迷惑メールが激減した背景と、これからの攻撃"質"の変化を見据えた対策

2026年2月27日 最終更新日時 : 2026年2月27日 サイバーレジリエンスサイバーレジリエンス
迷惑メールが激減した背景と、これからの攻撃"質"の変化を見据えた対策

サイバーレジリエンス株式会社
※本号はAIで執筆した文章を筆者が監修しています。

迷惑メールが激減した背景と、
これからの攻撃"質"の変化を見据えた対策

今朝は、
「迷惑メールが減った＝安全になった、ではない」
という、現在のメールセキュリティの本質的な変化についてお伝えします。

■ なぜ、迷惑メールが減ったのか

2026年1月以降、主要メールプロバイダの規制強化が本格化したことで、 多くの企業で迷惑メールの受信数が大幅に減少しています。 規制強化前と比べ、数分の一にまで激減したという報告も珍しくありません。

📌 なぜ減ったのか

SPF・DKIM・DMARCの認証をパスできない大量送信メールの多くが、 受信者に届く前に自動的に弾かれるようになったためです。
以前は大量に届いていた無差別型の迷惑メールが、 プロバイダ側でフィルタされる割合が飛躍的に高まっています。

この減少の主因は、主要メールプロバイダが相次いで送信ルールを厳格化したことです。
SPF・DKIM・DMARCの認証をパスできない大量送信メールの多くが、 受信者に届く前に弾かれるようになりました。

【主要プロバイダの規制強化】

プロバイダ 強化時期 主な内容 対象
Yahoo! Japan 2024年12月〜推奨開始
2025年 段階的義務化		 DMARC対応を推奨化→未対応メールをスパム扱い。
米国Yahoo!は2024年2月から大口送信者への義務化を先行実施。		 大量送信者
Microsoft
（Outlook／Hotmail）		 2025年5月5日〜 SPF・DKIM・DMARC対応を義務付け。
未対応メールはジャンクへ振り分けまたは拒否。		 1日5,000通超の
大量送信者
Gmail（Google） 2025年11月〜
（強化フェーズ）		 2024年2月の義務化に続き、未準拠バルクメールへの
ペナルティを段階的に強化。遅延・拒否の割合を拡大。		 1日5,000通超の
大量送信者

📋 Yahoo! Japanの経緯について

米国Yahoo!が大口送信者へのDMARC義務化を2024年2月から開始したのに対し、
Yahoo! Japanは2024年12月にDMARC対応を「推奨」として案内し、2025年以降に段階的な義務化へ移行しました。
「4月から強化」という一部報道は米国Yahoo!のフェーズアップを指す場合があるため、
国内向け発信では「2025年に段階的義務化」と表現するのが正確です。

■ 「量の減少」が示す、新たな脅威構造

大量無差別型の迷惑メールが弾かれるようになった半面、
攻撃者は戦略を転換しています。

💡 攻撃の質的シフト

認証をすり抜ける「少数・高精度」のターゲット型攻撃にシフトしているのです。
「迷惑メールが減った」は「攻撃が減った」ではなく、
「大量送信型が減り、見破りにくい攻撃が増えた」ことを意味します。

【変化① AI生成による"自然な文章"のフィッシング】

従来の迷惑メールは不自然な日本語や機械翻訳の跡が見破る手がかりでした。
しかし生成AIの普及により、文法的に完璧で敬語・業界用語も正確なフィッシングメールが 容易に作成できるようになっています。

⚠️ 変化のポイント

  • 「日本語がおかしい」という判断基準がもはや通用しない
  • 送信者のドメインを正規に見せる「なりすまし」と組み合わせて精度がさらに向上
  • 金額・担当者名・案件名を個人に合わせてカスタマイズするターゲット型が増加

【変化② 送信者ドメイン偽装（なりすまし）の巧妙化】

SPF・DKIM・DMARCは「送信ドメインの正当性」を確認する仕組みです。
しかし攻撃者が自身でドメインを取得・正しく設定することで、 技術フィルタをパスしたまま表示名だけ「取引先社名」「役員名」に見せる手口が増えています。

📋 主な偽装パターン

  • ヘッダFromの偽装：メールクライアントが表示する「差出人」欄だけを書き換え、実際の送信元（エンベロープFrom）は別ドメイン
  • 類似ドメイン取得：正規ドメインに酷似した文字列（数字の「1」を小文字「l」に置き換えるなど）でドメインを取得し、認証を通過させる
  • フリーメール悪用：送信元は正規GmailアカウントでDMARCをパス。「表示名」だけ役員名に設定

【変化③ チャットツールへの誘導型攻撃（BEC進化形）】

2025年12月〜2026年1月に急増した「LINE誘導型BEC」のように、
メールはあくまで入口に過ぎず、チャットツールへ誘導してから金銭や情報を搾取するパターンが定着しています。

⚠️ なぜチャットが狙われるのか

  • 「社内ツールは安全」という思い込みが守りを緩くしやすい
  • 送信元確認の習慣がなく、スピード重視で検証が後回しになる
  • メール以上に「既読・返信」のプレッシャーがあり、冷静な判断が難しい

