セキュリティ対策の記事

ARTICLE

セキュリティ対策メール配信

セキュリティで選ぶメール配信システムの乗り換え｜漏えい後の手順

更新日：2026/10/29

＃セキュリティ

利用中のメール配信サービスで不正アクセスや情報漏えいが起きると、「自社の配信リストは大丈夫か」「このまま使い続けてよいのか」と不安になるものです。

ただ、慌てて解約や乗り換えを進めると、配信停止者の引き継ぎ漏れや到達率の低下など、別のトラブルを招くこともあります。

この記事では、まずやるべき初動、止めるか乗り換えるかの判断、セキュリティで選ぶときの7つの確認点、移行時の注意点を順に解説します。

乗り換えるか決めていなくても、SPIRAL®に相談できます

利用中のメール配信サービスで情報漏えいが起きたら、まずやること
すぐ止める？乗り換える？判断のポイント
乗り換え先を選ぶ前に、社内で決めておくこと
セキュリティ重視で選ぶときの確認ポイント7つ
乗り換え時の移行で注意したいこと
セキュリティを重視するなら、SPIRAL®のメール配信システム
導入事例
まとめ

利用中のメール配信サービスで情報漏えいが起きたら、まずやること

結論：乗り換えを考えるのは、被害の確認と、広がりを抑える対応を済ませてからです。
焦って解約しても、すでに起きた被害は小さくなりません。まずは自社への影響をつかみ、二次被害を防ぐことを優先しましょう。

事業者の公表内容で、自社のデータが対象か確認する

事業者の公式発表や個別の連絡で、次の点を確認します。

漏えいした可能性のある情報の範囲（メールアドレスだけか、氏名・属性・配信履歴も含むか）
自社のアカウントが対象に含まれるか
原因と、事業者がとった対策
問い合わせ窓口

わからない点は窓口に問い合わせ、回答を記録に残しておきます。社内への報告や、このあとの乗り換えの判断材料になります。

管理画面のパスワードを変え、APIキーと連携設定を見直す

管理画面のIDやパスワードが漏れていると、不正にログインされるおそれがあります。
被害を広げないために、次の見直しを早めに済ませましょう。

管理画面に入れる担当者IDのパスワードを変更する
使っていないIDや、異動・退職した人のIDを停止する
二段階認証が使える場合は有効にする
ほかのシステムとつないでいるAPIキーを再発行する

同じパスワードをほかのサービスでも使っている場合は、そちらも変更しましょう。

受信者をねらった「なりすましメール」に備える

メールアドレスが漏れると、自社を装ったフィッシングメールが受信者に届くおそれがあります。受信者がだまされると、自社の信頼も傷つきます。
受信者を守るために、次の2つを検討しましょう。

自社サイトなどで「当社を装ったメールにご注意ください」と注意を呼びかけるか検討する
送信ドメイン認証（SPF・DKIM・DMARC）が正しく設定されているか確認する

DMARCを設定すると、自社のドメインを装ったメールを受信側で見分けやすくなります。
くわしくは「HTMLメールに潜むセキュリティリスクとは？」で解説しています。

社内への報告と、個人情報保護委員会への報告が必要か確認する

メール配信サービスに配信リストを預けている場合、事業者は個人データの「委託先」にあたります。

委託先で漏えいが起きたときも、原則として委託元である自社と委託先の双方に、個人情報保護委員会への報告の義務があります。本人への通知が必要になることもあります。

不正アクセスのように、不正な目的で起きた漏えい（そのおそれがある場合を含む）は、件数にかかわらず報告の対象になりえます。判断に迷ったら、法務や個人情報の担当部署に早めに相談しましょう。

出典：個人情報保護委員会「漏えい等の対応とお役立ち資料」、「個人情報の保護に関する法律についてのガイドライン（通則編）」

初動が落ち着いたら、乗り換え先の検討に進みましょう。今の配信環境のままでよいか迷う場合は、
状況の整理から相談することもできます。メール配信の乗り換えについて相談する

