会社のアドレスから迷惑メールが送られているときの対処

会社のアドレスから迷惑メールが送られているように見えるトラブルには、取引先からの指摘、身に覚えのないエラーメールの大量の着信、自分宛てに自分のアドレスから届く迷惑メールなど、さまざまな形があります。中身は、差出人を偽っただけのなりすましと、自社のメールやHPが実際に使われている乗っ取りに分かれます。

なりすましか乗っ取りかを見分けられれば、やるべきことがはっきりします。乗っ取りを見逃すと、自社のサーバーがブロックリストに載り、普段の取引のメールまで届かなくなるため、最初の切り分けが重要です。

本記事では、自社が対象かを確かめる手順、原因4つ、メールヘッダーの確かめ方、原因別の対処をまとめています。さらに、専門家に相談すべき条件と、なりすましに使われないための予防策も紹介します。

会社のアドレスから迷惑メールが送られているときにまず確かめること【早見表】

会社のアドレスから迷惑メールが送られているときは、まずなりすましか、乗っ取りかを切り分けます。なりすましなら自社の設定で守りを固め、乗っ取りなら今すぐ送信を止める必要があり、急ぐ度合いが違うからです。

ここでは、2つの違いと、自社が対象かを確かめる手順、結果から原因を判断する早見表を紹介します。

なりすましと乗っ取りの違い

なりすましと乗っ取りは、自社のメールやHPが送信に使われているかどうかで分かれます。メールは、もともと差出人の欄を偽って送れる仕組みだからです。総務省も、なりすましメールを防ぐ技術として、送信ドメイン認証（受け取る側が、本当にそのドメインから送られたかを確かめる仕組み）の導入を進めています（総務省）。

種類	何が起きているか	自社のメール・HP
なりすまし	第三者が、自社のアドレスを差出人の欄に書き、自分のサーバーから送っている	使われていない
乗っ取り・悪用	自社のメールアカウント、HPのフォーム、社員のパソコンなどが、実際に送信に使われている	使われている

上記の違いを押さえたうえで、次の手順で自社がどちらに当たるかを確かめましょう。

自社が対象か確かめる5つの手順

自社が対象かは、記録を残しながら、手間のかからない順に確かめます。届いたメールや戻ってきたエラーメールは、原因を調べる一番の手がかりになるからです。

1. 届いたメールの実物を手に入れる：取引先に、届いたメールを「添付」で転送してもらうか、件名・日時・差出人をそのまま教えてもらいます。戻ってきたエラーメールは消さずに残します
2. 送信済みの記録を見る：該当するアドレスのメールソフトやウェブメールで、送信済みフォルダに覚えのないメールがないかを見ます
3. パスワードを確かめる：そのアカウントのパスワードが短い、ほかのサービスと同じ、何年も変えていない、メモが共有されている、のどれかに当てはまらないかを見ます
4. HPのフォームを確かめる：問い合わせフォームに、意味の通らない内容や URL だらけの問い合わせが大量に来ていないかを見ます
5. パソコンとサーバー会社の連絡を確かめる：そのアドレスを使う社員のパソコンをウイルス対策ソフトでフルスキャンし、サーバー会社から迷惑メールの送信や不正アクセスの連絡が届いていないかも見ます

確かめた結果は、以下の早見表に当てはめて判断します。

確かめた結果から原因を判断する

確かめた結果ごとに、考えられる原因と最初にやることは以下のとおりです。

確かめた結果	考えられる原因	最初にやること
送信済みに記録がなく、エラーメールだけが大量に戻ってくる	なりすまし	取引先への注意喚起、SPF・DKIM・DMARC の確認
送信済みに覚えのないメールがある	メールアカウントの乗っ取り	パスワードの変更、端末の確認
パスワードが弱い・使い回している	乗っ取りの可能性	パスワードの変更
フォームにおかしな問い合わせが大量に来ている	フォームの悪用	自動返信の停止、ロボット対策
ウイルス対策ソフトが何か見つけた	パソコンの感染	ネットワークから外す
サーバー会社から不正アクセスの連絡が来ている	HPの改ざん・不正なプログラム	改ざんの対処

ただし、送信済みに記録がなくても、乗っ取りではないとは言い切れません。乗っ取った側が、自社のメールソフトを通さずにサーバーから直接送ることがあるためです。迷ったら、なりすましと決めつけず、パスワードの変更までは済ませておきましょう。

会社のアドレスが迷惑メールに使われる原因4つ

会社のアドレスが迷惑メールに使われる原因は、なりすまし1つと、乗っ取り・悪用の3つに分かれます。原因によって、止める方法も急ぐ度合いも変わります。

ここでは、4つの原因の仕組みと、どんなときに疑うかを紹介します。

差出人を偽ったなりすまし

なりすましは、第三者が自社のアドレスを差出人の欄に書いて、迷惑メールを送る手口です。差出人の欄は、送る側が自由に書き換えられるからです。たとえば、宛先の不明なアドレスに大量に送ると、届かなかった分の「配信できませんでした」という通知が、差出人として書かれた自社に戻ってきます。

