済み：FBIの2025年IC3年次報告書、Microsoft Learn、Google Workspace Admin Help、Yahoo Sender Hub、Microsoft Tech CommunityによるOutlook.comの発表、RFC Editor（RFC 5321、6376、7208、7489、9989）、およびiBlockSpamの公式サイト。すべての数値は情報源へのリンクが付いています。料金や制限は変更される可能性があるため、ご購入前に最新のページをご確認ください。

| 質問 | 回答 |
|---|---|
| 問題の規模はどの程度か？ | 2025年、FBIのIC3には、30.5億ドルの報告済み損失を伴う24,768件のビジネスメール詐欺の苦情、および191,561件のフィッシング/なりすましに関する苦情が記録されました。 |
| インバウンドフィルタリングはどこで行われますか？ | MXレコードにおいて：メールは送信元 → フィルタリングゲートウェイ → お客様のメールプラットフォーム → 受信トレイへと流れます |
| Microsoft 365の設定 | フィルタに固定され、Enhanced Filtering for Connectorsが有効化されたパートナーインバウンドコネクタ |
| Google Workspaceの設定 | 管理コンソールで、フィルタをインバウンドゲートウェイとして追加します |
| 自社ドメインを保護するものは何ですか？ | SPF (RFC 7208)、DKIM (RFC 6376)、およびDMARC（RFC 7489、2026年5月にRFC 9989に置き換え） |
| 一斉送信者のルール | GmailとOutlook.comでは、1日5,000件以上のメッセージを送信するドメインに対してSPF、DKIM、およびDMARCが求められます。Yahooも同様の基準を一斉送信者に適用していますが、しきい値は公開されていません。 |
| iBlockSpamの料金 | 年間契約の場合、1ドメインあたり月額12ドルから。メールボックスは無制限です |

## なぜ法人向けメールが依然として主要な侵入経路なのか

FBIの[2025 Internet Crime Report](https://www.ic3.gov/AnnualReport/Reports/2025_IC3Report.pdf)によると、苦情件数は1,008,597件、報告された損失額は208.77億ドルに達しました。最も多く報告された犯罪タイプはフィッシング/なりすましで、191,561件の苦情がありました。ビジネスメール詐欺(BEC)の苦情件数は24,768件と大幅に少ないものの、報告された損失額は3,046,598,558ドルに上り、2024年の2,770,151,146ドルから増加しています。サイバー技術を利用した詐欺タイプの中で、被害額がこれより大きかったのは投資詐欺のみです。また同レポートでは、AIを悪用したBEC詐欺により、企業が3,000万ドル以上の損失を報告していることも指摘されています。

これらの数値はIC3に提出された苦情のみを対象としているため、完全なコストではなく傾向を示すものです。また、これら2つの脅威が連携していることも示しています。フィッシングは数で攻める攻撃です。BECはその成果を得るためのもので、「サプライヤー」や「役員」を装った説得力のあるメールによって、銀行口座情報の変更や送金の承認を要求します。IC3ではフィッシングを、一方的な電子メール、テキストメッセージ、および電話によるものと定義しているため、同じ手法がSMSでも実行されます。当社の[スミッシング対策ガイド](https://www.broadnet.me/blog/smishing-defense-sms-phishing-protection)では、テキストメッセージ側の側面について解説しています。

## インバウンドフィルタリングの仕組み：MXレコードによる判定

[SMTP (RFC 5321)](https://www.rfc-editor.org/rfc/rfc5321)に基づき、送信サーバーはドメインのMXレコードを照会して、メールの配信先を特定します。そのレコードが指し示す先が、すべての受信メッセージの最初の到達点となります。フィルタリングゲートウェイを使用すると、配信ルートは「送信元 → お客様のメールサーバー」から「送信元 → ゲートウェイ → お客様のメールサーバー」へと変更されます。ゲートウェイは接続を受け入れ、送信元のレピュテーションと認証を確認し、リンクや添付ファイルをスキャンした上で、メッセージを配信、隔離、または拒否します。

メールボックスが移動することはありません。ユーザーはこれまでと同じアプリ、パスワード、フォルダをそのまま使用できます。ここで、他の何よりも重要な設定が2つあります。第一に、すべてのMXレコードがゲートウェイを指している必要があります。バックアップ用のMXレコードがメールサーバーを直接指したまま残っていると、攻撃者がフィルターを回避できてしまうためです。第二に、メールプラットフォームはゲートウェイからの受信インターネットメールのみを受け入れるように設定する必要があります。Microsoftの[組み込み保護機能](https://learn.microsoft.com/en-us/defender-office-365/eop-about)はゲートウェイの後方でも動作し続けるため、結果として単一の層ではなく、2つの独立した層による保護が行われます。

