営業アプローチのセキュリティ：営業チームがフィッシング詐欺師のように見られないようにする5つの方法

正直なところ、見込み客から「これはフィッシング詐欺ですか？」と、私たちのコールドメールへの返信が初めて届いた時、私は笑うべきかパニックになるべきか分からなかった。私たちに非はなかった。メールは正当なもので、提案も本物だったし、担当者は時間をかけて内容を個別に調整していた。しかし、その見込み客にとっては？　まさにフィッシング詐欺の典型そのものだったのだ。

その瞬間は私の心に深く刻まれた。なぜなら、問題はメールそのものではなく、その背後にあるすべてにあったからだ。DKIM署名がない。SPFレコードの設定が不十分。DMARCはp=noneのまま放置され、ほこりをかぶっていた。メールサーバーから見れば、私たちは事実上、匿名同然だったのだ。

これは単にメールの配信率の問題にとどまりません。FBIの「インターネット犯罪報告書」では、ビジネスメール詐欺が毎年、最も被害額が大きいサイバー脅威の一つとして指摘されています。見込み客もこの事実を認識しています。彼らは警戒するよう訓練されており、あなたの営業メールは、本意であれそうでなかれ、往々にしてフィッシングメールと見分けがつかない要素を含んでいるのです。

営業アプローチのメールを確実に届けることは、単なる技術的な問題ではなく、収益に関わる問題です。アプローチメールがフィッシング詐欺のように見えてしまっては、文章がどれほど優れていても意味がありません。そこで、実際に効果的な対策をご紹介します。アプローチメールが正当な連絡として扱われるようにするために、チームが実践できる5つのポイント（技術的な対策もあれば、行動面での対策もあります）をご紹介します。

1. SPF、DKIM、DMARCを単に導入するだけでなく、実際に機能させる

私が話を聞くチームのほとんどは、認証を「設定済み」としています。通常、それはつまり、どこかにSPFレコードがあり、主要なメール配信業者（ESP）でDKIMが有効化されており、DMARCの設定がp=noneになっている状態を指します。しかし、それは認証そのものではなく、単に認証されているように見えるだけの状態です。

これら3つの機能が正常に動作しているときの実際の動作は以下の通りです：

• SPFは、どのIPアドレスがあなたのドメインを代表してメールを送信することを許可されているかを、受信側のメールサーバーに通知します。もしあなたの販売ツールがそのリストに含まれていない場合、たとえ自分で設定したものであっても、そのツールからのメールは許可なくあなたに送信されることになります。
• DKIMは、メールに暗号署名を付与します。これにより、メッセージが送信中に改ざんされていないこと、そして実際にあなたのインフラから送信されたものであることが証明されます。
• DMARCは強制層です。これは、「SPFやDKIMの検証に失敗した場合、監視、隔離、または拒否といった対応を行う」というものです。また、どのメールが通過し、どのメールが通過しなかったかを正確に示すレポートを送信します。

多くの人が見落としがちなのは、DMARCの設定を「p=none」の段階から先に進めることです。確かに、まずはそこから始めるべきです。強制適用する前に状況を把握しておく必要があります。しかし、いつまでも「p=none」のままにしておけば、それは実質的に「なりすましが発生していることは承知しているが、構わない」と言っているのと同じことです。「p=reject」を目指しましょう。そうすれば、メールの配信率が向上することでしょう。

2. コールドメールの営業活動にはサブドメインを使用する

一部のチームにはなかなか納得してもらえないかもしれませんが、コールドアウトリーチキャンペーンによってドメインの送信者レピュテーションが急落するのを一度でも目にしてしまえば、もう以前のやり方には戻れなくなるでしょう。

取引メールや顧客への連絡、ニュースレターの送信元となるメインドメインは、見込み客への冷やかし的なアプローチにリスクを負わせるにはあまりにも貴重です。ターゲット設定が不適切な一連のメール、購入したリスト、あるいは失敗したキャンペーンが一つでもあれば、スパム苦情が急増し、その影響は単なる営業活動にとどまりません。あらゆる業務に悪影響を及ぼすことになるのです。

その代わりに、専用のサブドメインを設定しましょう。例えば、mail.yourcompany.com や outreach.yourcompany.com といったものです。独自のSPF、DKIM、DMARCレコードを使用して、個別に認証を設定します。こうすることで、コールドアウトリーチは独立した環境で運用されるため、万が一問題が発生しても、その影響は限定されます。

ほとんどのセールス・エンゲージメント・ツールでは、これの設定をそれほど手間をかけずに済ませることができます。むしろ、設定に時間を割く価値があることをチームに納得させることの方が、通常は難しいものです。しかし、その価値は十分にあります。

3. ドメインからメールを送信するすべてのツールを監査する

ここで質問です。自社のドメインを使ってメールを送信するツールを、すべて挙げることができますか？メインのメール配信サービス（ESP）だけでなく、すべてのツールです。CRMのフォローアップシーケンス、カレンダーの予約確認メール、リード育成ツール、そして8ヶ月前に誰かが設定したものの、もう誰も覚えていないあの連携機能まで含めてです。

多くのチームは、この質問に自信を持って答えられません。そして、それが問題なのです。なぜなら、これらのツールはそれぞれ、適切に認証されているか、そうでないかのどちらかだからです。もし認証されていない場合、それらのメールはSPFやDKIMの検証に失敗することになり、実際の内容にかかわらず、受信サーバーからは偽造メールと見なされてしまうからです。

DMARCの集計レポート（RUAレポート）を確認すれば、その実態が分かります。このレポートには、あなたのドメインを名乗って送信しているすべての送信元が、合格率と不合格率ごとに分類されて表示されます。その内容には驚くことも少なくありません。存在を忘れていたツールや、今も稼働し続けている古い連携機能、SPFレコードに追加されたことのないサードパーティ製サービスなどが判明するでしょう。

