レンタルサーバー付属の無料メールを会社で使い続けると何が起きるか｜足りない機能と切り替えの判断基準
レンタルサーバーやドメイン取得サービスを契約すると、たいてい「メールアドレスを無制限に作成できます」という機能が付いてきます。会社を立ち上げたときにWebサイトと一緒にメールも作り、そのまま10年使っている、という会社は少なくありません。
結論から言うと、この無料メールはセキュリティと迷惑メール対策が弱く、会社の業務メールには向いていません。 メールは届きますし、独自ドメインも使えます。しかし守る仕組みは「パスワード」と「事業者の共用フィルタ」だけで、会社の業務メールに求められる水準がこの10年で大きく上がったのに対し、この部分はほとんど変わっていません。取引先はメールの認証設定を確認するようになり、フィッシングはメールアカウントの乗っ取りを狙うようになり、個人情報の漏えいは報告義務を伴うようになりました。
本記事では、レンタルサーバー付属メールの弱点を7点に絞って説明し、当社が支援した会社で移行後に何が変わったかを事例で示したうえで、「切り替えるべき会社」と「そのままでよい会社」の線引きをします。
結論：足りないのは「届く」以外のすべて
| 観点 | レンタルサーバー付属メール | 業務用メールサービス（Microsoft 365 / Google Workspace） |
|---|---|---|
| 認証 | パスワードのみ。多要素認証はないか、Webメール限定 | 全ユーザーに多要素認証、フィッシング耐性のあるパスキーも可 |
| アクセス制御 | なし。どこからでもパスワードが合えば入れる | 条件付きアクセス（端末・場所・リスクで制御） |
| ログ | サインイン履歴・操作ログはほぼ残らない | サインインログ、監査ログ、メール追跡が標準 |
| 退職者処理 | 管理画面で個別に削除。転送や引き継ぎは手作業 | アカウント無効化、メールボックスの引き継ぎ、共有メールボックス化 |
| なりすまし対策 | SPFは可。DKIM・DMARCは事業者次第 | SPF・DKIM・DMARCをすべて設定できる |
| 迷惑メール・フィッシング対策 | 事業者の共用フィルタのみ。管理者は調整も確認もできない | 添付・URLの検査、なりすまし検知、隔離の管理、ユーザーごとの調整 |
| バックアップ・保全 | 各自のメールソフトに依存 | 保持ポリシー、訴訟ホールド、別途バックアップも可 |
| 容量 | サーバー全体の容量を共用（数GB〜数百GB） | 1ユーザー50GB〜 |
| 取引先チェックシート | 多くの設問に「いいえ」 | 標準機能の範囲で「はい」と答えられる設問が多い |
| 費用（2026年9月時点・税別） | サーバー代に含む（月額数百〜数千円） | Business Standard で1ユーザー月額1,600円（GWS）〜3,523円（M365） |
表の左列のうち、特に弱いのが認証と迷惑メール対策です。次の7点は、いずれも当社が中小企業のメール環境を調査したときに繰り返し見てきたものです。
1. パスワードだけで守られている
業務メールへの攻撃の入口は、いまやほぼ正規のパスワードの窃取です。フィッシングでパスワードを入力させる、他サービスから漏れたパスワードを試す、といった手口で、メールアカウントが乗っ取られます。
多要素認証（MFA）があれば、パスワードが漏れても第二の要素がなければサインインできません。Microsoft はMFAでアカウント侵害の99.9%を防げると公表しています。ところがレンタルサーバー付属のメールは、多要素認証に対応していないか、対応していてもWebメールだけで、Outlook や iPhone のメールアプリからの IMAP/POP 接続はパスワードのみのままです。
乗っ取られたメールアカウントは、取引先への請求書偽装（ビジネスメール詐欺）や、自社ドメインからの迷惑メール送信に使われます。前者は数百万円単位の実害、後者は自社ドメインの評判低下につながり、正規のメールまで届かなくなります。
2. 「誰がいつサインインしたか」が分からない
インシデントが起きたとき、最初に確認するのは「不審なサインインはいつ、どこからあったか」「その間にどのメールが読まれ、転送設定が変えられていないか」です。
業務用メールサービスでは、サインインログと監査ログが標準で残ります（Microsoft 365 の監査ログの見方）。レンタルサーバー付属メールでは、この種のログが利用者に提供されていないか、Webメールのアクセス履歴程度です。乗っ取りに気づいても、何が漏れたかを特定できず、個人情報が含まれていれば「漏えいの範囲が特定できない」まま報告することになります。
個人情報保護法では、漏えい時の本人通知と個人情報保護委員会への報告が義務です。ログがないと、この報告の中身が書けません。
3. 退職者の処理と引き継ぎが手作業
社員が退職したとき、業務メールでは次の処理が必要です。
- サインインを即時に止める
- 受信し続けるメールを後任へ引き継ぐ