## Microsoft 365、Google Workspace、およびcPanel：プラットフォーム別の詳細

### Microsoft 365およびExchange Online

Microsoftは、この構成について[Manage mail flow using a third-party cloud service](https://learn.microsoft.com/en-us/exchange/mail-flow-best-practices/manage-mail-flow-using-third-party-cloud)で説明しています。MXレコードはフィルタリングサービスを指し、そのサービスからの証明書またはIPアドレスから届くメールのみを受け入れる「パートナー受信コネクタ」を作成します。これを行わないと、攻撃者がお客様のテナントに直接メールを送信し、フィルターをバイパスできてしまいます。Microsoftは、スキップリストとも呼ばれる[Enhanced Filtering for Connectors](https://learn.microsoft.com/en-us/exchange/mail-flow-best-practices/use-connectors-to-configure-mail-flow/enhanced-filtering-for-connectors)を有効にすることを「強く推奨」しています。ゲートウェイを前段に置くと、すべてのメッセージはゲートウェイのIPアドレスから届くことになります。Enhanced Filtering（拡張フィルタリング）は、元の送信元IPと送信者情報を保持するため、MicrosoftのSPF、DKIM、DMARCおよびなりすまし防止チェックは、依然として実際の送信者を識別できます。なお、ゲートウェイのIPアドレスに対して単にスパムフィルタリングをバイパスさせることは、それらのアドレスが多くの顧客間で共有されていることが多いため、Microsoftは推奨していません。

### Google Workspace

Google Workspaceでは、管理コンソールでフィルターを[受信メールゲートウェイ](https://knowledge.workspace.google.com/admin/gmail/advanced/set-up-an-inbound-mail-gateway)として登録し、そのIPアドレスをリスト化します。また、オプションとしてゲートウェイ以外から届くすべてのメールを拒否するように設定できます。Googleによると、Gmailはゲートウェイ経由で届くメッセージに対して送信者のDMARCポリシーを強制しませんが、スパムやフィッシング対策として認証結果は引き続き利用されます。したがって、ゲートウェイ側で独自のSPF、DKIM、およびDMARCチェックを行う必要があります。

### cPanel/WHMおよびオンプレミスのExchange

ホスティングサーバーとセルフマネージドのExchangeは、同じMXロジックに従います。DNSを変更する前に、ドメインのメールを実際に受信しているサーバーがどれであるかを確認してください。次に、MXをゲートウェイに向け、ゲートウェイがお客様のサーバーに配信するように設定し、構成が許可されている場合は、受信SMTPをゲートウェイのアドレスに制限します。変更とロールバックの両方が迅速に反映されるよう、1日前にMXレコードのTTLを下げておいてください。

## SPF、DKIM、およびDMARC：自社ドメインの保護

受信フィルタリングはお客様のユーザーを保護します。ドメイン認証は、お客様のドメインから送信されたと主張するメールを受信するすべての人を保護します。これら3つの標準は、それぞれ異なる内容を証明します。

- **SPF** ([RFC 7208](https://www.rfc-editor.org/rfc/rfc7208))は、どのサーバーがお客様のドメインのメールを送信できるかを公開します。チェックはDNSクエリメカニズム10件までに制限されているため、「include」エントリが多すぎるレコードは失敗します。
- **DKIM** ([RFC 6376](https://www.rfc-editor.org/rfc/rfc6376))は、受信者がお客様のDNSに公開されている公開鍵に対して検証を行う暗号署名を追加します。これにより、署名ドメインがメッセージを送信したこと、およびメッセージが改ざんされていないことが証明されます。
- **DMARC** ([RFC 7489](https://www.rfc-editor.org/rfc/rfc7489))は、SPFまたはDKIMを可視化されたFrom:アドレスのドメインに紐付け、メッセージが失敗した場合の受信者の動作（none、quarantine、またはreject）を指示し、お客様のドメインを名乗って送信している者が誰であるかのレポートをお客様に送信します。