すぐ止める？乗り換える？判断のポイント

結論：いきなり解約すると、配信停止の受付や申込完了メールまで止まり、業務に支障が出ることがあります。

「今すぐ止める範囲」と「乗り換えの期限」を分けて考えるのが現実的です。状況ごとの目安は次のとおりです。

状況	考え方
事業者から利用停止の案内が出ている	案内に従って止める。止まるメールの代わりを急いで用意する
原因や対策の説明がない／管理画面への不正ログインが疑われる	個人情報を含む配信を止め、乗り換えを急ぐ
原因と再発防止策が公表され、自社のデータが対象外と確認できた	使いながら、期限を決めて乗り換えを準備する

止める前に確認しておくこと

配信停止者リストとエラーアドレスを書き出す

特定電子メール法では、配信を断った人に広告や宣伝のメールを送ることが禁じられています。乗り換え後に、停止済みの人へ送ってしまわないよう、必ず手元に残しましょう。

止めると業務が止まるメールを洗い出す

会員登録の自動返信、申込完了メール、パスワード再設定メールなどは、止めると問い合わせが増えます。代わりの送り方を先に決めておきます。

契約終了時のデータ削除の方法を確認する

解約後、事業者の手元に残るデータが、いつ、どのように消されるのかを確認します。削除の証明を出してもらえるかもあわせて聞いておきましょう。

お急ぎの方はお電話で：0120-963-454

乗り換え先を選ぶ前に、社内で決めておくこと

結論：「セキュリティが高いサービス」の意味は、会社によって違います。

先に自社の基準を決めておくと、比較の軸がぶれません。決めておきたいのは次の4つです。

決めること	例
配信リストに入れる情報	メールアドレスだけか、氏名・属性・購買履歴まで入れるか
社内のセキュリティ基準	情報システム部門のチェックシート、取引先や監督官庁から求められる水準
管理画面を使う人	担当者の人数、外部の制作会社にも操作させるか
ほかのシステムとの連携	顧客管理（CRM）、会員サイト、申込フォームとのつなぎ方

預ける情報が多いほど、漏れたときの影響は大きくなります。配信に本当に必要な情報だけを預けることも、立派なセキュリティ対策です。

セキュリティ重視で選ぶときの確認ポイント7つ

結論：機能表の「セキュリティ対応」の一言で判断せず、①事業者の体制、②管理画面の守り、③送るメールの信頼性の3つの層で確認しましょう。

不正アクセスは、事業者のシステムだけでなく、利用者側の管理画面の入口からも起こりえます。どこか一つが強くても、ほかが弱ければ守りきれません。

各項目の「事業者への質問例」は、問い合わせや商談の場でそのまま聞いて、サービスごとの回答を比べる材料に使ってください。

① 事業者の体制

1. 第三者認証や外部の診断を受けているか

事業者がセキュリティを管理する仕組みを持ち、それが外部から確認されているかを見ます。

具体的には、次の点を確認します。

ISMS（ISO27001）やプライバシーマークを取得しているか
政府機関（官公庁）と取引がある場合は、ISMAPに登録されているか
外部機関のセキュリティ診断を定期的に受けているか