■ 技術対策だけで防ぎ切れない理由

SPF・DKIM・DMARCを正しく設定することは必要条件ですが、十分条件ではありません。

対策 防げるもの 防げないもの（限界）
SPF 許可されていないサーバーからの送信 攻撃者が正規設定した別ドメインからの送信。転送メールのIP変更。
DKIM 送信後のメール本文・ヘッダ改ざん 攻撃者ドメインで正規署名された偽メール。
DMARC SPF・DKIMとヘッダFromの整合性チェック 正規認証済み別ドメインを使った偽メール。表示名だけの偽装。
AIフィルタ 既知パターンのスパム・マルウェア AI生成の自然な文章、初出パターンの高度標的型攻撃。

💡 核心

メール攻撃の本質は「技術的な突破」ではなく「人の判断を狂わせること」です。
どれほど精巧なフィルタがあっても、受信者が「本物だ」と信じて行動すれば被害は発生します。
技術対策＋人的対策＋組織ルールの三層が不可欠です。

■ 今こそ見直すべき対策の優先順位

【✅ 技術面の整備（まず現状確認から）】

  • ✔ SPF・DKIM・DMARCの設定状況を確認し、DMARCポリシーを段階的に p=quarantine → p=reject へ強化
  • ✔ DMARCレポート（RUAレポート）を定期的に確認し、不審な送信元を把握
  • ✔ メールゲートウェイの隔離ポリシーを維持・強化（"減ったから緩める"は逆効果）
  • ✔ 類似ドメインの監視ツール導入を検討

【✅ 運用ルールの整備（人的対策）】

  • ✔ 金銭指示は必ず電話または対面で二重確認（「至急」「役員指示」は特にリスク高）
  • ✔ メール・チャットのみで完結する振込・送金・口座変更の禁止をルール化
  • ✔ 知らない外部からのチャット招待・グループ追加は管理者確認を必須とする
  • ✔ 「疑問を持って確認することを評価する」文化の醸成

【✅ 教育と訓練（組織的対策）】

  • ✔ フィッシングメール訓練を定期実施（AI生成型の自然な文章パターンを含める）
  • ✔ インシデント報告のハードルを下げ、疑わしい場合はすぐ相談できる体制を整備
  • ✔ 全社員向けに「量は減ったが質は上がった」という現状認識を共有

■ 今すぐ確認できるチェックリスト

【技術チェック】

📋 確認ポイント

  • □ 自社ドメインのSPF・DKIM・DMARC設定を確認している
  • □ DMARCポリシーが p=none のまま放置されていない
  • □ DMARCのRUAレポートを受信・分析する運用がある
  • □ メールゲートウェイの隔離ルールを「量が減ったから」と緩めていない
  • □ 類似ドメイン（自社ドメインに似せた偽ドメイン）の監視ができている

【運用・人的チェック】

📋 確認ポイント

  • □ 金銭・口座変更の指示はメール・チャット単独で実行しないルールがある
  • □ 役員・上司からの「至急」指示でも電話確認するプロセスがある
  • □ 知らない外部からのチャット招待を管理者承認なく受けないルールがある
  • □ 「疑わしいメールを報告した人を責めない」文化が根付いている

【教育・組織チェック】

📋 確認ポイント

  • □ フィッシング訓練メールを過去1年以内に実施した
  • □ 訓練メールにAI生成の自然な日本語パターンを含めている
  • □ インシデント報告窓口と手順が全社員に周知されている
  • □ 「迷惑メールが減った＝安全」という誤認識を払拭する社内周知を行っている

■ まとめ：量の安心が"質の見落とし"を生む

⚠️ 今号のポイント

  • ✔ 主要プロバイダの規制強化で、無差別大量型の迷惑メールは減少
    → しかしこれは「攻撃者が量より質に切り替えた」ことを意味する
  • ✔ AI生成の自然な文章・精巧なドメイン偽装・チャット誘導型
    → 技術フィルタをすり抜けて人の判断を狂わせることが目的
  • ✔ 「減ったから安心」ではなく「残った1通が危険」
    → 技術・運用・組織文化の三層対策が不可欠

💡 最も重要なこと

「迷惑メールが減った」は攻撃者の戦略変更のサインです。
量が減ったことに安堵せず、残った攻撃メールの「質」に目を向けることが、
今最も必要なセキュリティ意識の転換です。

気になる点があれば、
個別に状況を伺いながらのご相談も可能です。
お気軽にご連絡ください。

本日も、どうぞ安全な一日をお過ごしください。

■ 参考情報

※2026年2月時点の情報です。
最新情報は各公式サイトで確認してください。

最後までお読みいただき、ありがとうございました。

弊社の社名となっている「レジリエンス」は、
「回復力」や「弾性」を意味する英単語です。

つまり、環境の変化や突発的な事象に対して
しなやかに粘り強く対応していく
立ち位置を意味しています。

目まぐるしく変化する時流の中で、
それを見極めつつ流されない解決策を提案致します。

****************************
サイバーレジリエンス株式会社
日本レジリエンス株式会社
〒103-0026
東京都中央区日本橋兜町17番1号
日本橋ロイヤルプラザ706
Tel 03-6823-8902
E-mail: [email protected]
https://japan-resilience.co.jp/cyber
****************************

投稿者プロフィール

サイバーレジリエンス
サイバーレジリエンス
カテゴリー
情報
前の記事
『サプライチェーンセキュリティ対策評価制度（SCS評価制度）～制度の紹介と評価へのロードマップ～』
2026年2月10日