Microsoft 365 の外部メール転送：自動転送を既定でブロックし、名前の付いた例外だけを許可する

要点： Microsoft 365 の外部メール転送には主に三つの経路があります。メールボックスに設定された転送先アドレス、転送やリダイレクトを行う受信トレイ ルール、そして管理者が作成するメール フロー ルールです。前の二つは送信スパム対策ポリシーとリモート ドメインの設定で制御でき、メール フロー ルールは別に確認する必要があります。外部への自動転送は全員について既定でブロックし、業務上の理由がある特定のメールボックスだけを例外として許可します。何かを止める前に、まず今ある転送をすべて確認してください。

外部アドレスへの自動転送は、会社のメールが Microsoft 365 テナントから最も静かに出ていく経路の一つです。社員が「通勤中に読むため」に仕事のメールを個人アドレスへ転送している場合もあれば、パスワードを盗んだ攻撃者が作ったルールで、請求書に関するメールがすべて攻撃者のメールボックスに送られている場合もあります。どちらにしても内容はすでに外に出ており、送信側のメール システムには何の異常も記録されていません。

本記事のテーマは予防です。Microsoft 365 の外部メール転送の仕組み、今何が転送されているかの確認方法、そして「既定でブロック、例外で許可」という方針を崩れない形で設定する方法を説明します。すでにメールボックスの侵害を疑っていて、どんな痕跡を探すべきかを知りたい場合は、先に姉妹記事のビジネス メール詐欺の後に不正な受信トレイ ルールを調べる方法をお読みください。方針より先に封じ込めです。

メールはどのように Microsoft 365 から外部へ転送されるのか？

多くの組織で重要なのは三つの経路で、それぞれ別の場所で制御されています。「転送はブロックしてある」が半分しか正しくないことが多いのはこのためです。

• メールボックスの転送。 メールボックス自体に設定する転送先で、Microsoft 365 管理センターのユーザーのメール設定、または Exchange 管理センターのメールボックスのメール フロー設定にあります。PowerShell では ForwardingSmtpAddress（通常はユーザーまたは管理者が外部アドレスを設定）または ForwardingAddress（管理者が受信者オブジェクトを設定）として表示されます。DeliverToMailboxAndForward で、メールボックスにもコピーを残すかどうかが決まります。
• 受信トレイ ルール。 ユーザー本人、またはユーザーとしてサインインした誰かが Outlook や Outlook on the web で作るルールで、「転送」「添付ファイルとして転送」「リダイレクト」のアクションを持つものです。件名に「請求書」を含むメールだけ、のように範囲を狭くでき、見落とされやすいのが特徴です。
• メール フロー ルール。 管理者が Exchange 管理センターで作成するトランスポート ルールで、メッセージを別のアドレスへリダイレクト、転送、または BCC で送ります。ジャーナルやコンプライアンス用のコピーなど正当なものがほとんどですが、強力なうえ見直されることがほとんどありません。

ほかの自動化でもコピーが外に出ることがあります。たとえば Power Automate で作った、新着メールを転送するフローです。これらは Exchange ではなく Power Platform の設定で管理されるため、別途一覧にしてください。

自動転送を実際にブロックできる設定はどれか？

外部への自動転送の制御に関する Microsoft のドキュメントは、送信スパム ポリシーとリモート ドメインの二つを制御手段として挙げ、両者の関係も明確に説明しています。どちらか一方がある宛先への自動転送をブロックしていれば、そのメッセージはブロックされます。メール フロー ルールは別の構成なので、これらの設定で制御されると決めつけず、独立した項目として扱ってください。

送信スパム フィルター ポリシー

Microsoft Defender ポータルで「メールとコラボレーション」「ポリシーとルール」「脅威ポリシー」「スパム対策」の順に進み、送信ポリシーを開きます。転送ルールの項目にある自動転送の設定には三つの値があります。

• Automatic - System-controlled（自動 - システム制御）。 既定値です。Microsoft は現在これを転送無効と同じに扱っており、外部への自動転送はブロックされます。
• On - Forwarding is enabled（オン）。 ポリシーの対象ユーザーについて、外部への自動転送を許可します。
• Off - Forwarding is disabled（オフ）。 外部への自動転送をブロックし、送信者には配信不能レポートが返ります。コードは通常 550 5.7.520 です。

Microsoft の推奨は、既定のポリシーはブロックのままにし、On に設定したカスタムの送信ポリシーを別に作って、本当に必要な特定のユーザーだけを対象にすることです。PowerShell では New-HostedOutboundSpamFilterPolicy に -AutoForwardingMode On を付け、New-HostedOutboundSpamFilterRule の -From で対象アドレスを指定します。Set-HostedOutboundSpamFilterPolicy -Identity Default -AutoForwardingMode Off で既定のポリシーを明示的に Off にしておけば、「システム制御」の意味について将来迷うことがなくなります。

