中小企業100社のうち94社が、メールの「なりすまし」を止めていなかった

先日、熊本県のとある英会話教室のアドレスから、うちの会社に詐欺メールが届きました。

差出人の名前は「アメリカン・エキスプレス」。クレジットカードの会社です。

でも、送ってきたアドレスは、カード会社のものではありません。

熊本県のとある英会話教室のメールアドレスでした。

1. 他人のメールアドレスは、勝手に使えてしまう

「その英会話教室、乗っ取られたの？」

そう思いますよね。

でも、たぶん違います。

メールの「差出人」の欄は、送る人が好きなように書けてしまうんです。

手紙で言えば、封筒の裏に、他人の住所と名前を書いて出すようなもの。

ポストは、それが本当にその人から出た手紙かどうかを確かめません。

メールも、何も対策をしていなければ、ほぼ同じです。

だから犯人は、英会話教室のアドレスを勝手に差出人に書いて、カード会社のふりをしたメールを送れてしまった。

英会話教室の方は、たぶん今も、何も知りません。

2. 対策をしていれば、偽物は止められる

実は、これを止める方法があります。

会社のメールに「うちの名前を勝手に使ったメールは、届けないでください」というお願いを出しておく設定です。

この設定が入っていると、GmailやYahoo!メールなどの大きなメールサービスが、偽物を見つけて止めてくれます。

この英会話教室のアドレスには、その設定が入っていませんでした。

だから偽物のメールが、本物の顔をして、うちまで届いてしまったんです。

3. あなたの会社でも、同じことが起きるかもしれない

これは、あなたの会社でも起きるかもしれない話です。

たとえば、あなたの会社のアドレスで、お客様に「今月から、お振込先が変わりました」というメールが届いたら。

お客様は、疑う理由がありません。

取引先や社長のふりをして、振込先を変えさせる。

これは実際にある手口で、警察も注意を呼びかけています。

怖いのは、お金だけではありません。

「あの会社のメール、なんか怪しいよね」

一度そう思われたら、本物のメールまで開いてもらえなくなります。

4. 中小企業100社を調べたら、94社が止めていなかった

「でも、そういう設定って、どこの会社もやってるんでしょ？」

僕もそう思っていました。

そこで、全国の中小企業100社を、実際に調べてみました。

選び方は、こうです。

47都道府県から2社ずつ（人口の多い6都府県は1社ずつ追加）、その地域に本社がある中小企業を、インターネット検索で見つかった順に選びました。

業種は、建設、士業、製造、旅館、運送、不動産、飲食など10業種です。

上場企業・チェーン店・自治体は外し、会社の名前のメールアドレスを使っている会社だけを対象にしました。

調べたのは、各社のメールに「偽物を止める設定」が入っているかどうか。2026年10月13日時点の結果です。

結果は、こうでした。

5. 上場企業は、どうなのか

「中小企業だから、まだなんでしょ」

そう思って、上場企業も調べてみました。

アメリカの上場企業は、ほとんど全部が止めています。

日本の上場企業は、半分。

そして中小企業は、10社に1社もありません。

犯人から見て、どこが狙いやすいかは、わかりますよね。

6. どうして、止めるところまで進まないのか

調べていて驚いたのは、設定を「入れただけ」で止まっている会社がとても多いことです。

日本の上場企業でも、いちばん多かったのが、この「入れただけ」でした。

理由は、だいたい3つあります。

会社の名前で出しているメールは、ふだんのメールだけではありません。

メルマガ、お問い合わせへの自動返信、請求書、予約の通知。

どれか1つでも準備が抜けたまま止めると、お客様に大事なメールが届かなくなります。

2024年から、GmailやYahoo!メールは、たくさんメールを送る会社にこの設定を求めるようになりました。

ただ、その条件は「入れただけ」でも満たせてしまいます。

だから、入れて終わり、になりやすいんです。

設定を入れると、メールを受け取った側から、毎日のように報告が届きます。

でも、その報告は、ふつうの人には読めない書き方で届きます。

報告を読んで「本物のメールは全部ちゃんと届いている」と確かめないと、安心して止めることができません。

……止めたいけど、怖くて止められない。

これが、多くの会社の本音だと思います。

7. 詐欺メールは、もう「日本語が変」では見抜けない

詐欺メールは、年々増えています。

詐欺メールの情報を集めている団体のまとめでは、2025年の報告は約245万件。

これまでで一番多い数です。

国の機関が毎年発表している「会社が気をつけるべき危険」のランキングでも、2026年は「AIを使った攻撃などのリスク」が初めて入り、いきなり3位になりました。

昔の詐欺メールは、日本語がおかしくて、すぐにわかりました。

でも、うちに届いたカード会社のふりをしたメールは、日本語がとても自然でした。

「なんか変だな」で気づける時代は、終わりつつあります。

8. 見た目で見抜けないなら、設定で止めるしかない

この設定が世の中に広がってきたことで、犯人たちは手口を変え始めている、とも言われています。

つまり、止める設定は、ちゃんと効いているということです。

逆に言えば、設定していない会社のアドレスは、まだ使える「すき間」として残っている。

メールは、毎日あたりまえに使う道具です。

だからこそ、裏側でルールが変わっていても、なかなか気づけません。

……まずは、あなたの会社のメールが今どうなっているのか、確かめるところからで大丈夫です。