公開2026.07.07更新2026.09.04 セキュリティ

スパムとは？迷惑メール・SMS・SNSの手口と企業が取るべき対策を解説

スパムとは、受け手の同意なく一方的に大量送信される迷惑な通信の総称です。多くは広告メールや詐欺メールを指しますが、いまはSMS（ショートメッセージ）や電話、インスタグラム・X（旧Twitter）などSNSのメッセージにも広がっています。この記事で扱うのは、スパムの定義と名前の由来、特定電子メール法との関係、メール・SMS・SNSといった種類ごとの手口と見分け方、うっかり開いてしまったときの対処です。そのうえで、個人はスマホやメールの迷惑メールフィルタでおおむね足りるのに対し、企業は受信フィルタだけでは守り切れず、自社ドメインを詐称・踏み台にされないための送信ドメイン認証（SPF・DKIM・DMARC）まで必要になる理由を、判断基準として示します。後半ではDNSレコードの記述例とdigでの確認手順、GmailとOutlookが大量送信者に課す条件も具体的に並べました。「スパムとして報告するとどうなるか」といった素朴な疑問にも答えます。

まとめ：スパム対策で個人と企業が最初に押さえる要点

スパムの本質は「同意なく一方的に送りつけられる迷惑通信」です。単に鬱陶しいだけのものから、フィッシングやマルウェア感染の入り口になる危険なものまで幅があり、まず両者を切り分けて考えると対処を誤りません。届く経路もメールにとどまらず、SMS・電話・SNSのダイレクトメッセージへ広がっています。

対策は立場で分かれます。個人であれば、スマホやメールサービスに標準搭載された迷惑メールフィルタを有効にし、身に覚えのないリンクや添付を開かない運用でおおむね守れます。企業はそれだけでは足りません。自社のドメインが第三者になりすまされ、取引先へ詐欺メールを送る踏み台にされると、被害者であると同時に加害者側にも立たされます。これを防ぐのが送信ドメイン認証（SPF・DKIM・DMARC）で、受信対策と送信側の対策を両輪で回すことが、企業のスパム対策の出発点になります。

もうひとつ、送信側の対策は「なりすまし防止」だけの話ではなくなりました。GmailとOutlook.comがそれぞれ1日5,000通規模の送信者にSPF・DKIM・DMARCを要件化しており、未設定のドメインは自社の正規メールが迷惑フォルダへ落ちるか、そもそも受け取ってもらえません。スパム対策を放置することが、そのまま自社メールの到達率の問題に直結する構図です。以下で各論点を順に掘り下げます。

スパムとは何か｜迷惑通信としての定義と名前の由来をわかりやすく解説

スパムをひとことで言えば、受け手が望んでいないのに一方的・大量に送りつけられるメッセージのことです。判断の軸は「同意の有無」にあります。自分で登録したメルマガは同意があるためスパムではなく、心当たりのない相手から突然届く宣伝や勧誘がスパムに当たります。

スパムの定義｜望まない・一方的・大量という3つの条件と判断軸

スパムかどうかは、送られ方で判断します。第一に受信者の同意がない、第二に送り手の都合で一方的に送られる、第三に同じ内容が不特定多数へ大量にばらまかれる、という性質を備えたものがスパムです。商品広告、出会い系や投資への勧誘、当選をうたう詐欺、実在企業を装った偽の通知などが典型例になります。逆に、こちらから資料請求した企業からの案内や、契約中のサービスの通知は、同意があるためスパムには含まれません。「スパムとは何ですか」と問われたら、この同意の有無を基準に説明すると誤解が減ります。

スパムと法律の関係｜特定電子メール法のオプトイン規制と適用範囲

日本では、広告や宣伝を目的とする電子メールの送信を特定電子メール法（特定電子メールの送信の適正化等に関する法律・平成14年法律第26号）が規律しています。原則は、あらかじめ同意した相手にしか送れないオプトイン規制です。総務省の迷惑メール対策のページには法律本文・施行規則・施行令に加え、平成20年11月策定の「特定電子メールの送信の適正化等に関するガイドライン」が置かれており、同意の取得方法や記録の保存、送信者名・連絡先・受信拒否の通知先の表示義務が示されています（2026年9月時点の掲載内容）。

