スパムメール･スパムメッセージとは？例や企業がとるべき正しい対策

スパムメッセージについてお悩みですか？毎日大量に送られるスパムメッセージは企業にとって大きな脅威です。国内でもスパムメッセージによる被害事例は多く、企業はその存在を無視できません。

この記事ではスパムメッセージについて、その特徴や事例、企業が取るべき対策についてご紹介します。

スパムメッセージとは

スパムメッセージとは、受信者の同意や希望に関係なく大量に送られる迷惑メッセージのことを指します。通常、スパムは商業的な広告や宣伝、詐欺行為の一環として配信されます。電子メールやSMS、ソーシャルメディア、メッセンジャーアプリなど、さまざまな通信手段を通じて送信されます。

スパムメッセージの特徴は、以下です。

大量送信

不特定多数の人々に一斉に送信されることが多い。

無関係な内容

多くが受信者にとって関連性のない、興味のない内容である。

不正行為のリスク

フィッシング詐欺やマルウェアの拡散など、悪意を持った目的で送られることもあります。

スパムメッセージは、個人のプライバシーを侵害すると共に通信ネットワークに負荷をかけるため、各国で法律によって規制されています。日本では「特定電子メールの送信の適正化等に関する法律（特定電子メール法）」と「特定商取引に関する法律（特商法）」でスパムメッセージが規制されています。

なぜスパムメッセージが届くのか？

スパムメッセージが企業に届く理由はいくつかあります。以下は主な原因です。

メールアドレスの公開

企業のウェブサイトやオンラインディレクトリでメールアドレスを公開している場合、スパムボット（自動化されたプログラム）がこれらのアドレスを収集して、スパムリストに追加することがあります。

マルウェア感染による情報漏洩

マルウェアによる感染でPCのメールの連絡先からメールアドレスが窃取され、スパム業者の手に渡ることがあります。

▼関連記事

情報漏洩とは？原因やリスクと企業が取るべき対策をわかりやすく解説

メールによる情報漏洩の原因は誤送信とマルウェア感染だった！必要な対策を解説

無差別メール送信

スパム業者は、ランダムに生成されたメールアドレスに対して一斉にメールを送信することがあります。この方法では、存在するメールアドレスに偶然届くことも多く、企業もターゲットにされることがあります。

以前の取引や登録

企業が過去に特定のサービスに登録したり取引を行った場合、そのリストがスパム業者に渡ることがあります。たとえば、メールリストの共有や売買が原因となることがあります。

セキュリティ対策の脆弱性

企業のメールサーバやネットワークのセキュリティが不十分な場合、スパムメッセージがフィルタリングされずに受信ボックスに届くことがあります。

スパムメッセージは犯罪者の有効なビジネスツールの1つとなっており、企業は被害に遭わないよう対策する必要があります。

スパムメッセージの目的

スパムメッセージが送られてくる目的はいくつかありますが、主に次のようなものが挙げられます。

商業的宣伝

最も一般的な目的は、製品やサービスの宣伝です。スパムメッセージには、宣伝内容やリンクが含まれており、受信者に商品を購入させたり、特定のサービスに登録させようとするものです。

フィッシング詐欺

フィッシング詐欺を目的とするスパムメッセージは、受信者をだまして個人情報（パスワード、クレジットカード情報、銀行口座情報など）を入力させることを狙っています。これらの情報は、悪意のある第三者に悪用される可能性があります。

マルウェアの配布

スパムメッセージには、ウイルス、トロイの木馬、ランサムウェアなどのマルウェアが添付されている場合があります。受信者が添付ファイルを開いたり、リンクをクリックすると、マルウェアがコンピュータにインストールされ、データの盗難やシステムの破壊が行われることがあります。

クリック収益

スパム業者は、ウェブサイトの広告を通じて収益を得るために、スパムメッセージを送信することがあります。受信者がリンクをクリックするたびに、スパム業者が広告収入を得る仕組みです。

偽のビジネスや投資詐欺

スパムメッセージには、偽のビジネスチャンスや投資案件を持ちかける内容が含まれることがあります。これに引っかかると、受信者が金銭をだまし取られたり、さらに詐欺に巻き込まれるリスクがあります。

ソーシャルエンジニアリング

スパムメッセージを通じて、受信者をだまして特定の行動を取らせることを目的とするものです。たとえば、緊急を装ったメールで、すぐに対応しないと大きな損害が発生すると思わせることで、冷静な判断を失わせ、詐欺行為を成功させることがあります。

