そのメール、届いていますか？──中小企業が「独自ドメイン＋Google Workspace」に切り替えるべき理由

「取引先にメールを送ったのに、届いていないと言われた」「先方の迷惑メールフォルダに入っていた」——ここ数年、こうした相談が明らかに増えています。原因の多くは、送る側のメール環境が2024年以降の新しいルールに追いついていないことにあります。

この記事では、会社のメールを独自ドメイン＋Google Workspaceに切り替えるべき理由を、公的機関や各社の公表データをもとに整理します。専門用語は最小限にして、経営判断に必要な数字だけを並べました。

2024年2月、メールの「受け取られ方」のルールが変わった

まず押さえていただきたいのは、メールが届くかどうかの判定基準が、受信側の都合で厳しくなったという事実です。

Googleは2024年2月1日から、Gmail宛にメールを送るすべての送信者に対して、次の条件を課しています（Gmailヘルプ「メール送信者のガイドライン」／2026年8月時点の記載）。

• 送信元ドメインに SPFまたはDKIM というメール認証を設定していること
• 送信元のドメインまたはIPアドレスに、有効な正引き・逆引き両方のDNSレコード（PTRレコード）があること
• メール送信に TLS接続（暗号化）を使っていること
• 迷惑メール報告率を 0.3%未満に維持すること（Googleは0.10%未満を推奨しています）
• メールの形式が RFC 5322 という国際標準に準拠していること

さらに、Gmailアカウント宛に 1日あたり5,000件を超えるメールを送る「一括送信者」には、SPFとDKIMの両方、加えてDMARCの設定（ポリシーは p=none でも可）、ワンクリックでの配信停止が求められます。判定は24時間単位で行われ、一度該当すると恒久的に一括送信者として扱われます。

Microsoftも同じ方向に進みました。Outlook.com・Hotmail・Live宛に同一ドメインから5,000通以上送る送信者は、SPF・DKIM・DMARCの3点セットを満たさないとメールが拒否され、送信者には「550 5.7.515 Access denied, sending domain does not meet the required authentication level.」というエラーが返ります（Microsoftサポート、2025年5月2日更新）。

Gmailの方はよく話題になるのですが、Microsoftの方はあまり話題にならないので知らないことが多々ありますが、Microsoft系のメールの方が厳しい状況です。「迷惑メール」に分類されるのではなく、拒否されます。相手側の受信メールボックスにすら届かないという状況になります。

ここが重要です。
SPF・DKIM・DMARCは、すべて「自社が管理するドメイン」に対して設定するものです。@gmail.com や @yahoo.co.jp のような共用の無料アドレスでは、自社の意思で設定することができません。つまり、これからのメール環境は「独自ドメインを持っていること」が出発点になります。
もちろん、同様のことはプロバイダー発行のメールにも言えます。

なお、日本のYahoo!メール（LINEヤフー）は、2024年12月11日時点の告知で「Gmailと同様の措置を行う予定はない」と表明しています。ただし認証をクリアしていないメールを迷惑メール判定する場合があるとも記載しており、方向性は同じです。米国のYahoo Inc.も一括送信者に同等の要件を課していますが、こちらは通数の基準を公表していません。「Yahooも5,000通から」という説明を見かけたら、それは正確ではありません。

日本企業の7割近くは、まだ対策が終わっていない

総務省「令和7年版 情報通信白書」によると、JPドメイン名における送信ドメイン認証の設定率は、2024年9月時点で SPFが約88.4%、DMARCが約32.6% にとどまっています。SPFはほぼ普及したものの、なりすましを実際に止めるDMARCは3社に1社しか設定していない計算です。

一方、大企業の状況は違います。株式会社TwoFiveの調査（2026年5月21日公表）では、日経225構成企業のうち 213社（94.7%） が、少なくとも1つのドメインでDMARCを導入済みです。なりすましメールを実際に隔離・拒否する強制力のあるポリシーまで設定しているのは 157社（日経225全体の69.8%）でした。

