不審なメール転送ルールを見つけた時の初動対応 ─ Microsoft 365・SaaS管理者向け確認手順

冒頭要約

不審なメール転送を見つけたら、転送の停止・アカウント保護と、設定・ログの保全を並行します。 すべての証跡や台帳が揃うまで停止を待つと、その間もメールが配送されるおそれがあります。

対象は、会社のMicrosoft 365・Google Workspaceを管理する情シス、メール管理者、CSIRTです。本人が作っていない外部転送、請求・認証通知を隠すルール、不審なサインインが重なる場合は、単なる棚卸しから侵害疑いの対応へ切り替えます。

判断の出発点は、転送を止める設定の層の早見表です。「受信トレイルールを消した」「外部転送を禁止した」だけで、別経路・既存セッション・転送済みコピーまで解消したとは判断しません。

• 1｜停止・保護

  不審な配送とアカウントへのアクセスを担当者が抑え、取得できる設定と時刻を記録する。

• 2｜経路・期間を確認

  設定の層、配送記録、認証とアプリを照合し、分からない期間も残す。

• 3｜記録・再確認

  残件と責任者を決め、正規の業務経路と不審な設定の再発を確認する。

不審なメール転送ルールとは

受信メールを別の宛先へ送る自動処理のうち、作成者・目的・承認が確認できないものです。転送に加え、重要メールの移動・削除・既読化を組み合わせ、通知が見えにくくなっていることもあります。一方、チケット起票や共有窓口の正規の転送もあるため、転送がある事実だけで不正と決めません。 所有者の申告と、設定・時刻・監査記録の一致を確かめます。

メールが勝手に転送される時、どの設定を確認する？

Microsoft 365のAutomaticは、組織ごとの動作を確認する

2026年10月26日に確認したMicrosoftの外部転送制御の資料（2026年8月18日更新）は、Automatic - System-controlledの動作が組織により異なると説明しています。新しい組織等ではOff相当になっていても、従来から利用する組織ではOn相当のままのケースがあります。管理者はAutomaticという名前だけで「禁止済み」とせず、明示的なOn・Off、対象ポリシーと他の制御を確認してください。

この制御は外部への自動転送を対象とします。社内への転送や、受信メールを別フォルダへ隠す処理まで防ぐ機能とは扱いません。自社の正規の配送経路を確認し、業務全体を一律に止める変更は責任者と判断します。

Gmailは全体の転送とフィルタ転送を分ける

Gmailの設定では、全メールを送る自動転送と、条件に合うメールを送るフィルタが別です。全体の自動転送を無効にした後も、フィルタ側を確認します。Google Workspaceで利用者側の設定に原因が見当たらない場合は、メール管理者へ配送設定の確認を依頼します。

未依頼の転送通知があるかどうかだけでは判断しません。 通知を見ていないことは、転送設定が存在しない証明にはなりません。画面名・利用権限・組織設定に差があるため、末尾の公式手順と実画面を照合してください。

読者別の影響

• 利用者： 本人が作成した設定か、通知を見た時刻、メールに対して行った操作を管理者へ伝える。宛先へ試しに送信しない。
• 情シス・メール管理者： 転送の層と対象ユーザー、変更記録、配送期間、関連するアカウント保護を確認する。
• CSIRT・法務・経理： 情報の種類、外部配送、個人情報、請求・支払い、委託先への影響を整理し、報告・対外連絡を判断する。
• 業務アプリ担当： 正規のチケット連携や共有窓口を特定し、停止範囲と代替経路を責任者へ伝える。

まず確認すること：不審なメール転送ルールのチェックリスト

1. 本人・管理者の承認： 正当な業務転送の申請、変更者、所有者の説明があるか。
2. 対象と経路： ユーザー・共有メールボックス、外部／内部宛先、どの層の設定か。
3. 設定の動作： 全件／特定条件、転送／リダイレクト、削除・移動・既読化、コピーの保持は何か。
4. 時間： 作成・変更・停止の時刻とタイムゾーン、記録が取得できる期間、欠損はどこか。
5. 認証と操作： 本人がした入力・MFA承認、最近のサインイン、回復先・認証方法の変更はあるか。
6. 別の継続経路： アプリ同意、代理アクセス、他の転送・共有設定に不審な追加がないか。
7. 流出し得る情報： 請求書、個人情報、アカウント回復通知、添付など何が対象だったか。
8. 引き継ぎ： 封じ込め担当、影響調査担当、次の報告時刻が決まっているか。

記録が取れない箇所は「未確認」と残します。ログに見当たらないことを、転送がなかった根拠にはしません。平時の所有者・権限整理にはSaaS権限棚卸しを使い、進行中の事案は先に報告・封じ込めへ進めます。

初動対応：やること

1. 停止・アカウント保護と、証跡保全を並行する

取得できる設定値や画面、確認時刻を社内の承認済み保管先へ残しながら、管理者が不審な転送とアクセスを抑えます。流出が進んでいる、またはアカウントを第三者が操作している疑いがあれば、全ログの取得や一覧作成の完成を待ちません。十分な保全ができなかった理由と、実施した変更を記録します。