- メールソフトに保存されていた過去のメールを回収する
- そのアドレスで登録していた外部サービスを洗い出す
業務用メールサービスなら、アカウントの無効化、メールボックスの共有化、後任への転送を管理者が一括で行えます（退職者のIT処理チェックリスト）。レンタルサーバー付属メールでは、管理画面でアドレスを削除すると過去メールも一緒に消えるか、残す場合はパスワードを変えて誰かが代わりにログインし続ける、という運用になりがちです。後者は「退職者のアカウントに現職者がログインする」という状態で、監査や取引先の確認で問題になります。
また、レンタルサーバーの契約者や管理画面のパスワードを退職者が握っていた、というケースも珍しくありません。メールだけでなく、Webサイトごと人質になります。
4. なりすまし対策が事業者の対応次第
2024年以降、Gmail や Microsoft は大量送信者にSPF・DKIM・DMARCの設定を求めるようになり、認証されていないメールは迷惑メール判定や受信拒否の対象になりやすくなりました。取引先のセキュリティ担当がDMARCの設定状況を確認することも増えています。
SPFはほとんどのレンタルサーバーで設定できます。しかしDKIM（送信サーバーでの電子署名）は事業者とプランによって対応が分かれ、対応していないプランではDMARCの認証に通る形を作れません。設定方法はDMARC・DKIM・SPFの完全ガイドにまとめていますが、そもそも設定できないプランでは手の打ちようがありません。
もう一つ見落とされがちなのが、送信IPアドレスの共用です。レンタルサーバーでは同じサーバーの他の契約者と送信元IPを共有しており、誰かが迷惑メールを送ってIPの評判が下がると、自社の正規メールも巻き込まれて届かなくなります。自社では防げない障害です。
5. 迷惑メール・フィッシング対策が共用フィルタ頼み
レンタルサーバーの迷惑メール対策は、サーバー全体に掛かる事業者の共用フィルタです。利用者側でできるのは、せいぜい「迷惑メールフォルダに振り分けるか、件名に印を付けるか」の切り替え程度で、次のことができません。
- 添付ファイルやURLの検査。マクロ付きファイルや、クリック後にフィッシングサイトへ転送されるURLを開く前に止める仕組みがない
- なりすましの検知。取引先の担当者名を装った送信元、自社ドメインに似せたドメイン、社長の名前を使った送金依頼といった、文面ベースの偽装を見分ける機能がない
- 隔離の管理。何が迷惑メールと判定されて止められたのかを管理者が一覧で確認し、誤判定を解放したり、ルールを調整したりする画面がない
- ユーザーごとの調整。営業部門は外部からのメールが多い、経理は請求書の添付が多い、といった部門差に合わせた調整ができない
結果として、フィッシングメールは通常のメールと同じ受信箱に届き、判断は受け取った社員の目に委ねられます。中小企業のインシデントの多くは「社員がフィッシングメールの添付を開いた」「偽の請求書に振り込んだ」から始まりますが、レンタルサーバー付属メールはこの入口をほぼ無防備にしています。万一開いてしまった場合の初動はフィッシングメールをクリックしてしまったときの緊急対応にまとめています。
業務用メールサービスでは、Microsoft 365 なら Exchange Online Protection と Defender for Office 365、Google Workspace なら Gmail の高度なフィッシング対策が、添付・URL・なりすましの3層で検査し、管理者が隔離を確認・調整できます。両者の迷惑メール判定の精度は、世界中の数億のメールボックスの受信データで日々更新されており、共用サーバー1台のフィルタとは比較になりません。
6. メールのバックアップと保全ができない
「メールはサーバーに残っているから大丈夫」と思われがちですが、レンタルサーバー付属メールの多くは、サーバー容量の上限に達すると受信できなくなるため、各自がメールソフトにダウンロードしてサーバーから消す運用になっています。つまりメールの実体は各社員のPCの中にあり、PCが壊れれば消えます。
業務用メールサービスでは、保持ポリシー（削除されても一定期間は管理者が復元できる）、訴訟ホールド（改変・削除を禁止して保全する）が使えます。取引先とのトラブルや労務問題でメールを証拠として出す場面では、この差が決定的です。なお、Microsoft 365 も既定の保持はバックアップの代わりにはならないため、別途バックアップの検討は必要です。
7. 取引先のセキュリティチェックシートに答えられない
大手企業や上場企業と取引を始めると、セキュリティチェックシートが届きます。メールに関する典型的な設問は次のとおりです。
- メールシステムに多要素認証を適用していますか
- メールの送受信ログを一定期間保管していますか
- 退職者のアカウントを速やかに無効化する手順がありますか
- 送信ドメイン認証（SPF/DKIM/DMARC）を設定していますか
- 添付ファイルやURLのマルウェア検査を行っていますか