2026年5月、IETFは更新されたDMARC仕様（「DMARCbis」ワーク）である[RFC 9989](https://www.rfc-editor.org/rfc/rfc9989)をStandards Trackとして公開しました。これはRFC 7489を廃止し、2つの付随するRFCである9990および9991が、集計レポートおよび失敗レポートをカバーします。既存のDMARCレコードは引き続き機能します。通常のプロセスは変わりません。p=noneを公開し、レポートを読み、すべての正当な送信者を修正した後、quarantineへ、そして最終的にrejectへと移行します。

## 類似ドメイン、なりすまし、および隔離

DMARCは、攻撃者がお客様の正確なドメインを使用することを阻止します。しかし、文字を入れ替えたり、ハイフンを追加したり、末尾を変更したりして類似のドメインを登録し、そこから完全に有効なSPFおよびDKIMを使用して送信することを阻止することはできません。多くのBECの試みはこの方法で行われるため、優れたフィルターは、表示名のなりすまし、新規に検出された送信元ドメイン、およびお客様の名前の類似ドメイン（ルックアライク）もチェックする必要があります。ドメインの類似ドメインの登録を監視することで、メールの送信が始まる前に警告を受けることができます。

検疫（Quarantine）は、ユーザーがフィルターをそもそも受け入れるかどうかを決定します。不審なメールは削除するのではなく保留すべきであり、各ユーザーは、チケットを起票することなく、何が保留されたかを確認し、正当なメッセージを解放できるようにする必要があります。管理者は、メールの不達に関する苦情を追跡するために、ドメイン全体のビューとメッセージ履歴を必要とします。例えば、Microsoft自身のサービスでは、デフォルトで信頼度の高いフィッシングメールを管理者専用の検疫に直接送信します。誰が何を解放できるかを事前に決定しておいてください。

## Gmail、Yahoo、およびOutlook.comの送信者ルールがお客様のドメインに与える影響

2024年2月1日より、Googleの[メール送信ガイドライン](https://support.google.com/a/answer/81126)では、Gmailアカウントへのすべての送信者に対し、SPFまたはDKIMの設定、TLSの使用、有効なフォワードおよびリバースDNSの保持、およびPostmaster Toolsで報告されるスパム率を0.3%未満に維持することが義務付けられています。1日あたり5,000通を超えるメッセージを送信する送信者は、From:ドメインを一致させた上で、SPF、DKIM、およびDMARCも備えていなければならず、マーケティングメールについてはワンクリックでの購読解除をサポートする必要があります。Yahooの[Sender Hub](https://senders.yahooinc.com/best-practices/)も同様の基準を設定しています。すなわち、全員に対するSPFまたはDKIM、一括送信者に対する少なくともp=noneのDMARCの両方、0.3%未満のスパム率、および2日以内の購読解除への対応です。Yahooは、誰を一括送信者とみなすかのボリュームしきい値については公表していません。

Microsoftは、Outlook.comのコンシューマー向けアドレス（hotmail.com、live.com、outlook.com）にこれに従いました。同社の[2025年4月の発表](https://techcommunity.microsoft.com/blog/microsoft-defender-for-office-365-blog/strengthening-email-ecosystem-outlook%E2%80%99s-new-requirements-for-high%E2%80%90volume-senders/4399730)では、1日あたり5,000通を超えるメールを送信するドメインに対し、SPFおよびDKIMに合格すること、およびSPFまたはDKIMと一致する少なくともp=noneのDMARCを公開することを求めています。2025年5月5日より、コンプライアンスを満たさないメールはエラー「550; 5.7.515 Access denied」とともに拒否されます。一般的な企業にとって、これには2つの影響があります。CRM、請求ツール、マーケティングプラットフォームなど、お客様のドメインとして送信を行うすべてのプラットフォームにおいて、認証を一致させる必要があります。また、DMARCが強制されると、お客様に対するドメインのなりすましも非常に困難になります。トランザクションおよびマーケティング送信については、BroadNetの[Email service](https://www.broadnet.me/products/email)がSMTPおよびAPIを通じて認証済み送信を処理します。