ただし、自社のドメインに SPF・DKIM・DMARC が正しく設定されていれば、受け取る側が偽物を見分けて止めやすくなります。

メールアカウントのパスワードの流出

メールアカウントのパスワードが漏れると、自社のサーバーから本物の迷惑メールが送られます。第三者が、自社の正規のアカウントとしてログインできてしまうからです。エックスサーバーは、パスワードが流出するとスパムの送信に使われるおそれがあり、ブロックリストに載ると普通のメールも届かなくなることがあると説明しています（エックスサーバー）。

ただし、パスワードを変えても、パソコンがウイルスに感染していれば新しいパスワードもまた盗まれます。

HPの問い合わせフォームの悪用

HPの問い合わせフォームの自動返信が、迷惑メールの送信に使われることがあります。フォームの連絡先欄に無関係な第三者のアドレスを入れると、自動返信がその人に届くからです。エックスサーバーは、フォームに URL や宣伝文を書き込み、自動返信で第三者に送らせる手口を紹介しています（エックスサーバー）。

自動返信の差出人が自社のアドレスなら、受け取った人には「自社から迷惑メールが来た」ように見えます。

パソコンのウイルス感染・HPの改ざん

社員のパソコンのウイルス感染や、HPの改ざんでも、自社のアドレスや自社のサーバーが迷惑メールに使われます。たとえば、JPCERT/CC は、Emotet というウイルスに感染すると、メールアカウントやアドレス帳を盗まれ、感染を広げるメールの送信に使われるおそれがあると注意を呼びかけています（JPCERT/CC）。

JPCERT/CC の同じ注意喚起では、実際の組織間のメールのやり取りを転用し、返信を装う手口も紹介されています。取引先から「過去のメールの続きのような不審なメールが来た」と言われたら、パソコンの感染を疑いましょう。

メールヘッダーで送信元と認証結果を確かめる方法

メールヘッダーとは、メールが送られた経路や、受け取ったサーバーが確かめた認証の結果が記録された部分です。ヘッダーを見ると、なりすましか、自社のサーバーから送られたかを裏づけられます。

ここでは、Gmail でヘッダーを表示する手順と、認証結果の読み方を紹介します。取引先に届いたメールなら、ヘッダーごと転送してもらうか、該当部分を写してもらいましょう。

Gmail でヘッダーを表示する

Gmail では、パソコンのブラウザから、メール1通ごとにヘッダー全体を表示できます。Gmail ヘルプの手順は、以下のとおりです（Gmail ヘルプ）。

1. パソコンのブラウザで Gmail を開きます
2. ヘッダーを確かめたいメールを開きます
3. 返信アイコンの横にある「その他」アイコンから「メッセージのソースを表示」を選びます
4. 新しいウィンドウにヘッダーが表示されるので、「クリップボードにコピー」で写し取ります

※2026年10月時点・Gmail ヘルプより。Outlook など、ほかのメールソフトにも同じような機能があります。

Authentication-Results の読み方

ヘッダーの中の「Authentication-Results」という行には、受け取ったサーバーが確かめた SPF・DKIM・DMARC の結果が書かれています。認証の結果が「pass」なら、そのドメインの正規のサーバーから送られた可能性が高いと判断できます。

表示の例	意味	考えられること
spf=pass、dkim=pass、dmarc=pass	正規のサーバーから送られた	自社のサーバーやアカウントが使われた（乗っ取り）の可能性
spf=fail、dmarc=fail など	正規のサーバー以外から送られた	なりすましの可能性が高い
spf=none、dmarc=none など	自社が認証の設定をしていない	判断できない。自社の設定が必要

結果が「pass」なのに覚えのないメールなら、自社のアカウントやサーバーが使われている前提で、乗っ取りの対処に進んでください。

会社のアドレスが迷惑メールに使われたときの対処【原因別】

会社のアドレスが迷惑メールに使われたときの対処は、原因によって変わります。乗っ取り・悪用なら送信を止めることを最優先にし、なりすましなら取引先への連絡と認証の設定を進めます。

ここでは、なりすまし・メールアカウントの乗っ取り・フォームやパソコンの悪用の3つに分けて、対処の手順を紹介します。

なりすましのとき

なりすましのときは、取引先への注意喚起と、自社のドメインの認証の設定が中心です。自社のパスワードとは関係なく送られているため、送信そのものは自社では止められないからです。

1. 取引先や顧客に、自社を名乗る不審なメールが出回っていること、添付ファイルや URL を開かないでほしいことを伝えます
2. 自社のドメインに SPF・DKIM・DMARC が設定されているかを確かめます。設定のしかたは SPF・DKIM・DMARC とは？ 中小企業向けの設定ガイド で紹介しています
3. 戻ってくるエラーメールは、受信のルールで別のフォルダに分けます。完全に止める方法はないため、業務のメールが埋もれないようにします

