icrosoft 365でのフィッシングメールを阻止するには、StandardまたはStrictのプリセットセキュリティポリシーを有効にし、攻撃者がなりすましに使用する可能性が高いユーザーやドメインをなりすまし防止機能に追加し、Safe Linksをオンにした状態で、ユーザーに組み込みの「報告」ボタンを提供してください。Google Workspaceでは、Gmailの高度なフィッシングおよびマルウェア設定を有効にし、SPF、DKIM、DMARCを公開します。それでも大量のメールが通過してしまう場合は、前段にiBlockSpamのようなMXゲートウェイを配置し、直接配信を制限してください。
事実は2026年11月8日に各情報源にて確認済みです。Microsoft 365の設定はMicrosoft Learnに基づいています。Gmailの設定はGoogle Workspaceの管理者ヘルプに基づいています。メールルーティングルールはIETF RFCに基づいています。各情報源は文中にリンクされています。iBlockSpamに関する事実は、その公式サイトに基づいています。メニューやライセンスは変更される可能性があるため、本番テナントの設定を変更する前に、リンク先のページを確認してください。
| タスク | Microsoft 365 | Google Workspace |
|---|---|---|
| ベースラインポリシー | StandardまたはStrictのプリセットセキュリティポリシー | 「将来の推奨設定を自動的に適用する」を含むGmailセーフティ設定 |
| 類似送信者 | なりすまし防止（Defender for Office 365プラン1または2） | Gmail Safetyにおけるなりすましおよび認証設定 |
| 悪意のあるリンク | Safe Links（Defender for Office 365） | Gmail Safetyにおけるリンクおよび外部画像の設定 |
| 悪意のある添付ファイル | Safe Attachments (Defender for Office 365) | 添付ファイル設定およびSecurity Sandbox（一部のエディション） |
| 保留メール | 隔離ポリシーによる隔離（15〜30日間） | 迷惑メールフォルダ、または選択されたアクションに応じた管理者による隔離 |
| フロントエンドのゲートウェイ | パートナーのインバウンドコネクタおよびEnhanced Filtering for Connectors | 「外部IPを自動検出」によるインバウンドゲートウェイ設定 |
| バイパスをブロック | コネクタをゲートウェイの証明書またはIPに制限する | 「ゲートウェイIP以外からのすべてのメールを拒否する」 |
設定を変更する前に、メールボックスを保護するものは何ですか？
両方のプラットフォームですでにインバウンドメールのフィルタリングが行われています。問題は、お客様のライセンスにどの追加保護が含まれており、どれが無効になっているかです。
Microsoftは、そのDefender for Office 365の概要において、3段階の保護ラダーについて説明しています。すべてのクラウドメールボックスに組み込まれているセキュリティ機能（多くの場合Exchange Online Protection、またはEOPと呼ばれます）は、広範な既知の攻撃をブロックします。Defender for Office 365 Plan 1では、なりすまし保護、フィッシングのしきい値、Safe Links、およびSafe Attachmentsが追加されます。Microsoftは、Plan 1が含まれる例としてMicrosoft 365 Business PremiumおよびMicrosoft 365 E3を挙げています。Plan 2（例えばMicrosoft 365 E5など）では、攻撃シミュレーションのトレーニングと自動調査が追加されます。
Google Workspaceにおいて、保護機能はアプリ > Google Workspace > Gmail内の、安全性およびスパム、フィッシング、マルウェアのページにあります。一部の機能はエディションによって異なります。
全体像（なぜメールが依然として主要な侵入経路であるのか、およびMXルーティングの仕組み）については、当社のビジネスメール保護ガイドをご覧ください。
Microsoft 365におけるフィッシングメールの阻止方法とは？
