受信者の意思に反して一方的に送られてくるメールであるスパムメール（迷惑メール）の中には、マルウェア感染や情報漏洩、不正送金を意図したメールセキュリティの脅威になるものが含まれています。この記事では、スパムメール（迷惑メール）の脅威や危険性と必要な対策ソリューションについて解説します。
スパムメール（迷惑メール）とは
スパムメール（迷惑メール）とは、受け取る人の意思に関わらず、勝手に送りつけられてくるメールの総称です。
総務省が発表している電気通信事業者１０社の全受信メール数と迷惑メール数の割合（2023年3月時点） によると、国内ISP10社が受信したメールの約4割が迷惑メールです。
現実に置き換えてみると、自宅のポストに届く手紙の10通に4通が迷惑な手紙だったら、捨てるだけでも手間になります。最近は、迷惑メールフィルタが普及したことで、迷惑メールが自動的に振り分けられるため、削除の手間は減りました。
その一方で、迷惑メールではないメールが「迷惑メールフォルダ」に誤って振り分けられてしまい、重要なメールを見逃したり削除してしまう懸念があります。本当に迷惑な存在です。
スパムメール（迷惑メール）には、次のような種類があります。
広告・広告宣伝メール
最も多く流通しているスパムメールが、受信者の事前同意のない広告宣伝メールです。携帯電話のインターネット接続サービスの普及に伴い「迷惑メール」が社会問題化したことにより、「特定電子メールの送信の適正化等に関する法律（特定電子メール法）」が2002年7月1日に施行されました。
フィッシングメール
フィッシングメールとは、送信者を詐称した電子メールを送りつけたり、偽の電子メールから公式サイトを模倣した偽のホームページに誘導するメールです。誘導先の偽のホームページでアカウント情報（ユーザーID、パスワードなど）やクレジットカード番号といった重要な情報の盗み出しやウイルス、マルウェアへの感染を意図した攻撃手法です。
なりすましメール
なりすましメールとは、悪意のある第三者が実在する企業や団体や取引先などの個人を装って送りつけるメールです。信頼できる相手からのメールと誤認させ、フィッシングメールと同様に、偽の公式ホームページへ誘導し、重要な情報の盗み出しやウイルス、マルウェアのダウンロード、またはメール返信による情報窃取を意図したメールを利用した攻撃手法です。
ビジネスメール詐欺
ビジネスメール詐欺とは、自社の経営者や海外の取引先になりすましたメールを送りつけ不正に送金を促す、詐欺を目的としたメールの攻撃手法です。BEC（Business Email Compromise)とも呼ばれます。米国FBIによると2022年には、27億ドルの被害、警察庁によると2022年のネットバンキングの不正送金額は15億円を超えました。
スパムメール（迷惑メール）対策技術
企業のメール環境で、フィッシングやなりすましなどのスパムメールの受信を防ぐ対策は、次の通りです。単一の対策を個別に導入するのではなく、それぞれの対策を複合的に導入、運用することで危険なスパムメールの受信を防ぎます。
- 送信ドメイン認証
- アンチスパムエンジン
- 不正なURLへの誘導防御
- ビジネス詐欺メールの受信防止
- スパムメールフィルター
送信ドメイン認証
送信者情報を偽装するなりすましメールへの対応では、送信ドメイン認証技術が有効です。メール送信側で SPF、DKIM、DMARC などの送信ドメイン認証が設定されていることで、受信側は受信メールサーバーで認証を行い、認証に成功したメールを優先して表示し、失敗したメールを迷惑メールに振り分けます。また、DMARCポリシーが設定されていれば、DMARCポリシーに基づき、なりすましメールを排除（受信拒否など）できます。
アンチスパムエンジン
アンチスパムエンジンは、受信するメールを評価し、スパムメール（迷惑メール）に該当するかを自動的に判定してフィルタリングし、スパムメールの受信をブロックします。特定のキーワードやフレーズ、送信者の評判（レピュテーション）などの様々な観点からメールを分析します。さらに機械学習アルゴリズムを利用し、スパムメールのパターンを学習することでスパム判定の精度を高めます。
不正なURLへの誘導防御