ただしこれは「1つでも設定していれば導入済み」と数えた企業ベースの比率です。同じ調査をドメイン単位で見ると、強制力のあるポリシーで守られているドメインは 18.5% にとどまります。大企業でも対策は道半ば、というのが実態です。

メールアドレスは「会社の身分証」であり「金庫の鍵」でもある

メールアドレスの役割は、連絡手段だけではありません。銀行のネットバンキング、クラウド会計、SaaSの管理画面——ほぼすべてのサービスで、メールアドレスがログインIDと本人確認の窓口を兼ねています。パスワード再発行のリンクが届く場所も、メールボックスです。

つまり、メールアカウントを1つ乗っ取られると、そこから連鎖的に他のサービスへ入られます。守るべき優先順位が最も高いアカウントが、実はメールなのです。

被害の規模も具体的な数字で出ています。警察庁「令和7年におけるサイバー空間をめぐる脅威の情勢等について」（2026年3月公表）によれば、2025年のインターネットバンキングに係る不正送金は 4,747件・被害総額 約103億9,700万円。その手口は約9割がフィッシングとされています。同じ資料でフィッシングの報告件数は 245万4,297件で、前年の171万8,036件から約1.4倍に増えました。

攻撃の入口はメールで、被害が出るのは口座やクラウドの中身です。「うちは小さいから狙われない」ではなく、「入口が全社共通だから、規模に関係なく狙われる」と考えるのが実態に近いといえます。

請求書の振込先が書き換わる——ビジネスメール詐欺の現実

取引先になりすまして偽の請求書を送りつけ、振込先を犯人の口座に変えさせる。これがビジネスメール詐欺（BEC）です。

米FBIのインターネット犯罪苦情センター（IC3）が2026年4月に公表した2025年次報告では、BECの苦情件数は 24,768件、被害総額は 30億4,659万8,558ドル。前年（2024年）の21,442件・27億7,015万1,146ドルから、件数・金額とも増えています。

日本でも大きな事例があります。報道によれば、日本航空が2017年12月20日に公表した事案では、同年8月から9月にかけて偽の請求書に応じて送金してしまい、被害は 総額約3億8,000万円（航空機リース料 約3億6,000万円＋貨物地上業務委託料 約2,400万円）に達しました。送金先は香港の銀行口座で、大半は既に引き出され回収不能だったと報じられています。上場企業でも防ぎきれない類型です。

誤送信の被害も無視できません。東京商工リサーチの調査（2026年1月30日公表）によると、2025年に上場企業で公表された個人情報の漏えい・紛失事故は 180件・3,063万6,910人分。原因の内訳は次のとおりです。

原因	件数	構成比
ウイルス感染・不正アクセス	116件	64.4%
誤表示・誤送信	37件	20.5%
紛失・誤廃棄	18件	10.0%
不正持ち出し・盗難	7件	3.8%

攻撃が6割、人的ミスが2割。参考までに、個人情報保護委員会の令和7年度年次報告（2026年7月7日公表）では、民間部門からの漏えい等報告 17,139件 が処理されています。IPAの「情報セキュリティ10大脅威 2026」でも、ランサム攻撃が1位、ビジネスメール詐欺が10位に入っています。

独自ドメインにすると、具体的に何が変わるのか

「独自ドメイン」とは、@your-company.co.jp のように自社名の入ったアドレスを使うことです。見た目の問題だと思われがちですが、実務上のメリットは技術面と管理面にあります。

逆に、無料のフリーメールを会社の窓口に使い続けると、次の状態から抜け出せません。もちろん、プロバイダーが発行するメールアドレスでも同様です。むしろ、プロバイダー発行のメールアドレスの方がセキュリティの観点で見たときにたちが悪いかもしれません。

• アカウントの所有者が「個人」のままで、担当者が辞めると会社が中身を取り出せない
• 送信ドメイン認証を自社で設定できず、なりすまされても打つ手がない
• 管理者が2段階認証の設定状況を確認できず、退職時のアカウント停止も本人任せになる
• Webサイトのドメインと名刺のドメインが違うため、取引先が本物か判断しづらい