まずはMicrosoftが推奨するベースラインから始め、デフォルトで有効になっていない保護機能を追加します。Microsoft Defenderポータル（security.microsoft.com）で作業を行ってください。
- プリセットセキュリティポリシーをオンにする。 [メールとコラボレーション] > [ポリシーとルール] > [脅威ポリシー] > [プリセットセキュリティポリシー] に移動します。Microsoftのプリセットセキュリティポリシーのページでは、Standardをほとんどのユーザー向けのベースラインとして、Strictを重要ターゲット向けのより強力なプロファイルとして説明しています。ほとんどの設定は固定されており、Strictが常に最初に適用され、次にStandard、その後にカスタムポリシーが適用されます。
- なりすまし保護にユーザーとドメインを追加する。 プリセットは承認済みドメインを自動的に保護しますが、ユーザー名は手動で指定する必要があります。StandardまたはStrictのプリセットでは、最大350名のユーザーと50のカスタムドメインを追加できます。役員、財務担当者、主要なサプライヤーを追加してください。Microsoftの注記によると、類似ドメインがSPF、DKIM、DMARCを通過する可能性があるため、このステップが重要となります。
- カスタムポリシーのフィッシングしきい値を確認する。 Defender for Office 365のアンチフィッシングポリシーにおいて、しきい値は1（デフォルトのStandard）から4（最も強力）までの範囲で設定できます。値が高いほど、正当なメールもより多くフラグが立てられます。
- Spoof intelligenceをオンにし、DMARCを尊重する。 Spoof intelligenceと初回コンタクトのセーフティチップは、すべてのクラウドメールボックスで利用可能です。Honor DMARC record policy設定を使用すると、送信者のp=quarantineまたはp=rejectポリシーに適合しないメールを隔離または拒否できます。
- Safe Linksがアクティブであることを確認する。 Safe Linksはメールフロー中にURLをスキャンし、ユーザーがクリックした際にもう一度チェックを行います。少なくとも1つのDefender for Office 365ライセンスをお持ちの場合、組み込みの保護プリセットが、他のポリシーの対象外となっているすべてのユーザーにSafe Linksを適用します。Let users click through to the original URLはオフのままにしてください。
- 「報告」ボタンをオンにします。 ユーザー報告設定で、組み込みの報告ボタンを有効にします。Microsoftの報告ガイドに従い、ユーザーはサポートされているOutlookアプリからフィッシングを報告できるようになり、報告はMicrosoft、報告用メールボックス、またはその両方に送信されます。
- 構成アナライザーを実行します。 構成アナライザーは、お客様のポリシーをStandardおよびStrict設定と比較し、より強度の低い設定をすべてリストアップします。
Microsoft 365の隔離：ユーザーが解放できるものとできないもの
Microsoftの隔離の概要によると、マルウェアと信頼度の高いフィッシングは常に隔離され、管理者のみがそれらを解放できます。デフォルトでは、ユーザーは自身に検知されたスパム、一斉送信、フィッシング、およびなりすましを処理できます。隔離ポリシーによって、ユーザーができる操作と通知の有無を設定します。デフォルトのポリシーで保持されたスパムは15日間で期限切れとなります（1日から30日の間で調整可能）。プリセットでは30日間保持されます。必要なメールが削除される前に解放できるよう、通知をオンにしてください。
Google Workspaceでスパムやフィッシングを停止するにはどうすればよいですか？
Gmailにおいて、最大の効果が得られるのは、高度なセーフティ設定と自社ドメインの認証です。これにはGmail設定の管理者権限が必要です。
- Gmailセーフティを開きます。 アプリ > Google Workspace > Gmail > セーフティの順に進みます。Googleの高度なフィッシングおよびマルウェア保護ページでは、制御項目が「添付ファイル」、「リンクおよび外部画像」、「なりすましおよび認証」の3つの領域に分類されています。