## チェックリスト：インバウンドメールフィルターの選定

1. 拡張フィルタリングを備えたコネクタやインバウンドゲートウェイなど、ベンダーが文書化している方法を使用して、お客様のプラットフォーム（Microsoft 365、Google Workspace、cPanel/WHM、Exchange）の前段で機能しますか？
2. 受信メール自体に対してSPF、DKIM、およびDMARCをチェックし、表示名や類似ドメインによるなりすましを検出できますか？
3. 各ユーザーにダイジェスト付きの個人用隔離領域が提供され、管理者ビューおよび検索可能なメッセージ履歴も利用可能ですか？
4. メールサーバーがダウンした場合、どうなりますか？規定のスプーリング期間を確認してください。
5. 料金はユーザー単位ですか、それともドメイン単位ですか？また、それに付随するメッセージの送信量やサイズ制限はありますか？
6. 設定時に現在のDNSが記録され、ロールバックの手順が提供されますか？また、設定後にMX、SPF、DMARCのドリフトを監視する仕組みはありますか？
7. メールはどこで処理され、何が、どのくらいの期間保存されますか？
8. 契約前に、返金条件、解約方法、および退会方法が明記されていますか？

メールは一つのチャネルに過ぎません。お客様がSMSでワンタイムパスワードやアラートを受け取る場合は、メールと同様の規律を適用してください。弊社の[SMS OTPセキュリティ基準ガイド](https://www.broadnet.me/blog/sms-otp-security-standards-2026)を参照し、送信前に[MobileValidate](https://www.broadnet.me/products/mobilevalidate)を使用して電話番号やメールアドレスを確認してください。

## iBlockSpamの位置づけ

iBlockSpamは[BroadNetブランドファミリー](https://www.broadnet.me/brands)の一部です。[仕組みのページ](https://iblockspam.com/how-it-works)によると、MXレコードをiBlockSpamのフィルタリングサーバーに向けることで、すべての受信メッセージに対してスパム、ウイルス、マルウェア、フィッシング、なりすましのチェックが行われ、クリーンなメールのみが既にお使いのサーバーに配信されます。手順は、チェック、設定、検証、監視です。ガイド付きウィザードにより、現在のDNSと新しいDNSを並べて表示し、ロールバックの手順を保存できます。iBlockSpamがお客様のDNSを編集することはありません。公開されている詳細は以下の通りです：

- Microsoft 365、Google Workspace、cPanel/WHM、Exchange、およびその他のメールサーバーに対応しています。
- 定期的なダイジェスト配信、共有管理者検疫、および30日間のメッセージ履歴を備えた、ユーザーごとのパーソナル検疫。
- メールサーバーがダウンしている場合、メールは最大5日間保持され、サーバーが復旧した際に配信されます。
- 無制限のメールボックスとドメインエイリアス。各ドメインには、月間100,000件の受信メッセージ、最大メッセージサイズ400 MB、およびDKIM署名付きの500件の送信リレーメッセージが含まれます。
- Lookalike Domain Watch、DMARCレポートモニタリング、およびMX/SPF/DMARCドリフトアラート（Protectでは毎週、Protect Plusでは毎日）。
- メールは米国で処理されます。

[料金](https://iblockspam.com/pricing)はドメイン単位で、税抜のUSD表記です：**Protect**は、年間契約で1ドメインあたり月額$12（年額$144）、または月払い$15です。**Protect Plus**は、年間契約で$19（年額$228）、または月払い$24で、日次モニタリング、月次オーナーレポート、および担当者によるセットアップセッションが追加されます。無料トライアルはありません。代わりに、ドメインの最初の年間サブスクリプションには30日間の返金保証が付いています。無料のEmail Health Checkでは、アカウントなしでMX、SPF、DMARC、および一般的なDKIMセレクターを読み取ります。BroadNetの広範な[セキュリティアプローチ](https://www.broadnet.me/security)および[Trust Center](https://www.broadnet.me/trust)では、グループの認証資格（certifications）について網羅しています。

## よくある質問

### Microsoft 365の組み込みスパムフィルタは、ビジネス利用に十分ですか？

組織によっては十分な場合もあります。Microsoft 365は、すべてのクラウドメールボックスに対してアンチスパム、アンチマルウェア、アンチフィッシング保護を備えており、デフォルトで有効になっています。別途ゲートウェイを導入することで、独自の検知機能、個別隔離、障害時のスプーリング、ドメインごとの制御を備えた独立したレイヤーを前段に追加できます。ゲートウェイを追加する場合は、Microsoftが文書化している設定に従ってください。すなわち、Enhanced Filtering for Connectorsを有効にした、ロックダウンされたパートナーコネクタを使用します。