すでに自社サイトをお持ちなら、そのドメインをそのままメールに使えます。新しくドメインを取り直す必要はなく、追加のドメイン費用もかかりません。

なぜGoogle Workspaceを勧めるのか

独自ドメインでメールを運用する方法はいくつかありますが、中小企業に最初の一手としてお勧めしやすいのがGoogle Workspaceです。理由は4つあります。

理由1｜迷惑メール・フィッシングの防御力

Googleは公式ブログ（2025年9月1日）で、Gmailの保護機能が「フィッシングとマルウェアの試行の99.9%以上をユーザーに到達する前にブロックし続けている」と説明しています。日々の業務で最も現実的な脅威は、突破が難しい高度な攻撃ではなく、大量に届くフィッシングメールです。ここを標準機能で削れる意味は小さくありません。

理由2｜アカウントを守る仕組みが揃っている

Googleとニューヨーク大学・カリフォルニア大学サンディエゴ校の共同研究（2019年5月公表）では、2段階認証の効果が実測されています。再設定用の電話番号へSMSコードを送る方式で、自動botによる攻撃の100%、大量配信型フィッシングの96%、標的型攻撃の76%をブロックしたという結果です。

Google Workspaceでは管理者が2段階認証を全社員に強制でき、設定していない人を一覧で把握できます。無料のGmailでは、この「全社まとめて」ができません。

理由3｜政府調達の評価制度に登録されている

Google Workspaceは、政府情報システムのためのセキュリティ評価制度ISMAPのクラウドサービスリストに登録されています（登録番号 C21-0005-2／事業者名 Google LLC）。取引先や監査で「そのクラウドは安全なのか」と問われたとき、第三者の評価制度に登録済みであることは説明材料になります。

理由4｜費用が読める

2026年8月17日時点の公式料金は次のとおりです（1ユーザーあたりの月額）。

プラン	年間プラン	月間プラン	ストレージ	Meet参加人数
Business Starter	800円	950円	30GB	100人
Business Standard	1,600円	1,900円	2TB	150人
Business Plus	2,500円	3,000円	5TB	500人
Enterprise	要問い合わせ		5TB〜	1,000人

10人の会社がBusiness Standardを年間プランで契約した場合、1,600円 × 10人 × 12か月 ＝ 年間192,000円。月あたり16,000円です。ここにメール、2TBのファイル共有、ビデオ会議、カレンダー、チャットが含まれます。タクシー代や印刷代と並べて考えると、判断しやすい水準ではないでしょうか。

なお、Microsoft 365も有力な選択肢です。WordやExcelのファイルをやり取りする場面が業務の中心で、すでにOfficeを購入しているなら、そちらのほうが素直に収まります。どちらか一方を「基幹クラウド」として決め、足りない部分を後からアドオンで足す——この順番で考えると、選定で迷いにくくなります。

「レンタルサーバー付属のメール」で起きがちなこと

Webサイトを制作した際、レンタルサーバーに付いてくるメール機能をそのまま使っている会社は少なくありません。独自ドメインは使えているので一見問題なさそうですが、次の点は確認しておく価値があります。

• 2段階認証が用意されていない場合がある。IDとパスワードだけで、世界中のどこからでもメールボックスに入れる状態になっていないか。
• POP3で受信し、サーバー上にメールを残していない場合がある。そのPCが壊れた時点で、過去のやり取りが消えます。
• 迷惑メールフィルタが弱い。フィッシングメールが素通りしやすくなります。
• DKIM署名やDMARCの設定に対応していないプランがある。前述のGoogle・Microsoftの要件を満たせません。
• 誰がいつログインしたかの記録が残らない。事故が起きたとき、被害範囲を特定できません。

サーバー会社やプランによって事情は異なります。ご自身の契約で上記が満たされているかどうか、一度確認してみてください。ドメインはそのままで、メールの受け皿だけをGoogle Workspaceに移すことができます。Webサイトを動かす必要はありません。