ここは受信側の話で終わりません。メルマガやキャンペーン通知を配信している企業は、自社の送信が同意の取得と表示義務を満たしているかを点検する立場に立ちます。同意の記録が残っていない名簿への一斉配信は、受け手からスパムとして報告される前に、法の要件を欠いた送信になっている恐れがあるからです。スパム対策を「守り」だけの課題と捉えると、この送信側の論点が抜け落ちます。

スパムの語源｜食品のSPAMとモンティ・パイソンのコント由来

迷惑メールを「スパム」と呼ぶのは、米国ホーメル社の缶詰食品「SPAM」が語源です。1970年前後の英国のコメディ番組「モンティ・パイソン」に、レストランの品書きが何を頼んでもSPAMだらけで、店員や客が「SPAM、SPAM、SPAM…」と連呼し会話を埋め尽くすコントがありました。この「頼んでもいないのに一方的にあふれてくる」様子が、望まないメールで受信箱が埋まる状況に重ねられ、ネット上で迷惑メールの呼び名として定着したものです。食品のSPAMは商標であり、迷惑通信の意味とは無関係と言えます。「スパムとは肉のこと」という素朴な疑問は、この語源をたどると納得できるはずです。

スパムとフィッシング・マルウェアの違いと危険度の重なりの整理

スパムは「送られ方」を指す言葉で、内容の危険度はさまざまです。混同されやすい言葉との違いを整理します。スパムのうち、ID・パスワードやクレジットカード番号をだまし取ろうとするものがフィッシングで、添付ファイルやリンクから不正なプログラムを送り込もうとするものがマルウェアの配布です。つまりスパムは器で、その中身にフィッシングやマルウェアが仕込まれることがある、という関係になります。

用語	指すもの	主な狙い	危険度
スパム	望まない一方的な通信	広告・宣伝・拡散	低〜高
フィッシング	偽サイトへ誘導する詐欺	認証情報の窃取	高
マルウェア配布	不正プログラムの送付	端末の感染・侵入	高

広告目的だけの単純なスパムは削除すれば済みますが、フィッシングやマルウェアを含むスパムは、開くだけ・リンクを押すだけで実害につながります。届いたスパムがどちら寄りかを見極めることが、次の対処の分かれ道になります。特定の企業や担当者を狙って文面を作り込んでくる標的型攻撃メールは、大量ばらまき型のスパムと違って外形の違和感が薄く、同じ見分け方では通用しない点にも注意してください。

スパムの種類と手口｜メール・SMS・電話・SNSでの広がり方

スパムはメールから始まり、いまは連絡手段のほぼすべてに侵入しています。経路ごとに手口と危険の質が違うため、届いた場所に応じた警戒が要ります。

メールスパム｜広告・詐欺・なりすまし通知の見分けどころと特徴

最も歴史が長いのがメールスパムです。安価な健康食品やブランド品の広告、宝くじ当選や高額報酬をうたう詐欺、宅配便の不在通知やカード会社を装った偽の連絡などが日々ばらまかれます。ここ数年で目立つのは、実在する企業やサービスの名前・ロゴをそっくりまねた「なりすまし型」で、本物と見分けにくいのが厄介な点です。送信元アドレスのドメインが公式と微妙に違う、日本語が不自然、緊急を装ってリンクを押させようとする、といった特徴が判別の手がかりになります。

SMS・電話のスパム｜スミッシングと迷惑電話の手口の見分け方

スマホのSMSに届く迷惑メッセージは「スミッシング」と呼ばれ、宅配業者や金融機関を装って偽サイトへ誘導する手口が典型です。「スパムとは電話」で調べる人が多いように、音声通話でも自動音声で不安をあおる詐欺電話や、非通知・海外番号からの迷惑コールが増えました。着信画面に「スパムの可能性」と表示されるのは、通信事業者やスマホのOSが過去の通報データを基に危険な番号を推定しているためです。逆に「スパムではない」と表示されても安全の保証ではなく、あくまで自動判定の目安として受け止める必要があります。

SNSスパム｜インスタグラム・XのDMと乗っ取り・勧誘の手口

「インスタスパムとは」の検索が示すとおり、SNSでもスパムは日常化しています。フォロワーを装った不審なアカウントからのダイレクトメッセージ、投資や副業への勧誘コメント、偽キャンペーンでID入力を促す手口などが代表例です。乗っ取られた知人アカウントから怪しいリンクが届くこともあり、送り主が知り合いでも内容が唐突なら警戒が要ります。SNSの「スパムとして報告」機能は、こうしたアカウントや投稿を運営に通報し、表示や活動を制限してもらうための仕組みです。「スパム行為」とは、こうした一方的な勧誘・大量投稿・自動化された迷惑行為を広く指します。