情報収集

スパムメッセージを使って、受信者の反応を確認し、その人が実際にメールを利用していることを確認する目的もあります。こうして得られた情報は、さらにターゲットを絞ったフィッシング攻撃に利用されます。

企業におけるスパムメッセージ被害の実例

国内で起きたスパムメッセージの実例について、3つの被害をご紹介します。　

American Expressを騙るスパムメッセージ

某大学では、学内のメールアドレスあてにAmerican Expressを騙るスパムメールが届いていることが判明しました。

メール内には偽のカード番号下5桁の記載や「お支払いをお願いいたします」など注意を引く細工がしてあり、メッセージ内にあるリンク先では詐欺サイトが動作しています。

そのほかにも同学校では、全学メールゲートウェイのSubjectに[SPAM]が挿入されているものもありました。指定口座の記載とともにカード番号や氏名を入力するよう明記してあり、悪質なスパムメールの1つです。

参照：電気通信大学 情報基盤センター

社員名を詐称したメールを開封しマルウェア感染

某国内システム会社では、社員名を詐称したスパムメールの開封及び添付ファイルの実行により、従業員3名のパソコンがマルウェアの1つ「Emotet（エモテット）」に感染しました。

添付メールで社員名を詐称していたことで、メールを受け取った従業員は疑問を持たずに開いてしまったのでしょう。添付ファイルを開きコンテンツを有効化したことで、マルウェア感染につながってしまった事例です。

参照：Scan Net Security 社員名を詐称したメールを開封し添付ファイルを実行、従業員3名のパソコンがEmotetに感染

取引先を騙るメールを開封し感染とメール情報の窃取

某システムインテグレーション企業でも、スパムメールによって被害が拡大しているマルウェア「Emotet」による被害が発生しました。

該当のスパムメールでは取引先を騙っており、同社社員が添付ファイルを開封したことが原因です。

添付ファイルを開封したPC端末の1台が感染し、端末のアドレス帳に保存されていた情報や過去に送受信したメールに含まれる情報が盗み取られた可能性があると発表しています。

参照：Scan Net Security 取引先を騙る不審メールの添付ファイルを開封しEmotet感染、メール情報が窃取された可能性

企業が取るべきスパムメッセージ対策5選

スパムメッセージ対策として、以下の5つが有効です。

1.迷惑メールフィルタリングの設定

2.メールサーバでフィルタリングを設定する

3.ホワイトリスト・ブラックリストを採用する

4.ビジネス詐欺メールの受信を防止する

5.メール業務におけるルールを策定・周知する

それぞれについて順番に解説します。

1.迷惑メールフィルタリングの設定（アンチスパムエンジン）

スパムメッセージとして企業が多く採用しているものが、迷惑メールフィルタリングです。フィルタリング機能については、企業におけるメール設定の基本といっても過言ではありません。

迷惑メールのフィルタリング機能はサービスによって方法が異なりますが、カテゴリ分けで特定のメッセージを削除するもの、本文やタイトルに特定の文字を含んだものを削除する2種類に大別されます。

有効な対策がアンチスパムエンジンです。アンチスパムエンジンは、受信するメールを評価し、スパムメール（迷惑メール）に該当するかを自動的に判定してフィルタリングし、スパムメールの受信をブロックします。特定のキーワードやフレーズ、送信者の評判（レピュテーション）などの様々な観点からメールを分析します。さらに機械学習アルゴリズムを利用し、スパムメールのパターンを学習することでスパム判定の精度を高めます。

スパムメッセージと判断されたものは別フォルダに隔離されるため、通常の受信トレイには保管されません。正常なメールと間違ってうっかり開く恐れがないため安心です。

2.メールサーバでフィルタリングを設定する（送信ドメイン認証）

メールソフト側の迷惑メールフィルタリングと合わせて対策したいのが、メールサーバでのフィルタリング設定です。

設定条件に基づきスパムと判断したメッセージを自動で削除してくれるフィルタリング機能は、大量かつ無差別に送られるスパムメッセージに大変有効です。メール送信側で SPF、DKIM、DMARC などの送信ドメイン認証が設定されていることで、受信側は受信メールサーバで認証を行い、認証に成功したメールを優先して表示し、失敗したメールを迷惑メールに振り分けます。また、DMARCポリシーが設定されていれば、DMARCポリシーに基づき、なりすましメールを排除（受信拒否など）できます。