### MXレベルのスパムフィルタとは何ですか？

MXレベルのスパムフィルタとは、ドメインのMXレコードが指し示すサービスであり、メールサーバーに届く前にすべての受信メールを受け取ります。各メッセージのスパム、フィッシング、マルウェア、なりすましをチェックし、クリーンなメールを既存のプラットフォームに配信し、不審なメールは隔離（クアランティン）に保持します。メールボックス、アプリ、パスワードはそのまま変更する必要はありません。メールがそれらに到達するまでの配信ルートのみが変更されます。

### Exchange OnlineにおけるEnhanced Filtering for Connectorsとは何ですか？

スキップリスティングとも呼ばれるEnhanced Filtering for Connectorsは、Exchange Onlineの前段にあるサービスからメールを受信するインバウンドコネクタ用のMicrosoft 365設定です。ゲートウェイのIPアドレスを通り越し、元の送信者を特定するため、MicrosoftのSPF、DKIM、DMARCおよびアンチスプーフィング（なりすまし防止）チェックが実際の送信元を評価できるようになります。MXレコードがMicrosoft以外のフィルタを指している場合は、Microsoftはこの設定を強く推奨しています。

### SPF、DKIM、DMARCはフィッシングメールを阻止できますか？

これらは、お客様のドメインを正確に偽装したメールという、ある一種のフィッシングを阻止します。DMARCを「隔離（quarantine）」または「拒否（reject）」に設定することで、受信者はFrom:アドレスを不正に使用したメッセージをブロックできます。ただし、類似ドメイン、実在するサプライヤーの乗っ取られたアカウント、または適切に認証されたフリーアカウントから送信されるフィッシングを阻止することはできません。これらに対処するには、インバウンドフィルタリングとなりすましチェックを導入し、さらにスタッフがセカンドチャネルを通じて支払い変更を確認する必要があります。

### Gmail、Yahoo、およびOutlook.comの一斉送信ルールによって何が変わったのでしょうか？

2024年2月より、Gmail（1日5,000通以上）およびYahoo（一斉送信者、公開されている閾値なし）では、SPF、DKIM、およびアライメントを伴う少なくともp=noneのDMARC、ワンクリックでの購読解除、および0.3%未満のスパム率が必須となっています。2025年5月5日以降、Outlook.comは、コンプライアンスを満たしていない大量送信ドメインからのメールをエラー550 5.7.515で拒否します。すべての送信者に、少なくともSPFまたはDKIMが必要です。

### フィッシングとビジネスメール詐欺（BEC）の違いは何ですか？

フィッシングは広義のカテゴリーであり、認証情報、資金、またはデータを盗むために信頼できる組織を装う未承諾のメッセージを指します。ビジネスメール詐欺（BEC）は、乗っ取られた、あるいはなりすまされたメールアカウントを使用して支払いを転送させる、サプライヤーへの支払いまたは電信送金を行う企業を標的とした詐欺です。FBIの2025年IC3レポートでは、191,561件のフィッシング/なりすましに関する苦情と24,768件のBECに関する苦情が記録され、BECによる損失は30.5億ドルに達しました。

### メールフィルタは正当なメッセージをブロックしますか？

どのようなフィルタでもメッセージを誤判定する可能性があるため、削除ではなく隔離を保護策とすべきです。ユーザー自身で保留されたメッセージを解放できる定期的なダイジェスト付きの個人用隔離、共有管理者用隔離、既知の連絡先用の承認済み送信者リスト、および何が起こったかを追跡するためのメッセージ履歴を備えているか確認してください。例えばiBlockSpamは、これらすべてを提供し、30日間のメッセージ履歴を保持します。

### iBlockSpamの料金はいくらですか？

iBlockSpamは、無制限のメールボックスを含むドメインごとの料金設定です。Protectプランは、年払いの場合、1ドメインあたり月額12ドル（年間144ドル）、月払いの場合、月額15ドルです。Protect Plusプランは、年払いの場合、1ドメインあたり月額19ドル（年間228ドル）、月払いの場合、月額24ドルで、日次のDNSモニタリング、月次のオーナーレポート、および専門スタッフによるセットアップセッションが追加されます。料金は税抜のUSD表記です。無料トライアルはありませんが、初回のご契約（年払い）には30日間の返金保証が付いています。

ドメインの状態を確認する準備はできていますか？[iBlockSpam](https://iblockspam.com/)で無料の[Email Health Check](https://iblockspam.com/tools/email-health-check)を実行し、ProtectプランとProtect Plusプランを比較してください。セットアップはMXの変更とプラットフォーム上のガイドに従う手順のみで完了し、メールボックスの場所を変更する必要はありません。