会社のメールアドレスを装う偽メールを防げていますか？自社ドメインの確認5項目

元情報の発表日：2026年8月24日
ENOL確認日：2026年9月3日
更新日：2026年9月3日

まず結論

最近、複数の企業・サービスでDMARCポリシーを強める動きが続いています。NTTドコモビジネスは2026年8月24日、Things Cloudの送信元ドメインについて認証失敗メールの扱いをquarantineからrejectへ強化すると案内しました。筑波銀行も8月17日、9月1日からDMARCポリシーを強化すると発表しています。自社でも、WordPressの問い合わせ通知やECの注文メールなど会社名義で送る経路を把握し、正規メールを止めないよう確認しながら送信認証を見直すことが重要です。

この記事が関係する人

独自ドメインを使い、WordPressの問い合わせフォーム、ECサイト、予約・請求システム、メール配信サービスなどから会社名義のメールを送っている中小企業。特にサイト用サーバーやドメイン・DNSの管理先が分からない事業者。

今やること

1. 会社名義のメールを送る場所を一覧にします。通常の会社メールだけでなく、WordPressの問い合わせ通知・自動返信、ECの注文通知、予約・請求、メルマガも含めます。
2. ドメイン管理画面でSPF・DKIM・DMARCが設定されているか確認します。分からない場合は変更せず、ドメイン管理会社または保守担当へ現在の設定値と送信元一覧を確認します。
3. 各送信元からGmail等へテスト送信し、届くか、迷惑メールに入らないか、認証結果がpassになっているか確認します。問い合わせフォームは利用者向け自動返信と社内通知の両方を試します。
4. DMARCが未設定またはp=noneでも、正規の送信元を確認せずp=rejectへ変更しないでください。レポートと送信元を照合し、見覚えのない送信元と正規サービスの設定漏れを分けます。
5. 正規メールが通ることを確認した後、必要に応じてquarantine、rejectへ段階的に変更し、問い合わせ・注文・予約・請求メールを再テストします。

ENOLへ相談できるのは、WordPress・EC・Webフォーム、サイト用サーバーから送るメールの設定と不達の切り分けです。ドメイン・DNS側の作業が必要な場合は対応可否と担当先を整理します。Google WorkspaceやMicrosoft 365のユーザー管理・全社メールポリシーだけの問題は、契約先または社内のメール管理者へ確認してください。

期限・変更日全社共通の対応期限はありません。自社ドメインを名乗る不審メールが報告された場合や、問い合わせ・注文・予約メールの不達がある場合は早めに確認してください。

自分に関係ある？

独自ドメインから会社名義のメールを送る事業者が対象です。特に、WordPressの問い合わせフォーム、ECの注文通知、予約・請求システム、メルマガなど複数の送信経路がある場合は確認してください。GmailやYahoo!メールなどのフリーメールだけを使い、独自ドメインから送信していない事業者は優先度が低くなります。Google WorkspaceやMicrosoft 365のアカウント管理・社内メールポリシーだけの問題は、サービス提供元や社内管理者へ確認してください。

何が起きた？

2026年8月24日、NTTドコモビジネスはThings Cloudの送信元ドメインについて、なりすまし対策としてDMARCポリシーをquarantineからrejectへ強化すると案内しました。筑波銀行も8月17日、9月1日から自社メールドメインのDMARCポリシーを強化すると発表しています。警察庁は現在のフィッシング対策ページで、企業の本物のメールアドレスになりすました誘導があるとしてSPF・DKIM・DMARCなど送信ドメイン認証の導入を事業者へ案内しています。Googleも個人用Gmail宛てメールの送信者に認証要件を設けています。

なぜ気にした方がいい？

自社のメールアドレスを装った偽メールが取引先や顧客へ届くと、詐欺被害だけでなく会社の信用低下にもつながります。一方、送信元認証の設定不足や誤設定は、問い合わせの自動返信、注文・予約・請求通知など正規メールの不達にもつながる可能性があります。ENOLでは、WordPress、EC、Webフォーム、サイト用サーバーに関係する送信経路を切り分け、ドメイン・DNS側の作業が必要な場合は対応可否と適切な担当先を整理します。Google WorkspaceやMicrosoft 365だけの全社メール管理は、契約先または社内のメール管理者への確認が先になります。

言葉をかんたんに説明

SPFとDKIMは、受信側が正しい送信元から送られたかを確認する仕組みです。DMARCは、認証に失敗したメールを通常配送・隔離・拒否のどれにするかと、結果をどこへ報告するかを受信側へ伝える設定です。DMARCで防ぎやすいのは自社ドメインそのものの詐称で、似た別ドメイン、表示名だけの偽装、乗っ取られた正規アカウントまでは防げません。また、DMARCを設定しても受信トレイへの到達が保証されるわけではありません。

情報源

この記事は掲載時点で公開されている公式情報や報道をもとに、一般の事業者向けに整理しています。サービスの仕様、料金、制度などは変更される場合があります。契約や法的判断を行う際は、最新の公式情報をご確認ください。