メールセキュリティ対策｜問い合わせ窓口という「不特定多数を開く仕事」のリスク

問い合わせ窓口のメールセキュリティ対策は、「怪しいメールは開かない」を前提にした一般的な社員教育がそのまま使えません。知らない相手からの連絡を開くのが仕事で、添付を開かないと見積もりも応募書類も確認できないからです。この記事は、info@ 宛のメールと自社サイトの問い合わせフォームを日常的に見ている担当者と、その体制を決める人に向けて、窓口にだけ効く対策を5つに絞ります。

窓口のメールセキュリティ対策は、一般社員向けのルールでは埋まらない

窓口固有のリスクは「知らない差出人を開く」「添付を開く」「1つの箱を複数人で見る」「アドレスが公開されている」の4つで、いずれも心得の周知では手当てできません。

窓口は、取引先や社内の人物を装った連絡の一次受けにもなります。IPA「情報セキュリティ10大脅威 2026」組織編でも、ビジネスメール詐欺（取引先や役員になりすまして送金や情報を引き出す詐欺）が10位に入っています（IPA、2026年1月29日公表）。以下、この4つに退職時の後始末を加えて見ます。

添付とリンクの扱いを、担当者個人の判断に任せない

窓口の添付対策は、担当者の見極め力を上げるのではなく、判断そのものを減らす方向に設計します。危険な形式は届く前に止め、残りを人が見る順番です。

第一に、社内で使わない形式は管理者側で落とします。Microsoft 365 ではマルウェア対策ポリシーの「共通の添付ファイル フィルター」を有効にすると、対象受信者宛ての添付はファイル拡張子に基づいてマルウェアとして扱われます。ほとんどの実行可能ファイルの既定リストがあり、カスタマイズもできます（Microsoft Learn）。マクロ付きファイルや暗号化ZIPを業務で使っていないなら、ここが最も効きます。

第二に、残った分の確認手順を1行で決めます。「取引の文脈が思い当たらない添付は開かず、本文に書かれた番号ではなく自分で調べた公式の連絡先に確認する」。リンクも表示文字ではなく実際の遷移先で見ます（フィッシングメールの見分け方）。

第三に、自社の問い合わせフォームが添付ファイルを受け付けているなら、業務で使わない拡張子を自分で1回テスト送信し、止まるか通るかを確かめます。フォームからの通知は自社サーバーが自社宛に送るため、外部メール向けの設定がそのまま効くとは限りません。

第四に、踏んだ後を決めます。報告先を1つに指定し、初動（端末をネットワークから外す、パスワード変更、報告）と「叱らない」を明文化してください。

共有メールボックスは、パスワードを配るのをやめて権限で配る

info@ の対策で最初にやるべきは、パスワードの共有をやめ、個人アカウントに権限を割り当てる形へ変えることです。主要な2つのサービスとも機能が標準で用意されています（Microsoft 365 の共有メールボックス／Google Workspace のメールの委任・Gmail の代理人）。

パスワード共有をやめると、担当者ごとに多要素認証をかけられ、退職のたびの配り直しが消え、誰がいつ見たかを個人単位で追えます。設定変更だけで済み、費用もかかりません。ただし共有メールボックスではメンバーによる削除を制限できないため、受信箱を唯一の台帳にせず、対応状況は別の記録に残してください。

隔離フォルダは「誰も見ない場所」になりやすい

窓口では、フィルタの精度より、隔離されたものを誰がいつ見るかを決めるほうが重要です。本物の商談が隔離されたまま消えるのは、感染と同じくらい実害があります。

保持期間を過ぎたメッセージは「完全に削除され、回復できません」と明記されています。「月末にまとめて確認」では、15日設定の環境で取りこぼします。週1回、曜日と担当を決めて隔離を流し読みしてください。

窓口では、フォームからの通知メールそのものが隔離されることもあります。担当が決まっていないと、送信者は「送りました」、担当者は「届いていません」となり、失注してから気づきます。

フォーム経由で届くものは、受信フィルタの外側にある

問い合わせフォームからの通知には、迷惑メールフィルタもドメイン認証も効きません。自社サーバーが自社宛に送るので送信元は自分自身で、スパム判定がまず働かないためです。窓口の負荷はここに集中します。