停止の判断には業務影響も添えます。「全ユーザーの転送を一律禁止」「共有窓口を無条件で削除」ではなく、対象の設定・アカウント・組織制御を担当者が確認して操作します。

2. 転送設定以外の継続アクセスを確認する

パスワード変更だけで完了にせず、セッション、MFA・回復先、同意済みアプリ、代理権限を点検します。Microsoft Entra側のアクセス取り消しと、アプリ自身が管理するセッションは別です。要求を出した記録だけで、すべてのSaaSへのアクセスが止まったと判断しません。

心当たりのないパスワードリセットや不審な拡張機能が同時に見つかった場合は、その事実も同じ時系列へ載せます。原因を確定してから報告する必要はありません。

3. 転送された可能性のある期間と情報を調べる

設定の存在期間と実際の配送記録は別の証拠として扱います。確認できる最初・最後の配送、宛先、対象条件、メール・添付の種類、調べられない期間を記録してください。転送停止は、外部へ渡ったコピーを削除する操作ではありません。

支払い・振込先変更が絡む場合は、BECの銀行連絡・社内報告へ進み、既知の連絡先を使います。本人確認や回収依頼の判断は社内担当者へ引き継ぎ、不審な転送先へ直接確認メールを送りません。誤送信と回収の条件も参照し、メール回収を流出解消の保証にしないでください。

4. 4つの条件を分けて完了判定する

• 停止： 不審な転送・隠蔽設定と対象の経路を確認し、停止の根拠がある。
• 保護： 認証・回復先・アプリ・セッションの確認範囲と残件が明確になっている。
• 影響： 配送期間・情報の種類・ログ欠損と、社内外の報告判断が記録されている。
• 復旧： 正当な業務経路が利用でき、残る調査の責任者・再確認日が決まっている。

設定の削除を確認できても、影響調査が残っていれば「転送停止済み・調査継続」と分けて報告します。

やってはいけないこと

• 証跡保全を口実に不審な配送を続けたり、逆に変更内容を一切残さず削除だけで終了したりする。
• 実メールや添付を使って、不審な転送先へ配送テストをする。
• パスワード・MFAのリセットだけで、外部アプリ同意や別経路も消えたと判断する。
• 転送先やIPだけから、攻撃者・被害件数・漏えいの確定を断言する。
• 正規の業務転送を責任者へ確認せず復活させる。残存する不審設定を業務例外として承認する。

判断基準：危険度とエスカレーション条件

記録テンプレート：停止と未確認を別欄にする

欄	社内の記録先へ残す内容
発見	確認日時・タイムゾーン、発見者、対象の業務・アカウント種別
設定	転送の層、条件・動作、宛先の管理主体、承認の有無、設定変更時刻
停止・保護	実施者・操作時刻・確認結果。取得できなかった証跡と理由も記録
影響	確認できた配送期間、情報・添付の種類、受信範囲、ログ欠損
引き継ぎ	事実／未確認、判断者、報告先、残件、担当者、次の確認日時

たとえば「09:10に本人未承認の外部転送を発見、09:14に管理者が停止を確認、前日のログは取得中」と書けば、停止と調査中の範囲を区別できます。時刻は架空の記録例で、実際の事案や4分以内の対応義務を示しません。 詳細な宛先やログは社内でアクセスを制御し、認証情報の値を記録表へ転記しないでください。

よくある誤解

外部転送が禁止なら受信ルールもすべて安全？ 内部転送や通知を隠す処理は別です。設定の層と動作を分けて確認します。

ルールを消せば転送済みメールも消える？ 既に配送されたコピーは残り得ます。停止と影響調査を別に扱います。

全件調査を終えてから連絡する？ 初報は判明した事実と未確認で出します。後続の調査結果を同じ記録へ追記します。

関連用語・関連ページ

• 初動：情報漏えい疑いのプレイブック、フィッシング報告、監査ログの保存期間と欠損
• 仕組み：BEC、MFA、OAuth 2.0、認証と認可の違い
• 平時の対策：SaaS権限棚卸し、DLPとCASBの違い
• 復習：合成SaaS監査ログの演習。実データは使わず、対応後に判断を練習できます。記事を保存した場合は進捗ページから再開できます。

公式情報・参考情報

• Microsoft Learn：侵害されたメールアカウントへの対応 — アカウント保護、受信トレイルールと管理者転送、認証方法・アプリの確認に関する一次資料。
• Microsoft Learn：自動外部転送の制御 — 2026年8月18日更新の資料で、Automaticの組織差と外部・内部転送の扱いを確認。
• Google：Gmailを別のアカウントに自動転送する — 全メールの転送とフィルタによる一部転送、無効化と未依頼の転送通知を確認。
• Microsoft Learn：ユーザーアクセスの取り消し — IdPの失効要求とアプリ自身のセッションの違いを確認。
• Google：不正使用されたGoogleアカウントを保護する — 認証・回復先・アプリ・メール設定を別々に点検する公式案内。