会社の迷惑メール対策｜メール宛とフォーム経由、2つの入口で手当てを分ける

会社に届く迷惑メールには、メールアドレス宛と問い合わせフォーム経由という2つの入口があります。効く手段がまったく違うため、片方だけ設定しても受信トレイは静かになりません。問い合わせ窓口・Web担当・情シスを兼務している方に向けて、両方の塞ぎ方を整理します。

会社の迷惑メール対策は、2つの入口を分けるところから始まります

会社の迷惑メール対策は、まず「メールアドレス宛」と「フォーム経由」に入口を分け、別々に手を打つのが出発点です。

個人のスマホに届く迷惑メールとの最大の違いは、会社が「公開された窓口」を持っていることです。サイトに info@ や採用担当のアドレスを載せ、問い合わせフォームを置いている。前者はメールサーバーの世界、後者は自社サイトの世界で、管理する部署も使う道具も別になります。

入口1:メールアドレス宛は、管理者側の設定でかなり機械的に減らせます

メール宛の迷惑メールは、Microsoft 365 や Google Workspace の管理者設定を既定のままにせず、狙われやすい人だけ強度を上げるのが現実的です。

Microsoft 365 には「事前設定されたセキュリティポリシー」があり、標準と厳格の2段階が選べます。公開ドキュメントの比較表によると、スパムと判定されたメールを標準では迷惑メールフォルダーに移動、厳格では隔離します。広告・宣伝の一括送信を測る指標である一括メールのしきい値(BCL)も、標準は6、厳格は5と厳しくなります(Microsoft Learn)。全社を厳格にすると必要なメールまで隔離されるので、経理・役員・採用担当など狙われやすい人だけ厳格、他は標準、という当て方が扱いやすいです。

Google Workspace 側は、管理コンソールで許可リスト・拒否リストを設定でき、条件に合うメールを管理者検疫に送って処理を決められます。ただし Google 自身は、基本はユーザーが Gmail 上で迷惑メール報告を行う運用を推奨しています(Google Workspace 管理者ヘルプ)。受信フィルタの手前にあるアカウント保護や、送信側・人の運用まで含めた全体像は中小企業がまず押さえるメールセキュリティ対策の5つの層にまとめています。

SPF・DKIM・DMARC は「受け取る迷惑メールを減らす設定」ではありません

SPF・DKIM・DMARC は送信ドメイン認証、つまり自社ドメインを他人に騙られないため、そして自社が送るメールを相手に届けるための設定です。自社の受信トレイに届く迷惑メールを直接減らすものではありません。

とはいえ設定は必須です。Gmail は2024年2月以降、すべての送信者に SPF または DKIM、正引き・逆引き DNS、TLS 接続、迷惑メール率0.3%未満などを求め、1日5,000件以上送る送信者にはさらに SPF と DKIM の両方、DMARC、ワンクリックでの登録解除を求めています(Gmail 送信者ガイドライン)。自社の問い合わせ通知やメルマガが届かなくなる話に直結するので、未設定なら先にここを済ませてください。3つの違いと設定する順番はSPF・DKIM・DMARCとはで解説しています。

共有アドレスは「学習されない受信箱」になりがちです

info@ のような共有アドレスでは、迷惑メール判定が育ちません。誰も報告しない、あるいは誰かが独断で拒否リストに入れて他の人が気づかない、が起きるためです。後述の運用ルールで、報告する人を決めてしまうのが早道です。

入口2:フォーム経由が受信フィルタで止まらないのは、自社サーバーが送っているからです

フォームからの営業が迷惑メールフィルタで消えないのは、その通知メールを自社のサーバーが自社宛に送っているからです。

送信元は自社ドメイン、ドメイン認証も通り、宛先は社内。受信側のフィルタから見れば正規の社内メールです。メール側をいくら締めても1通も減りません。塞ぐ場所はメールサーバーではなく、フォームの送信そのものです。

フォームに届くものは2層に分かれます。

1. ボットによる自動投稿。リンクの羅列や文字化けなど、機械的な特徴が出ます。送信間隔や自動化の痕跡といった機械的な判定が効きます(→フォームのボット対策の基本)。
2. 人が手で書いた営業。日本語として自然で、ボット判定にはかかりません。ここが本題です。

一次データ:フォームには何が届いているか

Hajik が分析した、美容商社(国内最大手・上場)の実フォームデータ(3種類のフォーム・合計1,894件・約20か月分)では、営業の比率が用途によって大きく違いました。いずれも reCAPTCHA v3 を通過した送信で、明らかなボットは事実上ゼロ。残っていたのは人が書いたものです。

