メールによるサイバー攻撃の脅威には、ビジネスメール詐欺、フィッシングメール、標的型攻撃メール、なりすましメール、マルウェアの送受信、スパムメールによる感染など様々な種類があります。また、日本国内のビジネスにおけるメールの利用率は「98.35%（※1）」と非常に高く、攻撃対象として狙われやすくなっています。IPAが「情報セキュリティ10大脅威2024（組織）」で発表したランキングを見ても、10項目中6項目（赤字標記）がメールに関連した被害です。

出典：情報セキュリティ10大脅威2024（組織）

【参考】
※1　出典：一般社団法人日本ビジネスメール協会「ビジネスメール実態調査2023」

2022年7月～2023年2月に弊社で開催したWebセミナー後に行ったアンケート結果を集計しました。

以下の通り、メールセキュリティへの関心が非常に強いことが分かります。

Webセミナー受講後アンケート（弊社調べ）

Microsoft 365のメール利用で直面する課題は4つあります。

なりすまし対策やフィルタリング機能はMicrosoft 365にもあるものの、判定制度が十分とは言えず、チェックをすり抜けてしまうメールが多いのが課題です。また、Microsoft 365はグローバルに展開しているサービスのため、英語に比べると、日本語の判定は得意ではありません。

例えば、BCCでメールを送信する際、受信者側にBCCに記載したメールアドレスは表示されません。しかし、間違えてToやCCでメールを送信すると、受信者側にメールアドレスが表示されてしまいます。

また、送信者および受信者側との1対1のやりとりでも、添付ファイルを誤って送付してしまうケースが想定されます。こうした誤送信については、Microsoft 365の高機能版サービスで対策できますが、スタンダード版には搭載されていないため、ユーザ自身が運用でカバーする必要があります。

Microsoft 365は直近4年間で3回メール障害が発生しています。障害が発生した場合、メールの送受信ができなくなり、取引先や他部署からの問い合わせや社内・社外への報告等で、社員が通常行う必要のない業務に時間を割いてしまうことになります。また、クラウドサービスの障害復旧は、サービス提供者側に任せるしかなく、自社では対応ができないのも大きな不安材料です。こうした事態への備えが必要と考えているお客様も多いでしょう。

関連記事：業務を止めるな！Microsoft 365障害時に活躍するセカンダリメールサービスとは？

パスワード付きZIPファイルをメールで送信し、送信後にあとからメールで添付ファイルのパスワードを送信する手法のことです。ZIPファイルを暗号化すると、セキュリティ対策ソフトが中身を解析できなくなるため、仮にファイルがウィルスに感染していた場合、そのまま受信者に届いてしまう恐れがあります。また、スマートフォンではZIPファイル解凍用アプリケーションがないと展開できないケースもあり、最近はこの運用を見直す動きが広がっています。

複数のサービスを個別に導入するのではなく、4つの弱点を一挙に解決したいと考えるお客様も多いのではないでしょうか。それを実現できるのが「IIJ セキュアMXサービス」です。

IIJ セキュアMXサービスは、クラウド型でサービス提供を行う統合メールセキュリティサービスです。メールフィルタリングや誤送信対策を標準機能で提供し、オプションの「スペアメールオプション」を付加すれば、障害時に活躍するバックアップ用のメールも利用可能です。

セキュリティベンダー複数社の高精度なフィルタリングエンジンを組み合わせた多層防御が強みです。各ベンダーのエンジン毎に特徴があるため、各社のエンジンを組み合わせることで検知力が強化されます。多重検査により、巧妙ななりすましや迷惑メールを阻止し、高精度なウィルスの検知・駆除も可能です。

メールの送信を一定時間保留して宛先情報などの再確認を促す機能、キーワードやメールアドレス、添付ファイルの種類やサイズなどの条件をあらかじめ設定し、条件に合致したメールの送信を制御する機能などがあります。これらのルールや条件はお客様のポリシーに合わせてカスタマイズ可能です。

スペアメールとは、お客様が利用するクラウド型メールサービスに障害が起きた際のバックアップ用のWebメールサービスのことです。メールアドレスはいつもと同じドメイン・同じアカウントを利用することが可能です。お客様が利用するクラウド型メールサービスの障害発生時は即座にスペアメールに切り替えて、メールの利用を継続できます。お客様宛のメールをMicrosoft 365へ配送する直前でIIJの設備にコピー保管するため、障害によって確認できなくなってしまう心配はありません。障害直前を含むこれまでのやりとりも漏れなく確認することができます。

IJセキュアMXサービスはオンラインストレージサービス「DOX」との連携にも対応しています。添付ファイルはDOX経由でやりとりすることで、PPAPのリスク対策にも有効です。

Microsoft 365単体でメールセキュリティ対策を強化する場合は、上位ライセンスの複数サービスの導入が必要になります。

EOPとは、スパム、マルウェア、フィッシングの脅威から保護するクラウド型のフィルタリングサービスのことです。EOPの利用でマルウェア対策、スパムフィルタリング、フィッシング対策、設定をカスタマイズすることが可能です。

出典：Exchange Online Protection の概要
Exchange Online Protection (EOP) の概要 | Microsoft Learn

Microsoft Defender for Office 365とは、なりすましやスパムメールをブロックしたり、メールに添付された悪意ある添付ファイルやメール本文のリンクや添付ファイルのリンクの検査を行ったり、悪意あるファイルがクラウド上に共有されたときに開けないようにしたりなど、侵入した脅威を調査・対処するセキュリティ対策製品です。

ただし、これらのサービスの利用では、障害発生時の業務継続、PPAP対策ができません。これらの対策を行うにはサードパーティ製品での対応が必要です。

Microsoft 365単体で利用するのではなく、別途セキュリティサービスを組み合わせることで、Microsoft 365に足りない機能を補完しメールセキュリティを強化できます。ただし、こうしたメールセキュリティ対策サービスのほとんどが機能特化型です。送受信どちらの対策も強化したい場合は必要とする対策に合わせて複数サービスを契約し、個別に導入しなければなりません。その分、コストや運用、管理の手間が増えてしまいます。余計なコストや運用、管理の手間を増やさないように「IIJ セキュアMXサービス」でまとめて対応を行いませんか？この機会に、ぜひ一度ご検討ください。