• DMARC RUAレポートを取得し、すべての送信元を一覧表示してください
• それぞれについて：SPFレコードに含まれていますか？DKIM署名されていますか？
• 不具合がある場合は、記録を修正するか、原因を取り除いてください

4. 営業担当者が知らず知らずのうちにフィッシングメールを送信している

文字通りの意味ではありませんが、スパムフィルターの観点から見ると、一部の営業メールの文面は本物と見分けがつかないほど似通っています。 スパムフィルターは意図を読み取るのではなく、パターンを読み取ります。そして、一般的な営業メールのパターンの多くは、フィッシング詐欺師が使用するものと同じです。チームがAIツールを用いてコールドメールを送り、アウトリーチを拡大し始めるにつれ、この点はさらに重要になります。AIはパーソナライゼーションを加速させることができますが、注意深く確認しなければ、意図せずフィッシングに似たパターンを再現してしまう可能性もあります。

営業担当者が行っていることで、実際に配信率に悪影響を及ぼしていると思われる事例をいくつか挙げると：

• 「偽のスレッド」という手口――実際にはやり取りがないにもかかわらず、「Re: 先ほどのチャットについて」や「先ほどの電話の件で」といった件名を使うこと。見込み客はこれを嫌がり、スパムフィルターに引っかかり、信頼を急速に損なうことになります。
• 緊急性を煽る表現――「期間限定」「今すぐ行動を」「このチャンスをお見逃しなく」といった言葉が、受信者が全く知らない人物からの冷やかしメールに詰め込まれている。典型的なフィッシングの手口だ。
• リンクの過剰使用— 初めてのコンタクトとなるコールドメールに、トラッキングリンクが3つ、カレンダーの埋め込み、そしてPDFの添付ファイルが含まれている。これはアウトリーチとは言えず、むしろ警戒すべきサインだ。
• ブラックリスト— 未確認の連絡先や購入した連絡先へメールを送信すると、バウンス率と苦情率が上昇します。どちらも送信者のレピュテーションを著しく低下させます。

営業チームとこれらのパターンについて30分間話し合うだけで、開封率や配信率の向上という即効性が期待できます。率直に言えば、これらはメールが受信トレイに届くか、それとも届かずに消えてしまうかを直接左右する要素なのです。

5. BIMIを活用して、メールが開かれる前から自社のブランドイメージを印象づけましょう

これまでの話はすべて、「怪しまれないようにする」ことについてでした。一方、BIMIは「積極的に信頼感を与える」ものであり、そこには違いがあります。

BIMI（Brand Indicators for Message Identification） 受信トレイでは、送信者名の横に認証済みのブランドロゴが表示されます。見込み客は本文を読む前に、まずロゴを目にします。受信者があなたと事前の関係を持たず、このメールに時間を割く価値があるかどうかを瞬時に判断するコールドアウトリーチにおいて、この一瞬の視覚的認識は極めて重要です。

また、BIMIが機能するために必要な条件についても触れておく価値があります。DMARCポリシーは「p=quarantine」または「p=reject」に設定されている必要があります。つまり、BIMIを導入することは、必然的に認証に関する取り組みを最後まで完遂することを促すものであり、これは優れた組み込み型のインセンティブと言えます。

設定には、ロゴのSVGファイルを指すBIMI DNSレコードを公開すること、およびGmailやその他の主要なメールクライアントでロゴを表示させたい場合は、Verified Mark Certificate（VMC）を取得することが含まれます。スイッチを切り替えるだけの簡単な作業ではありませんが、これにより生み出される信頼のシグナルは確かなものであり、アウトリーチ先の受信箱でブランドの認知度が高まるにつれて、その効果は時間とともに増幅していきます。

まとめ：問題は営業担当ではなく、インフラにある

その見込み客から、当社のメールがフィッシング詐欺ではないかと言われ、担当者は申し訳なく思いました。しかし、それは担当者のせいではありませんでした。メール自体に問題はありませんでした。問題だったのは、目に見えない部分、つまり認証レイヤーやドメインの設定、そして正当なメールを脅威のように見せてしまう送信方法など、あらゆる点にありました。

インフラを整えれば、問題はほぼ自然に解決します。SPF、DKIM、DMARCを「強制適用」レベルに設定してください。冷やかし的な営業メールは専用のサブドメイン経由で送信するようにしてください。ドメインに関わるすべてのツールを監査してください。配信率を低下させる要因について、営業担当者を教育してください。そして、準備が整ったら、その上にBIMIを導入してください。

どれも華やかな仕事ではありません。しかし、これこそが、メールが確実に受信箱に届く営業チームと、なぜ返信が全くないのかと首を傾げる営業チームとの違いなのです。

• について
• 最新記事

ミレーナ・バグダサリャン

コンテンツスペシャリストPowerDMARC

ミレーナは、IT、サイバーセキュリティ、バーチャルイベントなどに関する魅力的なコンテンツ制作に7年以上の経験を持つ、熟練したライター兼コンテンツ制作者です。ニューヨーク大学アブダビ校、UWCチャイナ校、カレッジ・オブ・ヨーロッパなどの名門校を卒業。

最新記事 by Milena Baghdasaryan(全て見る)

• NTLMの廃止：マイクロソフトによる段階的廃止がMSPやITチームに与える影響 - 2026年5月8日
• DMARC集計レポートの解説：概要、内容、活用方法 - 2026年5月6日
• Sendmarc レビュー：機能、ユーザー体験、メリット・デメリット（2026年） - 2026年4月22日