メールサーバに届いた時点でスパムメッセージをブロックできればメールソフトに届く前に遮断できるため、社員の目に触れることもありません。

3.ホワイトリスト・ブラックリストを採用する

特定の相手のみを受け入れる「ホワイトリスト」と特定の相手を拒否する「ブラックリスト」の活用も、スパムメッセージ対策としておすすめです。

ホワイトリストの場合、「相手が○○だった場合のみメールを受け取る」という設定になります。実は特定の相手を拒否するブラックリストよりも制限がきつくなり、特定した相手以外のメールは受け取れません。

ブラックリストの場合は「相手が××だったらメールを受け取らない」と拒否するのみで、ブラックリスト以外のメールは受信します。特定のアドレスから頻繁にスパムメッセージが来る場合は、そのアドレスをブラックリストに登録すれば迷惑メールに振り分けられます。

スパムメッセージを送り付ける詐欺業者は、膨大なメールアドレスを使い分けたり頻繁にアドレスを変えたりするケースがほとんどです。1つのアドレスをブラックリストに登録しても、別のアドレスからスパムメッセージが届く可能性があります。

上記の特性を知ったうえで、自社に合わせて使い分けましょう。

4. ビジネス詐欺メールの受信を防止する

親会社や子会社などの関連会社、銀行などの金融機関、官公庁や地方自治体、取引先などBEC攻撃の対象となりやすい送信元メールアドレスを指定し、ビジネス詐欺メールの受信を防ぐ対策です。受信メールのメールアドレスとエンベロープ情報を評価し、スパムメールを判定します。

5.メール業務におけるルールを策定・周知する

スパムメッセージを実際に受け取る従業員に注意喚起しておくと、水際対策になります。

スパムメッセージの特徴には以下が挙げられます。

• 「l」が「i」になっているなど、いつものアドレスと違う
• メール本文の日本語が不自然になっている（自動翻訳のため）
• 特にトラブルを抱えていないのに「裁判」などの不安を煽る文字が並んでいる
• クレジットカード情報や口座情報を求められる

迷惑メールフィルタリングなどで対策しても、何らかの理由ですり抜けて受信することもあります。社員にスパムメッセージの事例や特徴を周知して、不審なメールをはうっかり開かないよう周知しましょう。

まとめ

スパムメッセージについて、特徴や被害事例、企業におすすめの対策を解説しました。この記事をまとめます。

• スパムメッセージとは不特定多数に大量に送られるメッセージである
• スパムメッセージには広告や勧誘、架空請求など複数の種類がある
• 企業はフィルタリングやブラックリスト、社員への注意喚起といった対策がある

企業間では日々膨大な量のメッセージがやりとりされ、従業員にとってメール業務は重要な仕事の1つです。スパムメッセージは日々巧妙化しており、ご紹介したように不用意に開封・感染してしまう企業も少なくありません。

ご紹介したようなスパムメッセージ対策をとり、被害に遭わないよう気を付けてください。

企業向けスパムメッセージ対策

次のようなツールを活用することで、スパムメッセージ対策を行いながら安全・快適にビジネスでメールを利用するために必要なセキュリティ機能・管理機能を、オールインワンで追加できます。

Cloud Mail SECURITYSUITE（クラウドメール セキュリティスイート）

Microsoft 365、Google Workspace に対応したオールインワンのメールセキュリティサービス。2段階のウイルスチェックで外部からの攻撃を97%ブロック。スパムメールやなりすましメールをブロックできます。脅威防御・標的型攻撃対策だけでなく、「一時保留」「上長承認」「強制BCC変換」などの誤送信・個人情報漏洩対策、メールアーカイブ機能など、現在ご利用中のMicrosoft 365、Google Workspaceでは足りない、必要なセキュリティ機能・管理機能をオールインワンで追加でき、より安全に運用・管理できます。

Cloud Mail SECURITYSUITEの詳細を確認する

Microsoft365･GoogleWordspace以外のメールセキュリティ強化サービスならMAILGATES Σ（メールゲーツ シグマ）

MAILGATES Σは、Microsoft 365やGoogle Workspace以外のさまざまなメールシステムに対応するゲートウェイ型メールセキュリティサービスです。スパムメールをブロックする「アンチスパム」や、「アンチウイルス」などの受信対策のほか、添付ファイルの暗号化、PPAP対策や誤送信防止などの送信対策などを選択して導入できます。アンチウイルス・アンチスパム対策は月額100円、入口対策オプションのサンドボックスは200円で導入できます。

MAILGATES Σの詳細を確認する