メールの自動転送・受信ルールを見直す｜情報の持ち出しを防ぐための確認ポイント
メールの自動転送や受信ルールは、問い合わせ窓口の引き継ぎや、担当者の不在時の連絡共有に役立ちます。
一方で、攻撃者がメールアカウントへ侵入した場合、外部のメールアドレスへ自動転送するルールを追加し、以後のやり取りを静かに読み続けることがあります。本人がメールを普段どおり受信できていれば、異変に気づきにくいのが特徴です。
このため、メール対策は「怪しいメールを開かない」だけで終わりません。誰が、どこへ、どの条件でメールを転送できるかを管理することも、情報を守るための基本です。
自動転送・受信ルールとは
自動転送は、届いたメールを別のメールアドレスへ自動的に送る機能です。例えば、担当者が休暇中に届く問い合わせをチームの共有窓口へ送る、といった用途があります。
受信ルールは、メールの条件に応じて処理を自動化する機能です。たとえば「請求書」という件名のメールにラベルを付ける、特定の差出人のメールをフォルダへ移す、といった使い方があります。ルールによっては、転送、削除、既読化、アーカイブもできます。
正しく使えば便利です。しかし、転送先や処理内容が管理されていなければ、重要なメールが組織の外へ流れたり、担当者しか知らない設定が残ったりします。
なぜセキュリティ上の問題になるのか
メールアカウントを侵害した攻撃者は、すぐに大量のメールを送るとは限りません。気づかれにくいよう、外部アドレスへの転送や、特定のメールを別フォルダへ隠すルールを追加する場合があります。
こうした状態では、見積書、請求書、契約、パスワード再設定メール、取引先との連絡などが、継続的に外部へ渡るおそれがあります。メールは他サービスのパスワード再設定にも使われることが多いため、被害がメールだけで終わらないこともあります。
Microsoftは、外部宛ての自動転送は情報開示やアカウント侵害に伴うリスクになり得ると説明しています。また、攻撃者が外部転送ルールを情報持ち出しに使うことがあるため、確認・防止を推奨しています。Googleも、不審なアカウント活動を確認する項目として、Gmailの自動転送、委任、フィルタ、IMAP／POP設定を挙げています。
まず決めたい運用の原則
外部への自動転送は、原則として止める
個人メールアドレスや、管理されていない外部サービスへの自動転送は、原則として許可しない方が安全です。必要性がある場合も、対象者、転送先、目的、期限を記録し、管理者が承認する形にします。
Microsoft 365では、組織外への自動転送を許可・拒否するポリシーを設定できます。Google Workspaceでも、管理者が利用者による自動転送を許可するかどうかを管理できます。製品の初期値や契約プラン、既存設定によって挙動が異なるため、実際の設定を確認しましょう。
共有が必要なら、共有メールボックスやグループを優先する
退職者や休職者のメールを後任へ引き継ぐために、元のアカウントから外部アドレスへ転送し続けるのは避けたい方法です。
問い合わせ窓口など複数人で見る必要があるメールは、共有メールボックス、グループ、メーリングリストなど、組織が管理できる仕組みを使う方が追跡しやすくなります。誰が閲覧できるか、いつ権限を外すかも確認できます。
受信ルールも定期的に棚卸しする
転送設定だけでは不十分です。特定の差出人や件名のメールを自動削除、既読化、別フォルダへの移動、アーカイブするルールも確認対象にします。
特に、経理、購買、経営層、管理者のアカウントは優先的に確認します。支払先変更やパスワード再設定に関するメールを見えにくくする設定がないか、確認しましょう。
管理者が確認したい項目
メール基盤によって表示名は異なりますが、少なくとも次を定期的に確認します。
- 外部アドレスへの自動転送が許可されているか
- 転送設定があるアカウント、転送先、設定者、設定日時を一覧で確認できるか
- 利用者が作った受信ルールのうち、転送、削除、既読化、移動を伴うものを確認できるか
- 共有メールボックス、グループ、メーリングリストのメンバーが最新か
- 退職・異動した人の転送、委任、共有権限が残っていないか
- 管理者アカウントやサービスアカウントに例外設定がないか
- 新しい転送や不審なルール追加を、ログやアラートで把握できるか
「設定が一件もないこと」自体が目的ではありません。業務上必要な設定を把握し、理由なく残っている設定や、組織外への転送を見つけられる状態が目的です。
利用者が気づけるサイン
次のような表示や挙動があれば、設定を確認し、心当たりがなければすぐに社内の窓口へ連絡してください。
- メールサービスから「転送が有効になっている」という通知が届いた
- 自分が作成していない受信ルール、フィルタ、委任設定がある
- 必要なメールが受信トレイに見当たらず、別フォルダやアーカイブに移っている
- 送信済みメールに心当たりのないメッセージがある
- 身に覚えのない端末や場所からのログイン通知がある
Googleは、心当たりのない自動転送やフィルタを不審な活動として確認するよう案内しています。Gmailで転送設定に心当たりがない場合は、パスワード変更と転送停止を行うよう案内されています。
不審な転送設定を見つけたときの初動
不審な設定を見つけた場合、設定を削除するだけでは不十分なことがあります。攻撃者がすでにログイン状態を維持していたり、別の認証手段や外部アプリ連携を追加していたりする可能性があるためです。
- 情報システム担当者または決められた窓口へ直ちに連絡する
- 不審な転送・受信ルール・委任設定を記録したうえで停止する
- パスワードを変更し、可能であれば既存のログイン状態を失効させる
- 多要素認証の登録方法、復旧先、外部アプリ連携を確認する
- ログイン履歴、設定変更履歴、転送された可能性がある期間とメールを確認する
- 同じパスワードを使っているサービスがあれば確認する
対応を個人だけで抱え込まないことが大切です。設定画面や通知の記録が残っていれば、調査範囲を判断しやすくなります。
5分セルフチェック
- 組織外へのメール自動転送は、原則禁止または管理者承認制になっている
- 外部転送が必要な例外について、目的・転送先・期限を把握している
- 転送、削除、既読化、移動を行う受信ルールを定期的に確認している
- 共有メールボックスやグループの閲覧権限を定期的に棚卸ししている
- 退職・異動時に、転送・委任・共有権限を停止する手順がある
- 不審な設定変更やログインを確認できるログ・アラートがある
- 不審な転送を見つけた場合の連絡先と初動が決まっている
AIGISのメールセキュリティ診断では
AIGISでは、転送設定そのものを一律に悪いものとは判断しません。業務上必要な共有と、不必要な情報流出を分けて管理できているかを確認します。
- 外部自動転送の許可・禁止・例外承認の方針
- 転送先、受信ルール、委任、共有権限の棚卸し
- 退職・異動時のアクセス停止と設定見直し
- 不審なルール追加や設定変更の検知
- アカウント侵害時のセッション失効、調査、関係者連絡の手順
メールの自動転送は便利な機能ですが、放置すると「誰が見ているか分からない受信箱」になり得ます。 必要な共有は組織が管理できる仕組みに寄せ、例外を記録し、定期的に確認できる状態を作りましょう。