DMARC を「none」（様子を見る設定）から始め、届くレポートで自社の正規の送信元を確かめてから、受け取る側に偽物を拒否させる設定へ進めるのが基本です。

メールアカウントが乗っ取られたとき

メールアカウントが乗っ取られたときは、端末の確認とパスワードの変更をセットで進めます。エックスサーバーの案内では、次の順で対処します（エックスサーバー）。ほかのサーバー会社でも、考え方は同じです。

1. そのアドレスを使っているパソコンやスマホを、ウイルス対策ソフトで確かめます
2. サーバーパネルの「メールアカウント設定」から、悪用されたアカウントのパスワードを変えます。使っていないアカウントなら削除します
3. パスワードを書いたメモが、管理画面のメモ欄や共有のファイルに残っていれば消します
4. メールソフトに新しいパスワードを設定し直します
5. 同じパスワードをほかのサービスでも使っていたら、そちらも変えます

※2026年10月時点・エックスサーバー公式マニュアルより

エックスサーバーは予防策として、「SMTP認証セキュリティ設定」や「国外アクセス制限設定」で不正な送信を制限する方法も案内しています。

フォーム・パソコン・HPが悪用されたとき

フォーム・パソコン・HPが悪用されたときは、送信の入口をふさぐことが先です。入口が開いたままでは、パスワードを変えても迷惑メールが送られ続けるからです。

• フォームの悪用：自動返信を一時的に止めるか、reCAPTCHA（人とロボットを見分ける Google の仕組み）を入れます。詳しくは 問い合わせフォームに迷惑メールが大量に来るときの対策 で解説しています
• パソコンの感染：そのパソコンをネットワークから外し、Emotet に感染したかもしれないときの確認と対処 の手順で確かめます
• HPの改ざん：サーバー会社から不正アクセスの連絡が来ているなら、HPが改ざんされたときに最初にやること の手順に進みます

自動返信を止めると、普通に問い合わせた人にも受付のメールが届かなくなります。止めている間は、HPにその旨を書いておきましょう。

会社のアドレスの迷惑メールで専門家に相談すべきとき

会社のアドレスの迷惑メールは、なりすましなら設定の見直しで落ち着くことが多い一方、乗っ取りや感染が絡むと自社だけでは原因を追いきれません。ヘッダーの読み方にも、慣れが要ります。

ここでは、専門家に相談すべき条件を紹介します。いま迷惑メールが送られ続けているなら、ひとりで抱え込まずに相談してください。

【相談すべき条件】

• パスワードを変えても、迷惑メールの送信が止まらない
• 普段の取引のメールが、相手に届かなくなった
• ウイルス対策ソフトが感染を見つけた、または Emotet が疑われる
• メールの中身に、お客さまの個人情報が含まれていた
• SPF・DKIM・DMARC を設定できる人が社内にいない

個人情報が関わる場合は、個人情報が漏れたときの報告義務（個人情報保護委員会） を確かめてください。報告が必要かどうかの最終的な判断は、弁護士などの専門家にご相談ください。

「自社が対象か分からない」「作業する人がいない」場合は、HPの移管・保守サービス『サイガード』の無料診断をご利用ください。URLを送るだけで、外から見える範囲をセキュリティの専門家が確認します。

会社のアドレスがなりすましに使われないための対策

会社のアドレスがなりすましに使われるのを、自社だけで完全に止めることはできません。ただし、受け取る側が偽物を見分けて止められるようにすれば、取引先に届く迷惑メールを減らせます。

ここでは、中小企業でもできる予防策を4つ紹介します。

1. SPF・DKIM・DMARC を設定する：Google の送信者ガイドラインでは、2024年2月以降、Gmail に送るすべての送信者に SPF または DKIM を、1日5,000件を超えて送る送信者には SPF・DKIM・DMARC のすべてを求めています（Google）
2. 使っていないドメインにも設定する：昔のキャンペーン用など、メールを送らないドメインも差出人に使われます。送らないドメインであることを、SPF と DMARC で示しておきます
3. パスワードを長く、使い回さない：メールアカウントごとに別のパスワードにし、退職者のアカウントは削除します
4. フォームにロボット対策を入れる：自動返信を使うなら、reCAPTCHA などで機械的な送信を防ぎます

※2026年10月時点・Google Workspace 管理者ヘルプより

あわせて読みたい
HPがおかしい？ 改ざんの前ぶれを症状別に確かめるチェック表

まとめ

• 会社のアドレスから迷惑メールが送られて見えても、差出人を偽っただけのなりすましのことがあります
• 送信済みの記録・パスワード・フォーム・パソコンの順に確かめ、ヘッダーの認証結果で裏づけます
• 乗っ取りなら、端末の確認とパスワードの変更を先に進め、フォームや感染があれば入口をふさぎます
• なりすましには、SPF・DKIM・DMARC の設定で、受け取る側が偽物を見分けられるようにします

自社で切り分けられない、送信が止まらない場合は、届いたメールの実物を残したまま専門家に相談してください。