- 各保護機能をオンにし、アクションを選択します。 デフォルトのアクションは「メールを受信トレイに保持し、警告を表示する」です。代わりに、メールをスパムに移動したり、ユーザーに通知が行かない管理者の隔離領域に送信したりすることも可能です。
- 各エリアで「将来の推奨設定を自動的に適用する」にチェックを入れると、Googleによる新しい保護機能が自動的に有効になります。
- 配信前のメッセージスキャンを強化する。 スパム、フィッシング、マルウェアの設定にあるこの機能は、不審なメッセージの配信を一時的に遅延させ、Gmailが配信前に追加のチェックを実行できるようにします。
- ご利用のプランで利用可能な場合は、Security Sandboxをオンにします。 Security Sandboxは、仮想環境で添付ファイルを開きます。デフォルトではオフになっており、配信が最大3分遅延する場合があります。Business Standard、Business Plus、Enterprise、Frontline Plusの各エディションで利用可能です。
- 組織の最上位レベルで設定を適用して、すべてのユーザーを保護対象にします。変更が反映されるまで最大24時間かかる場合があります。
ドメインに対してSPF、DKIM、DMARCを実施すれば、受信するフィッシングを防げますか？
これらの機能は、攻撃者がお客様のドメインと全く同じドメインを使用して送信することを防ぎます。類似ドメインや、乗っ取られた外部アカウントによる送信を防ぐことはできません。
- SPF (RFC 7208)には、お客様のドメインとして送信が許可されているサーバーがリスト化されます。Workspaceの値については、GoogleのSPFガイドを参照してください。
- DKIM (RFC 6376)は、各メッセージに署名を行います。Google Workspaceにおいて、Gmail > メールの認証の下でキーを生成して公開し、「認証を開始」をクリックします（GoogleのDKIMガイドでは2048ビットを推奨しています）。
- DMARC (RFC 7489)は、両方のチェックに失敗した場合の受信側の動作を規定しています。GoogleのDMARCガイドでは、SPFまたはDKIMの後に48時間待機し、まずはp=noneから開始して、その後quarantine（隔離）またはreject（拒否）に移行することを推奨しています。
インバウンドゲートウェイは、お客様のSPFレコードを変更することはありません。SPFにサービスを追加するのは、そこを経由してアウトバウンドメールを送信する場合のみにしてください。
Microsoft 365またはGoogle Workspaceの前段にサードパーティのスパムフィルターを追加すべきなのはどのような時ですか？
組み込みフィルターの調整では問題が解決しなくなった場合、または組み込みフィルターでは提供されない機能が必要な場合にゲートウェイを追加してください。これは第2層の防御であり、置き換えではありません。
Microsoftはトレードオフについて明確に述べています。Microsoft以外のセキュリティサービスを統合するためのガイドでは、製品を追加するにつれて、コストの増加、複雑性の増大、および誤検知（false positives）の増加が挙げられています。また、「完全な保護が100%に達することはありません」とも記されています。それでもゲートウェイを追加する一般的な理由は以下の通りです：
- StandardまたはStrict設定を適用した後でも、スパムやフィッシングが受信トレイに到達することがあります。
- ライセンスにDefender for Office 365が含まれておらず、ユーザーごとのアドオン費用が予算を超えてしまう場合。
- 複数のドメインやメールプラットフォームに対して、単一のquarantineと一連のルールを適用しつつ、各ユーザーにはシンプルな個人用quarantineを提供したい場合。
Microsoftは、MXがゲートウェイを指し、かつEnhanced Filtering for Connectorsがオンになっている設定を完全にサポートしています。メールがスキャン目的でMicrosoft 365から一度出てから戻ってくるような、イン・アンド・アウト・ルーティングは避けることが推奨されています。
Microsoft 365の前面にゲートウェイフィルターを追加するにはどうすればよいですか？
パートナー受信コネクタを作成し、拡張フィルタリングをオンにして、MXを移動させ、その後、ゲートウェイのみが配信できるようにテナントをロックします。実行する順番が重要です。
- MXのTTLを、変更を行う前日に約300秒に下げておきます。