認証は会社全体ではなく、一部の部署やサービスだけが対象のこともあります。範囲まで確認するのがポイントです。

事業者への質問例：「認証の範囲に、このメール配信サービスは含まれていますか」

2. 事故が起きたときの連絡と公表の体制があるか

どんなサービスでも、事故の可能性をゼロにはできません。だからこそ、起きたときにどう動くのかを事前に確かめておきます。

確認しておきたいのは、次の2点です。

障害や事故が起きたとき、どの手段で、どのくらいの時間で連絡が来るか
過去の障害情報を公開しているか

事業者への質問例：「事故が起きたときの連絡の流れと、連絡までの目安時間を教えてください」

3. データの保管場所と、契約終了時の削除ルール

預けたデータがどこで、どのように扱われるのかは、契約前に確かめておきたいポイントです。次の3点を確認しましょう。

データをどこに保管しているか（国内か、海外か）
運用の一部を別の会社に任せていないか（再委託の有無）
解約したとき、データをいつ、どのように削除するか

今回、旧サービスのデータ削除で困ったことがあれば、そのまま次の選定の確認項目に加えましょう。

事業者への質問例：「解約後のデータ削除の時期と方法を教えてください。削除の証明は出せますか」

② 管理画面の守り

4. ログインを守る仕組みがあるか（二段階認証・IP制限）

管理画面のパスワードが盗まれても、それだけではログインできない仕組みがあるかを確認します。

代表的な仕組みは次の2つです。

二段階認証：パスワードに加えて、ワンタイムコードなどで本人を確かめる
IPアドレス制限：社内のネットワークなど、決まった場所からしかログインできないようにする

事業者への質問例：「二段階認証とIPアドレス制限は標準で使えますか。追加の費用はかかりますか」

5. 担当者ごとの権限分け、操作の記録、リストの持ち出し対策

情報漏えいは外からの攻撃だけでなく、内部からの持ち出しや操作ミスでも起こります。

内部からの漏えいを防ぐために、次の機能があるかを確認しましょう。

担当者ごとに使える機能を分けられるか（例：配信はできるが、リストはダウンロードできない）
誰が、いつ、何をしたかの操作記録（ログ）が残るか
配信リストのファイル出力を制限し、出力した記録を残せるか

担当者が個人情報に直接触れずに配信作業ができると、持ち出しや誤操作のリスクを減らせます。

事業者への質問例：「担当者ごとに、リストの閲覧やダウンロードを制限できますか」

③ 送るメールの信頼性

6. 送信ドメイン認証とGmailの送信者ガイドラインに対応しているか

SPF・DKIM・DMARCは、メールが正規の送信元から届いたことを受信側が確かめる仕組みです。なりすまし対策になるうえ、迷惑メールに振り分けられにくくなります。

Gmailは2024年以降、個人用のGmailアドレスにメールを送るすべての送信者にSPFまたはDKIMの設定を求めています。1日5,000件以上を送る送信者には、SPF・DKIM・DMARCのすべてと、ワンクリックで配信を停止できる仕組みが必要です。対応していないと、メールが届かなくなるおそれがあります。

出典：Google「メール送信者のガイドライン」

事業者への質問例：「SPF・DKIM・DMARCの設定方法を案内してもらえますか」

7. 誤送信を防ぐ仕組みがあるか

宛先の取り違えや、テスト用の文面を本番で送ってしまうミスも、情報漏えいにつながります。

人の注意だけに頼らず、次のような機能でミスを防げるかを確認しましょう。

本番の前にテスト配信やプレビューで確認できるか
配信前に別の担当者が確認する、承認の流れを作れるか
配信予約を取り消せるか

7つの確認ポイントのまとめ

層	確認ポイント	事業者への質問例
① 事業者の体制	1. 第三者認証・外部の診断	認証の範囲に、このサービスは含まれていますか
	2. 事故時の連絡・公表	事故時の連絡の流れと、目安時間は？
	3. データの保管場所・削除	解約後の削除の時期と方法は？　証明は出せますか
② 管理画面の守り	4. 二段階認証・IP制限	標準で使えますか。追加の費用はかかりますか
	5. 権限分け・ログ・出力制御	担当者ごとに、リストのダウンロードを制限できますか
	6. 送信ドメイン認証	SPF・DKIM・DMARCの設定を案内してもらえますか
③ 送るメールの信頼性	7. 誤送信の防止	テスト配信や承認の流れを作れますか

