【Google Workspace】迷惑メール急増！最新手口と今すぐできる対策を徹底解説

うぅ…博士、もうメールを開くのが怖いです…。
最近、受信トレイに届く迷惑メールがすごく増えてませんか？しかも、なんだか本物っぽくて、うっかりクリックしそうになるんです！

ふむ、ミマワリ君のその感覚は正しい。近頃、Google Workspace（Gmail）を使っている多くの企業で、巧妙な迷惑メール、特に情報を盗み出す「フィッシング詐欺」の報告が急増しておるんじゃ。

えっ、やっぱりそうなんですか！でも、Googleの迷惑メールフィルタってすごく優秀だって聞いてましたけど…。どうしてすり抜けちゃうんですか？

それは、攻撃者たちの手口が、GoogleのAIフィルタをも欺くほどに進化しているからじゃ。今日は、その最新手口と、我々ユーザーができる対策、そして会社の管理者がすべき設定まで、徹底的に解説していこう。受信トレイを守るための知識武装をするんじゃ！

昔の迷惑メールは、件名が「当選おめでとうございます！」だったり、本文が不自然な日本語だったりと、見分けやすかった。じゃが、今の敵はもっと賢い。主に4つの進化を遂げておる。

手口①：なりすましの高度化（ビジネスメール詐欺）

ただ送信者名を偽るだけではない。実在する取引先の担当者や、同じ会社の経理部長などになりすまし、「至急、この口座に振り込んでください」といった業務指示を装うメールを送ってくる。これは「ビジネスメール詐欺（BEC）」と呼ばれ、非常に被害額が大きい詐欺なんじゃ。

手口②：AIが生成した自然な日本語

攻撃者はAIを使って、文法的にも文脈的にも完璧な日本語のメールを作成する。「〇〇様、先日の打ち合わせの件ですが」といった自然な書き出しで、業務に関係があると思わせ、添付ファイルを開かせようとするんじゃ。

手口③：権威の悪用と緊急性の演出

「【国税庁】未払いの税金に関する通知」「【Amazon】アカウントがロックされました」など、誰もが知る組織のロゴやデザインを巧みに使い、「すぐに手続きしないと大変なことになる」と不安を煽って、冷静な判断をさせずにリンクをクリックさせようとする。

手口④：巧妙に偽装されたリンク

リンクの文字列は本物に見えても、実際の飛び先は偽サイト、ということがよくある。また、URLを短縮するサービスを悪用し、一見しただけではどこに飛ぶのか分からなくしているケースも多いんじゃ。

うわぁ…そんなに巧妙になってるんですね…。僕がうっかり騙されそうになるのも無理ないかも…。もう、何が本物で何が偽物か、見分ける自信がありません…。

弱気になるな、ミマワリ君。大丈夫、敵の手口を知れば、対策は立てられる。まずは、特別なツールを使わずに、君自身の意識とGmailの基本機能でできる「基本の4原則」を身につけるんじゃ。

原則①：「送信元」をダブルチェックする

メールを開いたら、まず送信者の名前だけでなく、その隣に表示されているメールアドレス（特に@より後ろのドメイン名）を必ず確認する癖をつけるんじゃ。「国税庁」と名乗っているのに、アドレスがinfo@kokuz-tax.comのように微妙に違ったり、zeimusyo-123@gmail.comのようなフリーメールだったりしたら、100%偽物じゃ。

原則②：「リンク」はクリック前にカーソルオン

メール本文中のリンクやボタンは、すぐにクリックしてはいかん。パソコンなら、まずリンクの上にマウスカーソルをそっと乗せてみるんじゃ。すると、画面の左下などに、そのリンクの本当の飛び先URLが表示される。表示されたURLが、リンクの文字列と全く違っていたり、怪しげなドメインだったりした場合は、絶対にクリックしてはならん。スマホの場合は、リンクを長押しするとURLが確認できるぞ。

なるほど！送信元アドレスと、リンクの飛び先を確認するんですね！これなら僕でもできそうです。

原則③：「迷惑メールを報告」でGoogleのAIを育てる

怪しいメールを受信トレイで見つけたら、ただゴミ箱に捨てるだけではもったいない。そのメールを選択して、上部にある「！」アイコン（迷惑メールを報告）をクリックするんじゃ。これをすることで、君はGoogleのAIに「こういうメールは迷惑メールですよ」と教えていることになる。多くの人が報告すれば、AIが賢くなり、同じような手口のメールが他の人に届くのを防げるようになるんじゃ。社会貢献にもなる、重要な一手間じゃぞ。