- Exchange管理センター（メールフロー > コネクタ）で、すべての送信ドメイン（*）を対象とし、TLSを必須とするパートナー受信コネクタを作成します。制限設定は、現時点ではオフのままにしておいてください。
- security.microsoft.com/skiplistingでEnhanced Filtering for Connectorsをオンにします。これを設定しないと、Microsoftの説明によれば、すべてのメッセージがゲートウェイのIPから送信されているように見えるため、なりすましチェックの精度が低下します。ゲートウェイのIP範囲を入力するか、シングルホップの場合は「最後に検出されたIPアドレスを自動的に検出してスキップする」を選択してください。少数のユーザーによるパイロット運用では、各受信者のすべてのアドレスをリストに含める必要があります。
- MXレコードをゲートウェイのホストに変更します。バックアップとしてMicrosoftのMXを保持しないでください。RFC 5321セクション5.1では、送信者がリストされている他のMXホストにフォールバックするため、スパマーがバックアップを直接ターゲットにする可能性があります。
- 古いTTLの期限が切れたら、コネクタをロックダウンします。Microsoftのサードパーティクラウドルーティングガイドでは、パートナーコネクタをゲートウェイのTLS証明書（推奨）、またはIPアドレスによって制限するように記載されています。これにより、テナントに直接送信されたメールは拒否されるようになります。
- SCL -1のバイパスルールをすべて削除します。 Microsoftは、SCL -1を「フィルタリングへの入力であり、最終決定ではない」としており、共有ゲートウェイのIPをバイパスすると、なりすましやフィッシングメールを通過させてしまう可能性があると警告しています。
- Safe Linksを使用している場合は、ゲートウェイでのリンク書き換えをオフにしてください。Microsoftは、リンクの二重ラップにより、Safe Linksによるリンクチェックが停止する可能性があると警告しています。
MicrosoftのオプトインRejectDirectSend設定（お知らせ）では、自社ドメインを送信元として使用する匿名メッセージもブロックされます。まず、Direct Sendを使用しているスキャナーやアプリを移動させてください。
Google Workspaceの前面にゲートウェイフィルタを追加するにはどうすればよいですか？
Gmailにおいて、重要な設定は受信ゲートウェイです。これにより、Gmailに対して、どのIPを無視して実際の送信者を判断すべきかを指示します。
- MXのTTLを1日前倒しで下げてください。
- 最上位組織の Apps > Google Workspace > Gmail > Spam, Phishing and Malware にある 受信ゲートウェイ を開きます。Googleの受信ゲートウェイガイドにすべてのオプションが記載されています。
- ゲートウェイのIPを追加してください。 公開IPのみが受け入れられます。メールが通過するすべてのゲートウェイをリストアップしてください。
- 「外部IPを自動検出」を選択することで、GmailはSPFのために送信元のオリジナルIPを使用します。
- 「接続にTLSを必須にする」を選択して保存します。「Gmailスパム評価を無効にする」はオフのままにしておき、Gmailをセカンドレイヤーとして維持してください。
- 設定が適用されるまでお待ちください（最大24時間）。その後、MXをゲートウェイのホストに変更してください。GoogleのMXをバックアップとして保持しないでください。
- 古いTTLの期限が切れ、ゲートウェイ経由でテストメールが届くようになったら、「Reject all mail not from gateway IPs」を選択してください。
注意すべき制限事項が1つあります。Googleには「Gmailは、インバウンドゲートウェイから届くメッセージに対して送信者のDMARCポリシーを適用しません」と記載されています。そのため、ゲートウェイ側でそのメールのなりすましチェックを行う必要があります。
設定を確定させる前に、外部のアカウントからテストメッセージを送信し、そのヘッダーを確認してください。Microsoft 365またはGmailの直前のホップがゲートウェイであるはずであり、SPFには元の送信者のIPアドレスが記載されているはずです。設定を元に戻す場合は、まずロックダウンを解除してから、次にMXを元の設定に戻してください。そうしないと、テナントが直接届いたメールを拒否してしまいます。