メール本文や添付ファイルの含まれるURLの遷移先が不正なURLをチェックします。チェック済みのURLは、メールセキュリティ対策のURLに書き換えられます。URLにダウンロードリンクが含まれている場合は、ダウンロードファイルにマルウェアが含まれていないか分析します。脅威が検知された場合には、リンク先へのアクセスをブロックしたり警告を表示します。
ビジネス詐欺メールの受信防止
親会社や子会社などの関連会社、銀行などの金融機関、官公庁や地方自治体、取引先などBEC攻撃の対象となりやすい送信元メールアドレスを指定し、ビジネスメール詐欺の受信を防ぐ対策です。受信メールのメールアドレスとエンベロープ情報を評価し、スパムメールを判定します。
スパムメールフィルター
スパムメールフィルターは、スパムメールと判定されたメールを受信トレイから除外する機能や技術です。送信ドメイン認証やアンチスパムエンジンでスパム判定されたメールを受信トレイから除外するだけではなく、メールサーバーの管理者自身で信頼できる送信者を登録する「ホワイトリスト」の設定や、既知のスパム送信者からのメールの受信を防ぐ「ブラックリスト」を設定します。
法人向けスパムメール対策ソリューション
Microsoft 365やGoogle Workspaceのスパムメール対策
サイバーソリューションズが提供するCloud Mail SECURITYSUITE（CMSS）では、月額200円からMicrosoft 365 や Google Workspaceのスパムメールを対策できます。
Microsoft 365のスパムメール対策は、メール機能のExchange Onlineのセキュリティを提供するExchange Online Protection（EOP）に標準でスパムメール対策が含まれています。Google Workspaceのスパムメール（迷惑メール）対策は、全てのプランに含まれています。
しかし、メールセキュリティの脅威は驚くべきスピードで進化しています。Microsoft 365がサイバー攻撃の標的にされたり、断続的に続くEmotet（エモテット）の脅威への対応には、大手クラウドサービスが提供するセキュリティに対し複合的な対策が求められます。
複合的なメール受信対策を提供するCMSS
CMSSは、受信する全てのメールをスキャンし、危険なメールを受信しない、または脅威を除去した状態でメールを受信できるようにします。
CMSSの導入方法
CMSSは、Microsoft 365、及びGoogle Workspaceのメールセキュリティ対策を強化します。
現在ご利用中のメール環境のスパムメール対策
サイバーソリューションズが提供するMAILGATE Σ（メールゲーツ シグマ）は、オンプレミス製品とMicrosoft365やGoogle WorkSpaceなどのクラウドサービスにも対応できるクラウドメールセキュリティサービスです。
アンチスパム、フィッシングメール対策、なりすましメール対策、ビジネスメール詐欺（BEC）対策に加え、マルウェアやEMOTET（エモテット）などのトロイの木馬の受信防御を月額100円で実現します。受信したメールに潜む未知の脅威を防御するサンドボックスを、月額200円で導入できます。
詳しくは、エモテット対策やパスワード管理等の総合メールセキュリティサービス MAIL GATES Σ をご覧ください。
法人におけるスパムメール（迷惑メール）対策の重要性
受信するメールの4割がスパムメール（迷惑メール）です。スパムメールには、広告宣伝メールや、フィッシング詐欺を目的としたフィッシングメール、経営者や取引先、従業員になりすましたなりすましメールや不正送金を狙った詐欺メールが含まれます。
スパムメールは、企業にとってリスクが高いサイバーセキュリティの攻撃手法です。スパムメールへの対策を怠ることで、次のようなリスクがあります。
- 生産性の低下：不要なメールの処理や必要なメールの判別に手間がかかる
- マルウェアやランサムウェア、EMOTETへの感染リスク
- 金銭の不正送金や重要情報の漏洩スパムメールを含む危険なメールを受信しないメールセキュリティは、生産性の低下防止とセキュリティ被害防止の観点からも重要なセキュリティ対策です。