導入は3ステップ。つまずくのは、たいてい2か所

実際の作業手順はシンプルです。

1. ドメインを用意する／既存のWebサイトがあれば、そのドメインをそのまま使います。
2. Google Workspaceを契約し、MXレコードを切り替える／メールの配達先をGoogleに向ける、DNSの設定変更です。
3. SPF・DKIM・DMARCを設定し、2段階認証を全社必須にする／あわせて過去メールを移行します。

ここで実際につまずくのは、次の2か所です。

① 自社から出ているメールの経路を数え漏らす
お問い合わせフォームの自動返信、ネットショップの注文確認、会計ソフトの請求書送信、メルマガ配信サービス——自社ドメインを名乗って送信しているシステムは、思っているより多くあります。これらをSPFに登録し忘れると、DMARCを有効にした瞬間に届かなくなります。

② DMARCをいきなり「拒否」で始めてしまう
DMARCは、認証に失敗したメールをどう扱うかを指定する仕組みです。まずは何もしない「p=none」で運用してレポートを集め、送信経路をすべて洗い出してから「隔離」「拒否」へ段階的に上げます。GoogleもMicrosoftも、要件としては p=none のレコードがあれば満たせます。

MXレコードの切り替えは、タイミングを誤ると数時間分のメールが行方不明になります。手順の設計と、切り替え当日の待機を含めて考えると、社内だけで完結させるより外部に任せたほうが安全な領域です。

まとめ：今日確認できるチェックリスト

総務省「令和7年版 情報通信白書」によれば、クラウドサービスを利用している企業（全社的または一部の部門で利用）の割合は、2021年の 70.4% から2024年には 80.6% へ上がりました。用途の内訳では電子メールが56.8%を占めます。メールをクラウドで運用することは、もはや特別な選択ではありません。

まずは、自社の状態を確認するところから始めてください。

• 会社の代表メールアドレスは、自社ドメインになっているか
• SPF・DKIM・DMARCの3つが、自社ドメインに設定されているか
• 全員のメールアカウントで2段階認証が有効になっているか。管理者はそれを一覧で確認できるか
• 社員が退職したとき、その人のメールを会社が引き継げるか
• PCが1台壊れたとき、消えて困るメールやファイルがそのPCの中だけに存在していないか
• お問い合わせフォームや受注システムなど、自社ドメインを名乗って送信しているシステムをすべて把握しているか

1つでも「わからない」があれば、そこが最初の着手点です。メール環境の整備は、セキュリティ対策であると同時に、取引先から見た自社の信用に直結する投資でもあります。

参考・出典

• Google「メール送信者のガイドライン」および同FAQ（Gmail ヘルプ／Google Workspace 管理者ヘルプ）
• Microsoft「Fix NDR error “550 5.7.515” in Outlook.com」（2025年5月2日更新）
• Yahoo!メール新着情報（2024年12月11日）／Yahoo Inc. Sender Hub
• 総務省「令和7年版 情報通信白書」送信ドメイン認証技術の導入状況／クラウドサービスの利用状況
• 株式会社TwoFive「なりすましメール対策実態調査」（2026年5月21日公表）
• 警察庁「令和7年におけるサイバー空間をめぐる脅威の情勢等について」（2026年3月公表）
• FBI Internet Crime Complaint Center「2025 IC3 Annual Report」（2026年4月6日公表）
• 東京商工リサーチ「上場企業の『個人情報漏えい・紛失』事故」（2026年1月30日公表）
• 個人情報保護委員会「令和7年度 年次報告」（2026年7月7日公表）
• IPA「情報セキュリティ10大脅威 2026」
• Google Security Blog「New research: How effective is basic account hygiene at preventing hijacking」（2019年5月17日）
• Google Workspace 公式料金ページ／ISMAPポータル クラウドサービスリスト（登録番号 C21-0005-2）
• Aviation Wire「JAL、詐欺被害3億8000万円 777リース料や貨物委託料送金」（2017年12月20日）