iBlockSpamの仕組み
iBlockSpamはBroadNetグループのブランドです（すべてのブランドをご覧ください）。これはMXレベルで機能するインバウンドフィルターです。ドメインのMXレコードを、本サービスのフィルタリングサーバーに向けて設定します。すべてのメッセージは、スパム、ウイルス、マルウェア、フィッシング、およびなりすましに対してチェックされます。クリーンなメールは、現在ご利用中のプラットフォーム（Microsoft 365、Google Workspace、cPanel/WHM、Exchange、またはその他のサーバー）にそのまま配信されます。メールボックスの移動は発生しません（仕組みについて）。
iBlockSpamのウェブサイトにおける製品に関する記載は以下の通りです：
- ドメインごとの料金。 Protectは、年払いの場合1ドメインあたり月額12ドル（年間144ドル）、月払いの場合15ドルです。Protect Plusは、年払いの場合1ドメインあたり月額19ドル（年間228ドル）、月払いの場合24ドルです。料金ページに記載されている価格はUSDにおけるベータ版の価格であり、税別です。
- すべてのメールボックスが含まれています。 ドメイン内のメールボックスおよびドメインエイリアスに、メールボックスごとの追加料金はかかりません。各ドメインには、月間100,000通の受信メッセージと、最大400 MBのメッセージサイズが含まれています。
- 全ユーザー向けのパーソナル検疫機能を備えており、ダイジェストメールを1時間ごと、毎日、指定した曜日、またはカスタムスケジュールで送信できます。管理者は共有ドメイン検疫も利用可能です。詳細は検疫とダイジェストをご覧ください。
- フィルタとリスト。 地理、添付ファイルの種類、Microsoft Officeマクロのフィルタ、カスタムドメインルール、および送信元認証を備えた許可・ブロックリストを提供します。
- ガイド付きセットアップ。 ウィザードにより、現在のDNS設定と新しい設定値を並べて表示し、ロールバックの手順を記録します。Microsoft 365セットアップページでは、Partnerコネクタ、拡張フィルタリング、およびコネクタのロックダウンについて説明しています。Google Workspaceセットアップページでは、インバウンドゲートウェイの設定について説明しています。
- アウトレージ・スプーリング。 メールサーバーがダウンしている場合、メールは最大5日間保持されます。メッセージ履歴は30日間保持されます。
- モニタリング。 MX、SPF、およびDMARCのドリフトアラート（Protectは毎週、Protect Plusは毎日）、DMARCレポートモニタリング、および毎日のLookalike Domain Watchを提供します。Protect Plusでは、月次のオーナーレポートと担当者によるセットアップセッションが追加されます。
本サイトでは制限事項についても明確に記載しています。無料トライアルは提供していません。代わりに、ドメインの初回年間サブスクリプションには30日間の返金保証が付いています。月額料金は返金不可となります。メールは米国で処理されます。すべてのスパムを完全に捕捉できるフィルターは存在しないため、一部のスパムが通過したり、必要なメールが保留されたりすることがあります。Lookalike Domain Watchは類似ドメインを検出しますが、それらを削除することはできません。DMARCはモニタリングレポートを提供しますが、メールのブロックは行いません。
フィッシングはテキストメッセージ（SMS）でも届きます。弊社のスミッシング防御ガイドをご覧ください。トランザクションメールの送信については、BroadNetのメールサービスをご参照ください。
ドメインの現状を確認する準備はできていますか？ 無料のEmail Health Checkを実行して、MX、SPF、DKIM、およびDMARCのレコードを読み取り、その後iBlockSpam料金ページでプランを比較し、アカウントを作成して、Microsoft 365またはGoogle Workspaceのガイド付きセットアップを開始してください。
よくある質問
Microsoft 365におけるStandardおよびStrictのプリセットセキュリティポリシーとは何ですか？