原則④：「ブロック機能」でしつこい相手を断つ

同じ送信元から何度も迷惑メールが届く場合は、「ブロック機能」が有効じゃ。メールを開き、右上の「︙」（その他）をクリックして、「（送信者名）さんをブロックする」を選択する。これで、そのメールアドレスからのメールは、今後すべて自動的に迷惑メールフォルダに振り分けられるようになるぞ。

基本の4原則、よく分かりました！これからは実践します！
でも博士、もっと積極的に、迷惑メールが受信トレイに入ってくる前にシャットアウトする方法ってないんですか？

うむ、良い心構えじゃな。それにはGmailの「フィルタ」機能を使うのが一番じゃ。これは、君が設定したルールに基づいて、メールを自動的に仕分けしてくれる賢い機能じゃ。少し設定が必要じゃが、一度作れば君の代わりに24時間働いてくれるぞ。

【実践】「フィルタ」で怪しいメールに警告ラベルを付ける方法

例えば、フィッシング詐欺でよく使われる「請求書」や「支払い」といった単語が件名に含まれるメールに、自動で「要確認」というラベルを付けてみよう。

1. Gmail画面上部の検索ボックスの右端にある、設定アイコンをクリックする。
2. 「件名」の欄に 請求書 OR 支払い OR invoice と入力する。（ORは大文字で）
3. 「フィルタを作成」をクリックする。
4. 「ラベルを付ける」にチェックを入れ、「新しいラベル」を選び、「要確認」などの分かりやすい名前を付けて作成する。
5. 最後に「フィルタを作成」をクリックすれば完了じゃ。

こうすれば、該当するメールが届いた時に、件名の横に赤い「要確認」ラベルが表示される。受信トレイで目立つので、慎重に扱うきっかけになるじゃろう。

すごい！フィルタって便利なんですね！これなら僕でも設定できそうです。
博士、僕たちユーザーができること以外に、会社としてできる対策もあるんですか？うちのシステム管理者さんにも教えてあげたいです！

もちろんだとも。個人の注意には限界がある。組織全体を守るためには、Google Workspaceの管理コンソールで、より強力な設定を施すことが不可欠じゃ。管理者の方に、ぜひ確認してもらいたい3つの設定を教えよう。

設定①：SPF, DKIM, DMARCの「三種の神器」を正しく設定する

これらは「送信ドメイン認証」と呼ばれる技術で、なりすましメールを防ぐための基本にして最強の設定じゃ。それぞれ、メールの世界の「身分証明書」「封筒の蝋封」「本人確認できなかった場合の対処指示書」のようなもの。これらが正しく設定されていないと、自社のドメインを悪用したなりすましメールを野放しにしてしまう。管理コンソールの「認証」ページで、3つとも有効になっているか今すぐ確認すべきじゃ。

設定②：「添付ファイルのコンプライアンス」ルールで危険物を排除する

ウイルスは、WordやExcelファイルに偽装したり、パスワード付きzipファイルに隠れていたりすることが多い。管理コンソールの「コンプライアンス」設定で、「マクロを含むOfficeファイル」や「暗号化されたzipファイル」が添付されたメールを、ユーザーに届ける前に管理者へ通知したり、隔離したりするルールを作成できる。これにより、うっかり開封してしまうリスクを大幅に減らせるんじゃ。

設定③：「意図しない外部返信に関する警告」を有効にする

これは、従業員が社外の初めての相手にメールを送ろうとした時や、Googleコンタクトに登録されていない相手に返信しようとした時に、Gmailが「この宛先は組織外ですが、よろしいですか？」と警告バナーを表示してくれる機能じゃ。ビジネスメール詐欺で、偽の振込先に送金してしまうようなミスを防ぐのに役立つぞ。

個人でできる対策から、会社全体での設定まで、たくさんあるんですね！僕も今日からできることを始めて、管理者さんにもこの記事を見てもらいます！博士、ありがとうございました！

うむ、その意気じゃ。巧妙化する迷惑メールとの戦いは、GoogleのAIだけに頼るのではなく、我々一人ひとりの「疑う目」と、組織としての「強固な壁」を組み合わせた「総力戦」で挑む必要がある。

今日の話をまとめると、重要なのは以下の4つじゃ。

この知識を武器に、安全で快適なデジタルワークライフを送るんじゃぞ！