レンタルサーバー付属メールでは、この5問のうち「はい」と答えられるのは、良くてもSPFの1問です。「いいえ」が並んだシートは、取引条件の見直しや是正計画の提出を求められる材料になります（チェックシートの回答の進め方）。逆に、Microsoft 365 や Google Workspace に移して標準機能を設定しておけば、これらの設問は追加投資なしで「はい」になります。
2027年に申請が始まる見込みのSCS評価制度（サプライチェーン・セキュリティ対策評価制度）でも、多要素認証やログの取得は要求事項に含まれています。取引先から★3の取得を求められたときに、メール基盤が無料メールのままでは要件を満たせません。
移行して何が変わったか：当社が支援した事例
「弱い」という説明だけでは判断材料になりにくいので、当社が実際に支援した会社で、Microsoft 365（Exchange Online）へ移行した後に何が変わったかを挙げます。いずれも守秘義務の範囲で公開している導入事例からの抜粋です。
専門商社（従業員約20名・2拠点）。 以前から利用していたメールサービスにセキュリティ上の懸念があり移行を希望していましたが、DNSの変更やデータ移行を行える人が社内にいませんでした。過去メールの移行、MX・SPF・DKIM・DMARCの切り替え、各社員のOutlookとスマートフォンの設定を週末に集中して行い、月曜の始業時から新環境で運用を始めました。移行と同時に全アカウントへMFAを展開し、迷惑メールフィルタの設定も最適化しました。移行後、受信箱に届く迷惑メールは大幅に減り、社員がフィッシングメールを見分ける負担そのものが小さくなっています。現在は入退社時のアカウント処理まで当社が代行しており、退職者アカウントの停止漏れが起きない状態になっています（事例の詳細）。
翻訳・通訳業（従業員約20名・海外在住メンバーあり）。 顧客の機密文書をメールで扱う業務で、メールサービスのセキュリティが事業の信頼性に直結していました。移行後はMFAを全社に適用し、海外からの日常的なアクセスに対しても不正アクセスの入口を塞いでいます。SPF・DKIM・DMARCの設定で、顧客企業の担当者を装ったフィッシングへの耐性と、自社メールの到達性を同時に高めました。移行後は迷惑メールが大幅に減り、顧客からのメールが埋もれる状態も解消しています（事例の詳細）。
地方建設業（従業員100名未満・事業承継）。 それまでプロバイダのメールサービスを使っていましたが、Business Premium の導入に合わせて Exchange Online へ移行し、独自ドメインでの運用とSPF・DKIM・DMARCの設定に切り替えました。取引先に対する企業としての信頼性が上がった、という評価をいただいています（事例の詳細）。
自動車部品製造業（従業員約200名・3拠点）。 こちらはレンタルサーバーではなく自社運用のメールサーバーでしたが、抱えていた問題は同じです。容量が逼迫して過去メールを定期的に消す運用になっており、主要取引先のセキュリティチェックシートの多くの項目が「未対応」でした。Exchange Online への移行とMFA・端末管理の整備により、チェックシートの全項目を「対応済み」で提出でき、新規受注にもつながっています（事例の詳細）。
この事例から言えること。 4社に共通するのは、メールの移行そのものは数日から1か月で終わり、変わったのは「届く・届かない」ではなく、多要素認証・送信ドメイン認証・アカウント管理・取引先への説明責任の4点と、受信箱に届く迷惑メールが大幅に減ったことだということです。逆に言えば、レンタルサーバー付属メールに欠けているのもこの4点です。移行の効果は、メールが便利になることではなく、この4つの穴が塞がることにあります。
切り替えるべき会社、そのままでよい会社
そのままでよいのは、次の条件をすべて満たす場合です。
- 個人事業か、家族・数名の経営で、退職者の処理がほぼ発生しない
- 取引先からセキュリティに関する確認や要件を受けていない
- 顧客の個人情報や取引先の機密情報をメールでやり取りしていない
- メールが数日止まっても業務に致命的な影響がない
切り替えを検討すべききっかけは、次のどれか一つです。
- 従業員が5人を超え、入退社が発生するようになった
- 取引先からセキュリティチェックシートや、DMARC設定の確認が届いた
- 見積書・請求書・個人情報をメールで扱っている
- 一度でも、不審なサインインやなりすましメールの疑いがあった
- SCS評価制度やISMSへの対応を求められた
多くの会社で現実のきっかけになっているのは、2番目の「取引先からの確認」です。是正計画の期限を切られてから慌てて移行するより、先に済ませておくほうが安上がりです。
切り替え先と費用（2026年9月時点）
業務用メールの選択肢は、実質的に Microsoft 365 と Google Workspace の2つです。
会社で標準的に選ばれる Business Standard 同士で比較します（2026年9月時点・税別・年間契約）。