リモート ドメイン

Exchange 管理センターの「メール フロー」にある「リモート ドメイン」では、一覧にないすべてのドメインを対象とする Default を含め、各リモート ドメインに「自動転送を許可する」オプションがあります。PowerShell では Set-RemoteDomain の AutoForwardEnabled パラメーターです。どちらの制御でもブロックが優先されるため、リモート ドメインには二つの使い道があります。二重目の防御として、そして特定の取引先ドメインにだけ届けばよい例外のためです。送信ポリシーで特定のユーザーを許可しつつ、リモート ドメインではその取引先のドメインだけを許可すれば、例外をその宛先に限定できます。

自動転送メッセージ向けのメール フロー ルール

多くの組織は念のためメール フロー ルールも追加します。組織内から送信され、宛先が組織外で、メッセージの種類が自動転送であるものは、説明文を付けて拒否する、というルールです。PowerShell では New-TransportRule に -FromScope InOrganization、-SentToScope NotInOrganization、-MessageTypeMatches AutoForward、-RejectMessageReasonText を指定します。カスタム送信ポリシーと同じ特定のメールボックスを例外に加え、両者が矛盾しないようにしてください。

今何が転送されているかをどう確認するか？

何かをブロックする前に、すでにある転送を一覧にします。正当なものも含まれているはずで、役員秘書の転送を予告なしに止めるのは、セキュリティ変更がその日の午後に取り消される典型的なパターンです。

1. 自動転送メッセージ レポートを確認する。 Exchange 管理センターの「レポート」から「メール フロー」に進むと、外部の宛先へ自動転送されたメールと転送方法を示す自動転送メッセージ レポートがあります。誰がどの程度転送しているかがわかります。
2. メールボックス単位の転送を一覧にする。 Get-Mailbox -ResultSize Unlimited | Where-Object { $_.ForwardingSmtpAddress -or $_.ForwardingAddress } | Select-Object DisplayName, ForwardingSmtpAddress, ForwardingAddress, DeliverToMailboxAndForward で、転送先が設定されたメールボックスがすべて返ります。
3. 転送する受信トレイ ルールを一覧にする。 各メールボックスに Get-InboxRule を実行し、ForwardTo、ForwardAsAttachmentTo、RedirectTo のいずれかに値があるルールを残します。大きなテナントでは Get-Mailbox の結果をループに渡し、結果をスプレッドシートに書き出します。
4. メール フロー ルールを一覧にする。 Get-TransportRule ですべてのルールが表示されます。組織外を指すリダイレクト、BCC、「受信者を追加」のアクションと、誰も説明できないルールを探します。
5. 一件ずつ分類する。 転送ごとに、担当者、転送先、業務上の理由、より良い代替手段があるかを記録します。個人アドレスへの転送の多くは Outlook モバイル アプリで置き換えられ、「会計士へ転送」のルールの多くは共有メールボックスや共有フォルダーで置き換えられます。

担当者も理由もない転送は、単なるポリシー違反ではなく侵害の可能性として扱ってください。そこから先は、ビジネス メール詐欺の後に受信トレイ ルールを調べるガイドの領域です。

全面ブロック、個人単位の許可、ドメイン単位の許可のどれにするか？

多くの組織が選ぶ三つの方針と、それぞれが合う場面です。

全面ブロック、特定ユーザーの許可リスト、取引先ドメインの許可リストのどれか？

• 外部への自動転送を全面ブロック。 既定の送信ポリシーでブロックし、カスタム ポリシーは作らず、メール フロー ルールで例外なく自動転送を拒否します。説明も監査も最も簡単です。本当の必要性を委任や共有メールボックスで満たせる、多くの中小規模の組織に向いています。
• 特定メールボックスの許可リスト。 On に設定したカスタム送信ポリシーを、担当者と見直し日を決めた少数のユーザーにだけ適用します。転送でメールを受け取るチケット システムや、外部にコピーを送る必要のある規制対象の役職など、実際の要件がある組織に向いています。
• 取引先ドメイン単位の許可リスト。 送信ポリシーで特定のユーザーを許可しつつ、リモート ドメインでは一つか二つの取引先ドメインへの自動転送だけを許可します。外部の給与計算事業者など外部委託している業務に向いており、そのメールボックスが後で侵害された場合の被害も限定できます。

どれを選んでも、文書に残してください。採用した方針、例外、新しい例外の承認者を記した一段落の転送基準があって初めて、設定が統制になります。

ブロックした状態をどう保つか？

設定はずれていきます。新しい管理者が一人のユーザーの問題を解決するためにカスタム送信ポリシーを作り、対象を後でどんどん大きくなるグループにしてしまう。プロジェクトのために追加したリモート ドメインが、終了後も残る。転送を管理下に置き続けるための習慣は三つです。