簡易ヒューリスティックによる分類であり、業種・規模・フォームの性格によって比率は大きく変わります。あくまで一社・一時点のサンプルとして読んでください。なお、これは reCAPTCHA が無意味という話ではありません。ボットを落とす役割では実際に機能していました。人が書いた営業まで判別する道具ではない、という役割の違いです。

メール側とフォーム側で、効く手段はここまで違います

同じ「迷惑メール」でも、入口が違えば有効な手段はほとんど重なりません。

拒否リストには注意が必要です。実データでは同じ企業が同一フォームに10件以上送っている例が複数ありましたが、同じ会社から営業と本物の引き合いが両方届くことも普通にあります。企業単位で永久に遮断すると本物の商談を落とすため、私たちは「この会社は営業」という絶対ルールを作らず、1件ごとの内容で見る設計にしています。

共通して効く運用ルールは4つだけです

道具を入れたあとに効くのは、担当と経路を決める4つの運用ルールです。

1. 窓口の一次判断者を決める。共有アドレスもフォームも、最初に見る人を1人決めます。全員で見る状態が一番危険です。
2. 迷ったものの置き場所を作る。判断がつかないものを削除せずに済む場所(ラベルや保留リスト)を用意します。本物を消さないための保険です。
3. 報告経路を1本にする。不審なメールは削除より先に窓口へ転送。全社周知はその窓口から出します。
4. 教育は3点に絞る。「添付を開く前に送信元を見る」「リンク先のドメインを見る」「振込先変更の連絡は必ず電話で確認する」。項目を増やすと守られません。

Hajik を自社サイトを含む複数の実サイトに設置して運用してわかったのは、道具を入れても最後の1割前後は人が見るという現実です。AI が8〜9割を自動処理し、残りを人が判断する形にしておくほうが結果的に速く回ります(→問い合わせの仕分けを仕組みにする手順)。

フォーム側は Hajik で塞げます

Hajik は、問い合わせフォームに届く営業メールを日本語の文脈で選別する B2B SaaS です。script タグを1行足すだけで動き、プラグイン追加も DNS 変更もフォームの改修も不要。送信された瞬間に判定し、99%+を遮断、残り約1%は人が判断する前提です。

保管はエンドツーエンド暗号化で、ブラウザ内で暗号化してから保存するため Hajik 側は保管データを復号できません。ただし判定精度のため、判定の瞬間だけは内容をそのまま AI に渡します(クレジットカード番号・マイナンバー・銀行口座・パスポート番号・健康情報の5種はブラウザ内で除去済み)。保管と判定は別のレイヤです(→セキュリティの考え方)。両方の入口の全体像は問い合わせフォームの営業メール対策の実務ガイドにまとめています。

よくある質問

迷惑メールフィルタを強くすれば、フォームからの営業も減りますか

減りません。フォームの通知メールは自社サーバーが自社宛に送っているため、受信フィルタから見れば正規の社内メールです。締めると、取引先の正当なメールが隔離される副作用が先に出ます。

営業を送ってきた会社をブロックリストに入れてよいですか

一時的な緊急避難ならあり得ますが、恒久ルールにはしないことをおすすめします。同じ会社から営業と本物の問い合わせが両方来ることは実際にあります。送信元ではなく1件ごとの内容で判断するほうが、本物を落とすリスクが下がります。

特定電子メール法があるのに、なぜ営業が届くのですか

特定電子メール法が規制するのは、広告宣伝を目的とする「電子メールの送信」で、オプトイン規制や送信者情報の表示義務が定められています(総務省の解説)。問い合わせフォームへの入力がこの枠組みにそのまま当てはまるかは個別の事情によります。いずれにせよ、法律を理由に届かなくなるものではないので、自社側で止める手当てが必要です(→特定電子メール法とフォーム営業)。本記事は一般的な情報であり法的助言ではありません。個別の判断は専門家にご相談ください。

info@ のような共有アドレスはやめたほうがいいですか

やめる必要はありません。問題はアドレスの形ではなく、誰も報告せず誰も一次判断をしない状態です。担当と報告経路を決めれば共有アドレスのままで運用できます。

まとめ:明日やること

1. 自社の迷惑メールを、メール宛とフォーム経由に分けて数える(1週間分でも傾向は出ます)。
2. Microsoft 365 / Google Workspace の管理画面で、ポリシーが既定のままか確認する。狙われやすい人だけ強度を上げる。
3. SPF・DKIM・DMARC が設定済みか確認する。未設定なら、受信対策より先にここを済ませる。
4. 問い合わせ窓口の一次判断者と、迷ったものの置き場所を決めて周知する。
5. フォーム経由の量が多いなら、無料診断で自社フォームの状況を確認する。設置して試すなら14日間の無料トライアルから始められます。