スパムが実害に変わる規模｜報告件数と悪用ブランド数の公表値から見る

スパムがどれだけ実害に転化しているかは、公表値で確かめられます。フィッシング対策協議会の2026年7月の報告状況によると、同月のフィッシング報告件数は66,119件、重複を除いたフィッシングサイトのURL件数は43,267件、悪用されたブランドは101件でした。前月比で報告件数は6,251件減った一方、サイトURLは1,026件増えており、送りつける量が減っても偽サイトの数は減っていません。

内訳を見ると、Amazonをかたるものが報告全体の約37.0%、Appleが約11.8%、セゾンカードが約7.7%と続き、分野別ではEC系が約50.5%、クレジット・信販系が約25.4%を占めます。つまり届くスパムの多くは、買い物と決済にひもづいた「本物らしい通知」の姿で来ます。身に覚えのない注文確認やカードの利用通知が来たとき、メール内のリンクではなく公式アプリから確認する習慣が効くのは、この偏りが理由です（数値は2026年7月分の公表時点）。

スパムの見分け方と受け取ったときの対処法｜個人ができる守り方

スパムは完全にゼロにはできません。届く前提で、開かずに見分ける目と、うっかり触れてしまったときの手順を用意しておくと被害を抑えられます。

スパムの見分け方｜開く前に外形で確認したいチェック点と手がかり

怪しいメッセージは、本文を読み込む前に外形で判断します。次の兆候が複数当てはまるものは、開かず削除するのが安全です。

送信元のアドレスやドメインが公式と微妙に異なる（余分な文字・別ドメイン）
「至急」「アカウント停止」など不安をあおり即座の操作を迫る
心当たりのない当選・返金・請求を告げてくる
日本語の言い回しや敬語が不自然で、宛名が「お客様」など汎用的
短縮URLや、表示文字と実際のリンク先が異なるボタンが含まれる

一つだけなら誤送信の可能性もありますが、複数重なるほどスパムの疑いが濃くなります。判断に迷うときは、リンクをたどらず公式アプリや正規サイトから直接ログインして真偽を確かめてください。

開いてしまったときの対処｜リンクを押した・添付を開いた直後の対応

本文を開いただけなら、多くの場合は直ちに被害には至りません。問題はその先の操作です。リンク先でIDやパスワードを入力してしまった場合は、すぐに当該サービスのパスワードを変更し、同じ組み合わせを使い回している他のサービスも変更します。添付ファイルを開いてマルウェアが疑われるときは、端末をネットワークから切り離し、セキュリティソフトでスキャンし、業務端末なら情報システム部門へ速やかに連絡してください。金銭をだまし取られた、カード情報を入力したといった場合は、カード会社への連絡と警察・消費生活センターへの相談を急ぎます。

パスワードを変えるだけでは、すでに盗まれた認証情報での不正ログインを止め切れない場合があります。主要なサービスでは、変更と同時に二段階認証を有効にしておくと、ID・パスワードが漏れた後の被害を一段抑えられます。

個人ができる予防設定｜迷惑メールフィルタと報告・登録先の管理

受け取る量そのものは、設定である程度まで減らせます。まずスマホやメールサービスの迷惑メールフィルタを有効にし、明らかなスパムは迷惑メールとして報告しておくと安心です。この報告はサービス側の判定精度を高め、同種のメールが次からフィルタされやすくなります。あわせて、懸賞やキャンペーンで安易にメールアドレスを登録しない、SNSは非公開やDM制限を使うなど、連絡先をばらまかない運用も効きます。すでに大量に届く場合は、メインとサブでアドレスを使い分け、重要な連絡だけを別アドレスに集約する方法も有効です。

企業のスパム対策｜受信フィルタの限界と送信ドメイン認証という両輪

企業のスパム対策は、個人の延長では設計できません。受信を防ぐだけでなく、自社が「なりすましの材料」にされない備えまで含めて初めて成立します。ここが本記事で最も伝えたい判断です。