量の実感として、私たちが分析した実フォームデータを挙げます。美容商社（国内最大手・上場）の3種類のフォーム、約20か月分・合計1,894件。いずれも reCAPTCHA v3 を通過した送信で、明らかなボットは除去済み、人間が書いたものだけが残っています。

• 問い合わせフォーム（534件）：営業と判断できるもの12.9%、本物らしい54.9%、判定困難32.2%
• 汎用フォーム（1,211件）：営業合計56.2%
• 採用フォーム（149件）：65.8%が人材サービスの営業。中途採用の窓口に限れば73.1%

業種・規模・フォームの性格で比率は大きく変わる、一社・一時点のサンプルです。それでも、受信側の対策を厚くしても手つかずで残る領域があるとは言えます。仕分けの組み方は問い合わせフォームの営業メール対策に、メール宛とフォーム経由で手当てを分ける考え方は会社の迷惑メール対策にまとめています。

私たちは自社サイトを含む複数の実サイトに Hajik を設置して運用していますが、この層は「ブロックする」より「ラベルを付けて人が最後に見る」設計にしないと危険です。本物を1件落とす損失は、営業メールを10件読む手間より大きいためです。99%以上を遮断し、残る1%程度は人が判断する前提にしています。

保管は、内容をブラウザ内で暗号化して保存し、事業者側が復号できない方式（E2EE）です。ただし判定の瞬間だけは内容をそのまま AI に渡し、その際もクレジットカード番号・マイナンバー・銀行口座・パスポート番号・健康情報の5種はブラウザ内で除去してから送ります。「保管は復号できない」と「判定時は内容を見る」は別レイヤです（セキュリティの考え方）。

退職・異動のたびに、窓口のアクセス権を棚卸す

窓口は担当が入れ替わる部署です。権限の付け外しを退職手続きに組み込まないと、辞めた人が問い合わせを読める状態が残ります。

Microsoft は元従業員の削除を、サインインのブロックからメールボックスの保存、転送または共有メールボックスへの変換、ライセンス削除、アカウント削除までの7手順で示し、ライセンスを削除するとメール・連絡先・予定表は30日間保持されてから完全に削除されると明記しています（Microsoft Learn）。順番を間違えると引き継ぎ前にデータが消えます。

窓口特有の確認事項は次の5つです。

1. 共有メールボックスのメンバーから外す、または Gmail の委任を解除する
2. フォームの通知先に退職者の個人アドレスが入っていないか確認する
3. 判定・管理ツールのアカウントを削除し、共有していた鍵やパスワードを更新する
4. 個人の受信箱へ転送していた窓口メールの扱いを決める
5. 顧客の個人情報を含む問い合わせを手元に保存していないか本人に確認する

とくに2は忘れられがちで、転送が残ると退職後も問い合わせが個人に届き続けます。個人情報の保管・削除・委託先管理の実務は問い合わせフォームの個人情報の扱い方に整理しました。

よくある質問

窓口の担当者に「不審なメールは開くな」と教えるのは間違いですか

窓口には成立しない指示で、守れないルールは形骸化します。「開く」前提で、危険な形式は管理者側で止め、確認経路と報告先を決めるほうが実効性があります。

info@ のパスワードを全員で共有しています。今すぐ変えるべきですか

変えるより、共有メールボックスや委任に切り替えるほうが根本的です。個人アカウントに権限を割り当てれば多要素認証もログも機能し、配り直しが不要になります。

問い合わせフォームもメールセキュリティの範囲ですか

範囲に入れるべきです。受け取る側から見れば同じ「知らない相手からの連絡」で、時間を奪う点も共通します。ただし受信フィルタが効かないため、対策は別立てにします。

明日やること

• info@ に共有パスワードでログインしている人数を数える
• 共有メールボックスの権限や Gmail の委任の一覧を出し、退職者が残っていないか見る
• 迷惑メール／検疫フォルダの保持日数を確認し、確認担当と曜日をカレンダーに入れる
• 社内で使わない添付形式を洗い出し、受信段階で止められるか聞く
• 問い合わせフォームに届いた直近1か月ぶんを開き、営業が何割かを数える

最後の1つで「思ったより多い」と感じたら、無料診断で自社フォームの状況を確認してください。判定を試すなら14日間の無料トライアルがあります。導入は既存サイトに script タグを1行足すだけで、プラグインもDNS変更も不要です。

なお本記事は一般的な情報であり、法的助言ではありません。個人情報の取り扱いの個別判断は、専門家にご相談ください。