これらはMicrosoftが提供するメール用の既定の保護プロファイルです。Standardはほとんどのユーザー向けのベースラインです。Strictはより強力な設定で、役員や財務担当者などの高価値ターゲットに適しています。ほとんどの設定は編集できません。Defender for Office 365のライセンスがある場合、これらにはSafe Links、Safe Attachments、およびなりすまし防止保護も含まれます。Microsoft Defenderポータルの「脅威ポリシー」からこれらを有効にしてください。
Microsoft 365におけるフィッシングを阻止するためにDefender for Office 365は必要ですか？
基本的な保護には不要です。すべてのクラウドメールボックスには、スパム対策、マルウェア対策、スプーフィング インテリジェンス、および検疫（隔離）機能が備わっています。なりすまし保護、フィッシングのしきい値、Safe Links、およびSafe Attachmentsを利用するには、Defender for Office 365のPlan 1またはPlan 2が必要です。Microsoftは、Plan 1が含まれる例としてMicrosoft 365 Business PremiumおよびE3を、Plan 2が含まれる例としてE5を挙げています。Defender for Office 365はアドオンとしても販売されています。
Microsoft 365が隔離メールを保持する期間はどのくらいですか？
メッセージが保留された理由によって異なります。デフォルトのアンチスパムポリシーによって隔離されたスパムは15日間保持され、管理者は1日から30日の間で設定可能です。StandardおよびStrictのプリセットポリシーでは30日間保持されます。保持期間が経過すると、メッセージは完全に削除され、復元することはできません。
フィッシング対策として、Google Workspaceの管理者はどのGmail設定を有効にすべきですか？
管理コンソールの「アプリ」、Google Workspace、Gmail、Safetyを開きます。「添付ファイル、リンク、外部画像」および「なりすましと認証の保護」をオンにし、「推奨される将来の設定を自動的に適用する」にチェックを入れます。「スパム、フィッシング、マルウェア」の下で、強化された配信前メッセージスキャンを有効にし、エディションに含まれている場合はSecurity Sandboxを有効にします。すべてのユーザーが保護されるよう、トップレベルの組織に設定を適用してください。
Google Workspaceにサードパーティのスパムフィルターを追加することはできますか？
はい。まず、「スパム、フィッシング、マルウェア」内の「受信ゲートウェイ」設定で、フィルタリングサービスのパブリックIP範囲を追加し、「外部IPを自動的に検出する」および「TLSを必須にする」を選択します。次に、MXレコードをそのサービスに向けます。メールがそのサービスを経由して流れるようになったら、「ゲートウェイIP以外からのすべてのメールを拒否する」を選択します。Googleはゲートウェイメールに対して送信者のDMARCポリシーを強制しないため、ゲートウェイ側でなりすましをチェックする必要があります。
Microsoft 365をゲートウェイからのメールのみを受け付けるようにロックすると、何に影響が出ますか？
テナントに直接メールを配信しているすべての機能が動作しなくなります。これには、mail.protection.outlook.comホストに対してDirect Sendを使用してメールを送信しているスキャナー、プリンター、およびラインオブビジネス（LOB）アプリが含まれます。まず、それらを認証済みSMTPサブミッションまたは独自のコネクタに移行してください。古いMXのTTLが経過し、ゲートウェイ経由でテストメールが届くことを確認してから、コネクタをロックしてください。
ゲートウェイによるフィルタリングは、Microsoft 365またはGmailのスパムフィルタリングの代わりになりますか？
いいえ。ゲートウェイは第一層として前面に配置されます。Microsoft 365は常に受信メールをスキャンし、Enhanced Filtering for Connectorsを使用する場合はゲートウェイではなく元の送信者を判定します。ゲートウェイメールに対するスパム評価を無効にしない限り、Gmailもスキャンを継続します（通常、これは推奨されません）。2つの層を設けることでより多くのスパムを捕捉できますが、コストは増加します。