受信対策だけでは足りない理由｜なりすまし・踏み台にされるリスク

受信側のスパムフィルタは、届く迷惑メールを減らす守りの要ですが、片側の対策にすぎません。攻撃者は、実在企業のドメインを詐称して取引先へ請求書偽装（ビジネスメール詐欺）を送り込みます。このとき詐称されるのはフィルタを入れている側ではなく、詐称元にされた企業の信用です。自社ドメインが野放しなら、フィルタをいくら強化しても、取引先に「御社を名乗る詐欺メールが来た」と言われる事態は防げません。セキュリティを内部からの防御だけに頼る発想の限界は、境界の内側を無条件で信頼しないゼロトラストという考え方とも通じます。

送信ドメイン認証｜SPF・DKIM・DMARCで詐称を防ぐ仕組み

自社ドメインの詐称を防ぐ標準的な手立てが、送信ドメイン認証です。役割の異なる3つの仕組みを組み合わせて使う点が特徴です。SPFは「このドメインのメールを送ってよいサーバー」を宣言し、DKIMは電子署名でメールが改ざんされていないことを保証し、DMARCはSPFとDKIMの結果をふまえ「認証に失敗したメールをどう扱うか（隔離・拒否）」の方針を送信側から指示します。仕様はそれぞれRFC 7208（SPF）、RFC 6376（DKIM）、RFC 7489（DMARC）として公開されており、DMARCは2015年3月公開のInformational文書という位置づけです（2026年9月時点で同RFCが参照先）。

DMARCを拒否（reject）まで運用すると、自社を装った偽メールは受信側で弾かれやすくなります。設定はDNSレコードの追加で行いますが、正規の配信経路を洗い出さずに拒否設定を強めると自社の正規メールまで届かなくなるため、まず監視（none）から始めて段階的に強化する手順が定石です。段階ごとに何が変わるかはnone・quarantine・rejectが分ける防御差の解説で細かく追えます。こうしたメール経路の設計・運用は、情報セキュリティ全体の体制づくりの一部として組み立てると、抜け漏れが生まれにくくなります。

スパム対策の実装手順｜送信ドメイン認証をDNSに設定して確認する

ここからは実際の設定です。SPF・DKIM・DMARCはいずれもDNSのTXTレコードを追加する作業で、専用の機器やソフトは要りません。以下の例はドメインを example.com、メール配信にGoogle WorkspaceとMicrosoft 365を併用している想定で書いています。自社の配信経路に合わせて include の中身を差し替えてください。

SPFレコードの書き方｜送信サーバーを宣言して検証を通す設定例

SPFは、そのドメインの差出人でメールを送ってよいサーバーをDNSに宣言する仕組みです。ドメイン直下にTXTレコードを1本だけ置きます。

example.com. IN TXT "v=spf1 include:_spf.google.com include:spf.protection.outlook.com -all"

末尾の指定が結果を左右します。-all は宣言外のサーバーからの送信を明確な失敗（hardfail）として扱わせ、~all は「疑わしい」に留めるsoftfailです。詐称を止める目的なら -all を目指しますが、社内システムやマーケティングツールなど宣言し忘れた経路が残っていると、自社の正規メールが落ちます。導入初期は ~all で様子を見て、経路を洗い出してから -all へ切り替える順序が安全です。もう一つの落とし穴が参照回数の上限で、RFC 7208はSPF評価中にDNS問い合わせを伴う機構を10個までと定めています。include を積み増すとこの上限に触れ、SPF全体が permerror になって認証が通らなくなります。

DKIMとDMARCのレコード例｜署名と処理方針をDNSに置く書き方

DKIMは秘密鍵で署名し、対応する公開鍵をセレクタ名つきのDNSに置いて受信側に検証させます。鍵の生成と署名はメールサービス側の管理画面で行い、DNSに登録するのは公開鍵のレコードです。

selector1._domainkey.example.com. IN TXT "v=DKIM1; k=rsa; p=MIGfMA0GCSqGSIb3DQEBAQUAA4GNADCBiQKBgQCqGKukO1De7zhZj6"

DMARCは _dmarc というラベルの下に方針を置きます。p が処理方針、rua が集計レポートの受け取り先、ruf が失敗時の詳細レポートの受け取り先です。

_dmarc.example.com. IN TXT "v=DMARC1; p=none; rua=mailto:[email protected]; ruf=mailto:[email protected]; adkim=r; aspf=r; pct=100"