セキュリティだけで選ばないことも大切

セキュリティを優先するあまり、到達率や使い勝手を見落とすと、運用が回らなくなります。次の点もあわせて比べましょう。

到達率と配信の速さ
料金体系（配信通数で課金されるか、定額か）
導入時と導入後のサポート

機能や費用の比べ方は「メルマガ配信サービスの選び方と注意点」「メルマガ配信システムの費用の目安」で解説しています。

乗り換え時の移行で注意したいこと

結論：乗り換えで多い失敗は、リストの移し漏れと到達率の低下です。
移行は、手順を決めてから進めましょう。全体の流れは次のとおりです。

配信リストと配信停止者リストを、漏れなく移す

配信リストは、次の3つに分けて書き出して移します。

配信中の有効なアドレス
配信停止の申し出があったアドレス
エラーで届かなかったアドレス

停止者やエラーのアドレスを移し忘れると、法令違反や到達率の低下につながります。

移行作業中のファイルの扱いにも注意します。担当者のパソコンに残さない、受け渡しの経路を決めておくなど、作業の手順を先に決めておきましょう。

送信ドメイン認証を、新しいサービス向けに設定し直す

乗り換えると、メールを送るサーバーが変わります。SPFやDKIMのDNS設定を新しいサービスに合わせて変更し、旧サービス向けの設定は解約後に削除します。

到達率を落とさないよう、段階的に切り替える

新しい送信環境から急に大量のメールを送ると、受信側に警戒され、迷惑メールと判定されやすくなります。

次の手順で、少しずつ切り替えていきましょう。

最初は、反応のよい読者から少しずつ送る
配信量を段階的に増やす
一定期間は旧サービスと並行して、エラーの割合を見比べる

フォームや会員サイトとの連携を付け替える

登録フォーム、配信停止フォーム、API連携の付け替えが漏れると、新しい登録者がリストに入らなかったり、配信停止の申し出が反映されなかったりします。切り替える前に、つないでいる先を一覧にして確認しましょう。

旧サービスのデータ削除を確認する

すべてのメールを新しいサービスに切り替えたら、旧サービスのデータを削除してもらいます。削除の完了は、書面などで確認しておくと安心です。

セキュリティを重視するなら、SPIRAL®のメール配信システム

※機能・体制はプラン(SPIRAL® ver.1／WebTools／PLUS)により異なります。

結論：SPIRAL®は、金融機関をはじめ、セキュリティの要件が厳しい企業に選ばれてきた基盤です。

配信と顧客データの管理をまとめて任せられます。この記事の3つの層に沿ってご紹介します。

事業者の体制

多くの企業に選ばれてきた実績と、第三者の認証にもとづく管理体制があります。

延べ14,000社以上の導入実績。約300社の金融機関が導入
ISO27001（ISMS）とプライバシーマークを取得
第三者機関のセキュリティ診断で、毎年最高ランク（Aランク）の評価
データの保管場所や契約終了時のデータ削除、事故発生時のご連絡の体制は、お問い合わせください

管理画面の守り

管理画面への不正なログインや、内部からの持ち出しに備える機能は次のとおりです。

二段階認証や担当者ごとの権限分け、操作の記録など、管理画面を守る機能をそろえています
管理画面を使える担当者IDは、3IDまで標準で提供。担当者ごとにIDを分けて運用できます

送るメールの信頼性と、移行のしやすさ

なりすまし対策と到達率の両方に対応し、乗り換えの手間も抑えられます。

SPF・DKIM・DMARCに対応し、Googleのメール送信者ガイドラインに準拠。設定方法もご案内します
最高で毎時260万通を送れる専用の配信エンジン。配信エラーは自動で除外し、高い到達率を保ちます
配信停止の自動受付と、配信したくないアドレスのブラックリスト管理
配信リストは、TSV・TXTファイルのアップロードやExcelからの貼り付けで一括登録。重複や形式のエラーもチェックできます
配信回数による課金のない定額制（初期費用100,000円〜、月額50,000円〜）
導入時の初期設定のサポートと、導入後の専用サポート「ユーザーズデスク」

導入事例

企業	導入のポイント
株式会社京都新聞社	複数の担当者で配信するため、システムに詳しくない人でも、個人情報に直接触れずに設定できることを重視。ニュースレター配信の半自動化を3か月で実現
株式会社日経CNBC	個別に開発した（スクラッチ開発の）システムから乗り換え。セキュリティに関するコストを削減し、これまでできなかった効果測定もできるように