| Microsoft 365 Business Standard | Google Workspace Business Standard | |
|---|---|---|
| 1ユーザー月額 | 3,523円（Copilot Business 同梱） | 1,600円 |
| メール容量 | 50GB | 1ユーザー2TB（Drive と共用、組織でプール） |
| 含まれるもの | Exchange Online、Teams、OneDrive 1TB、デスクトップ版 Office、Copilot | Gmail、Meet（録画可）、共有ドライブ、ドキュメント類、Gemini |
| 多要素認証 | 標準 | 標準 |
| 条件付きアクセス | 上位プラン（Business Premium） | 上位プラン（コンテキストアウェア アクセス） |
| 向いている会社 | Office ファイルと Windows PC が中心、Copilot を使いたい | ブラウザ中心、共有ドライブでファイルを組織管理したい |
10人の会社なら、Google Workspace で年間約19万円、Microsoft 365 で年間約42万円です。Microsoft 365 側が高いのは、2026年7月の改定で Business Standard に Copilot Business が同梱されたためで、メールとセキュリティだけが目的なら Business Basic（1ユーザー月額1,049円・年間約13万円）でも本記事で挙げた弱点は解消できます。レンタルサーバーの月額数千円と比べれば増えますが、オンラインストレージ・チャット・会議・Office 系アプリが付くため、別途契約しているサービスを解約できる場合もあります。両者の詳しい比較はMicrosoft 365 vs Google Workspaceを参照してください。
移行の手順と注意点
移行は、Webサイトをレンタルサーバーに残したまま、メールだけを移す形が一般的です。
- 新サービスに独自ドメインを追加し、所有権を確認する（Microsoft 365 の場合はカスタムドメインの追加手順）
- 全ユーザーのアカウントを作成し、多要素認証を有効にする。共有アドレス（info@ 等）は個人アカウントではなく共有メールボックスやグループにする（共有メールボックスとメーリングリストの違い）
- 過去メールを移行する。IMAPでの一括移行か、各自のメールソフトからのインポート。容量と件数を事前に把握しておく
- DNSのMXレコードを切り替える。切り替え前にTTLを短くし、切り替え後も旧サーバーの受信箱を1〜2週間確認する（MXレコードの仕組み）
- SPF・DKIM・DMARCを新環境で設定する。旧サーバーからの送信を止めるまでは、SPFに両方を含める
- メールソフトとスマートフォンの設定を変更し、旧設定を削除する。ここで各PCに残っていた過去メールも回収する
- 旧サーバーのメール機能を停止する。アドレスを残したままにすると、旧サーバー側で受信が続き、見落としの原因になる
つまずきやすいのは3と6です。過去メールが各PCに散在している会社ほど、回収に時間がかかります。切り替え当日ではなく、2〜4週間の移行期間を取ってください。
まとめ
- レンタルサーバー付属メールはセキュリティと迷惑メール対策が弱い。多要素認証・ログ・退職者処理・なりすまし対策・迷惑メール対策・保全・チェックシート対応の7点で業務用の水準に届かない
- 迷惑メール対策は事業者の共用フィルタ頼みで、添付・URLの検査もなりすまし検知も隔離の管理もできない。フィッシングは社員の目に委ねられる
- 当社が支援した4社では、移行後に多要素認証・送信ドメイン認証・アカウント管理・取引先への説明責任の4点が変わり、迷惑メールは大幅に減った。うち1社は取引先チェックシートを全項目「対応済み」で提出できた
- 最大のリスクはパスワードだけで守られたアカウントの乗っ取りで、請求書偽装や自社ドメインからの迷惑メール送信につながる
- 個人事業や数名の会社で、取引先要件も個人情報もなければ、そのままでよい
- 取引先からセキュリティの確認が届いた時点が、多くの会社にとって現実的な切り替え時期
- 切り替え先は Microsoft 365 か Google Workspace。Business Standard で1ユーザー月額1,600円（GWS）〜3,523円（M365・Copilot 同梱）、10人なら年間約19〜42万円（2026年9月時点・税別）。メールとセキュリティだけなら下位プランでも弱点は解消できる
- 移行はWebサイトを残したままメールだけ移せる。過去メールの回収と旧設定の削除に時間を取る
メールだけでなく、端末・アカウント・バックアップも含めて「今の環境で何が足りないか」をまとめて確認したい場合は、IT環境診断で読み取り専用の調査と、優先順位付きの移行・是正ロードマップをお渡ししています。メール移行そのものの実施は、運用支援の中で対応しています。