最初は p=none にして、ruaで届く集計レポートから自社ドメインを名乗って送っている送信元をすべて洗い出す段階です。想定外の経路が消えたら p=quarantine、さらに p=reject へ上げます。adkim と aspf はFromドメインと署名・SPFのドメインをどこまで厳密に一致させるかの指定で、r（緩和）なら組織ドメインが同じサブドメインも許容し、s（厳密）なら完全一致を求める指定です。レコードの各タグの意味と書き分けはDMARCの仕組みとレコードの書き方にまとめてあります。

公開後の確認手順｜digでDNSレコードを引いて認証結果を読む

登録したら、想定どおり公開されているかをコマンドで確かめます。反映にはDNSのTTL分の待ち時間があるため、直後に引けなくても異常とは限りません。

dig +short TXT example.com
dig +short TXT selector1._domainkey.example.com
dig +short TXT _dmarc.example.com

3本とも意図した文字列が返れば設定側は完了です。次に実際の到達を見ます。自社から社外のメールアドレスへテスト送信し、受信したメールのヘッダにある Authentication-Results 行で spf=pass、dkim=pass、dmarc=pass の3つがそろっているかを確認してください。dmarc=fail が出るときは、SPFやDKIMが通っていてもFromドメインとの整合（アライメント）が取れていない場合が多く、adkim・aspf の設定と実際の署名ドメインを見比べると原因が絞れます。自社だけで経路の棚卸しが難しい場合は、DNSやメール周りを含めた脆弱性診断・セキュリティ診断で外部から設定の穴を洗い出す進め方もあります。

Gmail・Outlookの送信者要件｜大量送信で配信が止まる条件と回避策

送信ドメイン認証は「詐称を防ぐため」だけの設定ではなくなりました。大手のメールサービスが受け入れ条件として要求しているため、未設定のままでは自社の正規メールが届かなくなります。自社でメルマガや通知メールを配信しているなら、ここは到達率の実務問題です。

Gmailの送信者ガイドライン｜1日5000通以上に課される3条件

Googleのメール送信者のガイドラインは、送信量で要件を二段に分けています。すべての送信者にはSPFまたはDKIMのいずれかの設定を求め、Gmailアドレス宛に1日5,000通以上を送るドメインにはSPF・DKIM・DMARCの3つすべてを要求します。この要件は2024年2月1日から適用されました。DMARCの方針は p=none でも要件を満たすため、まず監視モードで置くだけでも条件はクリアできます。

あわせて見られるのがスパム率です。ガイドラインはPostmaster Toolsで報告されるスパム率を0.30%未満に保つこととし、0.10%以下を目安に監視するよう示しています。0.30%を超えると配信に問題が生じるという書き方で、認証を通しても受信者からの迷惑報告が多ければ届かなくなる構造です。配信リストの同意管理と配信停止の即時反映が、技術設定と同じ重みを持ちます（2026年9月時点の記載内容）。

Outlookの新要件｜2025年5月以降に非準拠メールが受ける扱い

Microsoftも同じ方向へ動きました。Outlookの大量送信者向け要件の告知では、Outlook.com・Hotmail・Live宛に1日5,000通を超えて送るドメインに対し、DNSへSPF・DKIM・DMARCのレコードを持つことを求めています。2025年5月5日以降、要件を満たさない送信は迷惑メールフォルダへ振り分けられ、その後は非準拠メッセージの拒否へ移る方針が示されました（拒否開始の具体的な日付は同告知の時点で未公表）。

技術要件のほかに2点が挙げられています。ひとつはFromまたはReply-Toのアドレスが実在の送信ドメインを反映し、返信を受け取れる状態であること。もうひとつはFromドメイン（またはサブドメイン）とSPF・DKIMで使うドメインを一致させるアライメントです。noreplyアドレスで受信箱を捨てている運用や、配信サービスのドメインで署名してFromだけ自社ドメインにしている構成は、この2点に引っかかります。要件を並べると、GmailとOutlookで求められる中身はほぼ同じで、片方に合わせれば他方もおおむね満たせる形です。

個人と企業でどこまでやるか｜スパム対策の投資判断と優先順位の決め方

対策の線引きははっきりしています。個人利用なら、標準の迷惑メールフィルタと「開かない」習慣で十分で、専用ツールへの追加投資は多くの場合過剰です。判断の目安は「自社ドメインのメールが外部に信用の前提で受け取られているか」で、取引の信用がメールに乗っている企業ほど、送信ドメイン認証は後回しにできません。