• アラートを有効にし、届け先を正しくする。 Microsoft Defender には、不審な転送アクティビティと、転送またはリダイレクト ルールの作成に関する既定のアラート ポリシーがあります。有効になっていること、通知が退職した管理者ではなく誰かが見ているメールボックスに届くことを確認してください。
• 例外を四半期ごとに見直す。 許可したメールボックスにはそれぞれ、今も担当者、理由、妥当な転送先があるべきです。
• インシデントの後は改めて確認する。 フィッシングのインシデントの後は、影響を受けたメールボックスだけでなくテナント全体で転送を一覧にし直します。一つのアカウントに侵入した攻撃者は、ほかのアカウントも試すことが多いからです。

この設定の周辺にある送信・受信フィルタリングの設定は Exchange Online Protection の設定ガイドで、転送と経理メールがなぜよく組み合わさるのかは香港のサプライヤー支払い詐欺の事例で説明しています。

Microsoft 365 セキュリティ監査ではここで何を確認するか？

転送は、Brocent の Microsoft 365 セキュリティ監査におけるメール セキュリティ領域の確認項目の一つです。送信スパム ポリシーとその対象範囲、リモート ドメインの設定、メール フロー ルール、全メールボックスの転送先アドレスと転送する受信トレイ ルール、関連するアラート ポリシーの状態を読み取ります。レポートでは外部への転送を一件ずつ、わかる範囲で担当者とともに列挙し、説明のつかないものに印を付け、組織に合った方針のモデルを提案します。

Microsoft 365 セキュリティ監査のサンプル レポート（英語）で、こうした指摘の書き方と段階的な修正計画への組み込み方を確認できます。監査は読み取り専用でリモートで実施し、読み取り専用のアクセスが承認されてから 5～7 営業日でレポートをお渡しします。報告会は、英国、オーストラリア、アジアのどこにいても、御社の営業時間に合わせて設定します。料金はユーザー数による固定制で、10 ユーザーまで 450 米ドルからです。詳細は Microsoft 365 セキュリティ監査の料金ページをご覧ください。

英国の組織にとって、個人データが管理されないまま私的なアドレスへ転送されることはデータ保護の問題でもあり、オーストラリアやアジアの多くの企業ではサイバー保険の申込書で問われる項目です。いずれの場合も、監査レポートは転送がどう管理されているかを示す証拠として使えるよう設計されたもので、法的意見でも引受の判断でもありません。フィルタリング、ルール、アラートを継続的に任せたい場合は、Brocent のマネージドメールセキュリティで対応します。

よくある質問

Microsoft 365 は既定で外部への自動転送をブロックしますか？

既定の送信スパム ポリシーは「Automatic - System-controlled」に設定されており、Microsoft は現在これを転送無効と同じに扱っています。それでも自社のテナントは確認してください。On に設定したカスタム送信ポリシーや、以前に既定のポリシーへ加えた変更は、その対象ユーザーについて優先されます。

自動転送をブロックすると、ユーザーが手動で転送することもできなくなりますか？

いいえ。これらの制御は、メールボックスの設定と受信トレイ ルールによる自動転送が対象です。ユーザーがメッセージを開いて「転送」を押すのは新しいメッセージの送信であり、データ損失防止や送信フィルタリングのポリシーで管理されます。

転送がブロックされると、どんなエラーが表示されますか？

元のメッセージの送信者、またはルールが動作したユーザーには、通常 550 5.7.520 のコードで、組織が外部への転送を許可していない旨の配信不能レポートが届きます。

メール フロー ルールは送信スパム ポリシーの設定に従いますか？

別のものとして扱ってください。Microsoft のドキュメントは、送信ポリシーとリモート ドメインを、メールボックスの設定と受信トレイ ルールによる自動転送の制御手段として説明しています。外部へリダイレクトやコピーを行うメール フロー ルールは、それ自体を見直してください。

一人だけ外部のシステムへの転送を許可するには？

自動転送を On にしたカスタム送信スパム ポリシーを作り、対象をそのメールボックス一つに限定します。可能であれば、リモート ドメインでも転送先のドメインだけに自動転送を許可します。担当者と見直し日を記録してください。

転送ルールがあれば、必ず侵害されているのですか？

いいえ。社員が便利さのために設定したものも多くあります。ただ、担当者がいない、名前が不自然、キーワード条件が狭い、転送先を誰も知らない、といったルールは侵害の可能性として調査すべきです。

まず何から始めるか

今週、上に挙げたメールボックス転送と受信トレイ ルールの確認コマンドを実行し、結果をスプレッドシートにまとめてください。一覧が短く、すべての行に担当者がいるなら、既定のポリシーを Off にするのはコマンド一行の作業です。一覧が長い場合や説明のつかない行がある場合は、何かを変える前にコンサルタントにご相談ください。