小規模事業者の優先順位｜まず受信フィルタとSPF・DKIMを固める

従業員数名までの小規模事業なら、利用中のメールサービスのフィルタを有効にし、SPFとDKIMを確実に設定することを最優先にします。この2つはメールサービスの管理画面とDNSの操作だけで済み、外部の製品購入は不要です。DMARCは p=none で置いてレポートを受け取る状態にしておけば、GmailとOutlookの大量送信要件にも将来的に対応できます。ここまでを1日で終わらせられる規模なら、先にツール選定へ進む理由はありません。

取引先とメールで契約する企業｜DMARC運用と教育まで踏み込む線

一方、取引先とメールで請求や契約をやり取りする企業は、DMARCを quarantine から reject まで運用し、従業員教育まで踏み込むべきです。ここを省くとビジネスメール詐欺の踏み台リスクが残り続けます。reject へ上げる作業自体は難しくありませんが、正規経路の棚卸しに時間がかかるため、rua レポートを数週間から数か月ためて判断する進め方が現実的です。スパム対策はネットワーク全体のセキュリティ設計の一部で、リモートアクセスや拠点間通信の守りを扱うVPNの導入判断と合わせて、社内の防御を面で整えることが実務では効いてきます。

スパムとは何かに関するよくある質問｜報告・迷惑電話・語源の疑問

スパムの検索でよく併せて調べられる質問に、個人と企業の両視点で簡潔に答えます。

スパムとして報告するとどうなりますか？

報告したメールやメッセージは、サービス提供者の迷惑判定システムへ学習データとして送られ、同じ送信元や似た内容が次から迷惑フォルダへ振り分けられやすくなります。多くのサービスでは、報告したメールは自分の受信箱から迷惑フォルダへ移動する仕組みです。SNSの報告は、対象アカウントや投稿を運営が確認し、悪質と判断されれば表示制限や凍結の対象になります。個々の効果はすぐには見えませんが、多数のユーザーの報告が集まることで判定精度が上がる仕組みです。なお送信側から見ると、この報告の比率がそのままスパム率としてGmailのPostmaster Toolsに現れ、0.30%を超えると自社メールの到達に響きます。

着信に「スパムの可能性」と出るのはなぜですか？

通信事業者やスマホのOSが、過去に多くの人から迷惑電話として通報された番号や、詐欺に使われた記録のある番号のデータベースと照合し、危険度を推定して表示しています。あくまで統計的な推定のため、正規の相手が誤って表示されることもあります。逆に「スパムではない」と出ても安全の証明ではありません。表示は判断の目安と捉え、心当たりのない番号は出ない、折り返さないという対応が無難です。

スパムとは肉のことですか？名前の由来は何ですか？

迷惑メールの「スパム」の語源は、米国ホーメル社の缶詰食品「SPAM」です。英国のコメディ「モンティ・パイソン」で、注文と関係なくSPAMが料理に大量に付いてくるコントがあり、「望まないのに一方的にあふれる」様子が迷惑メールに重ねられて定着しました。食品のSPAMは商標で、迷惑通信としてのスパムとは意味のうえでつながりはありません。混同されやすいだけで、由来をたどれば別物と分かります。

スパムメールを開くだけで感染しますか？

本文を表示しただけで感染することは、いまのメールソフトでは多くありません。危険なのはその先で、添付ファイルを開く、本文中のリンクを押して偽サイトで情報を入力する、といった操作をした瞬間に被害が生じます。ただし画像の自動読み込みでメールアドレスが有効だと送信側に知られる場合があるため、心当たりのないメールは開かず削除するのが安全です。開いてしまっても、リンクや添付に触れていなければ慌てる必要はありません。

会社の対策は迷惑メールフィルタだけで十分ですか？

受信フィルタは必要ですが、それだけでは不十分です。フィルタは自社に届くスパムを減らす守りにすぎず、自社ドメインが第三者に詐称され、取引先へ詐欺メールを送る踏み台にされるのは防げません。これを防ぐには送信ドメイン認証（SPF・DKIM・DMARC）の設定が要ります。加えてGmailは1日5,000通以上の送信者に3つすべてを求め、Outlook.comも同規模の送信者へ同様の要件を課したため、未設定のままだと自社の正規メールが届かない問題も同時に抱える結果です。受信対策と送信側の対策を両輪でそろえ、従業員が不審メールを見抜ける教育まで行うのが、企業として最低限の構えになります。