【Gmail】Gmailで送信済みにないのに自分名義のメールが届いた時の確認

職場のGmailで、送信済みフォルダに記録がないのに、自分のメールアドレスを使って送信されたかのようなメールが相手から届いたり、自分宛に届いたりする現象に遭遇したことはありませんか。このようなケースは、単なる誤送信から深刻なセキュリティ問題まで原因が多岐にわたるため、まずは落ち着いて原因を切り分けることが重要です。本記事では、確認すべきポイントと、それぞれの状況に応じた適切な対処法を体系的に説明します。

まず確認すべきこと:送信済みフォルダと受信トレイの状態

問題のメールが本当に自分のアカウントから送信されたのかどうか、最初に確認するのが「送信済みフォルダ」です。Gmailの送信済みフォルダに該当メールが存在すれば、何らかの方法であなたのアカウントから送信されたことになります。ただし、送信済みフォルダにない場合でも、以下の理由で痕跡が残らないケースがあります。

• 別のメールクライアントやIMAP経由での送信: スマートフォンのメールアプリやOutlookなど、Gmail以外のクライアントで送信した場合、送信済みフォルダにコピーが保存されない設定になっていることがあります。
• 自動転送ルールやフィルタによる削除: 送信済みフォルダに保存する前にフィルタで削除するルールが設定されていると、送信済みフォルダには残りません。
• スクリプトや拡張機能による送信: ブラウザの拡張機能やGoogle Apps Scriptが自動送信した場合も、送信済みフォルダに残らないことがあります。

また、受信トレイに奇妙なメールが届いている場合も確認します。例えば、自分自身に届いたメールで「送信者」が自分のアドレスになっているものは、なりすまし(スプーフィング)の可能性が高いです。次に、迷惑メールフォルダも見てください。スパム判定された関連メールがそこに移動していることがあります。

原因別の切り分けと確認手順

ここでは代表的な4つの原因について、特徴と確認手順を説明します。

原因	特徴	対処法
アカウント乗っ取り	送信済みフォルダにメールがある、またはログイン履歴に身に覚えのないアクセスがある。パスワードが変更されていることも。	すぐにパスワード変更、2段階認証設定、セキュリティチェック実施
なりすまし(スプーフィング)	送信済みフォルダに該当メールがなく、受信者側のヘッダーにSPF/DKIM/DMARC認証失敗の兆候がある。	管理者に報告、ドメインのSPF/DKIM/DMARC設定強化
自動転送やフィルタの誤設定	転送設定やフィルタが意図せず有効になっており、メールが自動的に転送・削除されている。	Gmail設定で転送とPOP/IMAP、フィルタを確認し無効化
共有アカウント・誤送信	他のユーザーがあなたの名義で送信できる権限を持っている、または過去の自分が送信したメールを忘れている。	アカウントの共有状況を確認、送信エイリアスの利用有無を調査

アカウント乗っ取りの可能性と確認手順

アカウントが乗っ取られると、第三者があなたのGmailにログインしてメールを送信するため、送信済みフォルダにその記録が残ります。必ず送信済みフォルダを確認してください。もし身に覚えのないメールがあれば、以下の手順で対処します。

1. Gmailにログインした状態で、画面右上のプロフィールアイコンをクリックし、「Googleアカウントの管理」を開きます。
2. 左メニューの「セキュリティ」タブをクリックし、「セキュリティチェック」を実行します。ここで推奨されるアクション(パスワード変更、リカバリ情報確認、2段階認証設定)を順に行います。
3. 「最近のセキュリティイベント」で、身に覚えのないログインがないか確認します。見知らぬ端末や場所からのアクセスがあった場合は乗っ取りの疑いが強いです。
4. 「アカウントのアクセス権」を開き、サードパーティアプリやデバイスに不要な権限が付与されていないか確認します。心当たりのないアプリがあればアクセスを削除します。
5. パスワードを強固なものに変更し、必ず2段階認証を設定します。会社のポリシーで禁止されていない限り、認証アプリ(Google Authenticatorなど)を使うことをおすすめします。

パスワード変更後は、古いセッションが無効になるため、攻撃者はアクセスできなくなります。ただし、転送設定がすでに仕込まれている可能性もあるので、次の手順で転送設定も忘れずに確認します。

なりすまし(スプーフィング)の見分け方

スプーフィングは、攻撃者が送信元アドレスを偽装してメールを送る手法です。この場合、あなたのアカウントは一切操作されていないため、送信済みフォルダには何もありません。見分けるポイントは以下の通りです。

• メールヘッダーの確認: Gmailで該当メールを開き、右上の三点リーダーから「オリジナルを表示」を選びます。表示されたヘッダーに「spf=softfail」や「dkim=fail」など認証失敗の記述があればスプーフィングです。
• 送信元のドメイン: ヘッダーの「Return-Path」や「Received-SPF」のドメインがあなたの実際のドメインと異なる場合も偽装です。
• 自分にも届く場合: スプーフィングメールが自分宛に届くこともありますが、これは攻撃者が送信リストにあなたのアドレスを含めたか、BCCで送った可能性があります。いずれにせよ、あなたのアカウントは無関係です。

スプーフィング被害を防ぐには、勤務先のドメイン管理者がSPF/DKIM/DMARCのDNS設定を適切に行う必要があります。あなた個人でできることは限られていますが、管理者に報告して設定を依頼してください。

自動転送やフィルタの誤設定

Gmailの設定で、受信メールを自動的に別のアドレスに転送したり、フィルタでメールを削除・ラベル付けするルールが意図せず有効になっていると、送信済みフォルダにないメールが発生することがあります。特に、転送設定が攻撃者によって追加されているケースは乗っ取りの一環です。以下の手順で確認します。

1. Gmailの画面右上の歯車アイコンから「すべての設定を表示」を開きます。
2. 「転送とPOP/IMAP」タブで、転送先のアドレスに心当たりのないものがないか確認します。あれば「転送を無効にする」を選択し、設定を削除します。
3. 「フィルタとブロック中のアドレス」タブで、すべてのフィルタを確認します。送信済みフォルダから削除するようなルールや、不自然な転送ルールがないかチェックします。
4. 不要なフィルタはチェックを入れて「削除」します。影響範囲が不明な場合は「編集」で内容を確認してから削除してください。

特に、転送設定は乗っ取り後に攻撃者がよく追加するため、パスワード変更後も忘れずに確認してください。会社の管理者も、Google Workspaceの管理コンソールから全ユーザーの転送設定を監査できます。

誤送信や共有アカウントの利用

最後に、単純な誤送信や共有アカウントの利用です。例えば、チームで共有しているメールアドレス(info@など)から送信した場合、そのメールは共有アカウントの送信済みフォルダに残ります。また、あなたが過去に送信したメールを忘れているだけという可能性もあります。特に、送信済みフォルダを大量に抱えていると見落としがちです。Gmailの検索で特定のキーワードや日付を指定して検索してみてください。もし「送信済み」に該当メールがあれば、単なる記憶違いです。

共有アカウントの場合は、そのアカウントのログイン履歴を確認し、誰がいつ送信したのか特定します。会社のポリシーに従って管理してください。

失敗パターンと注意点

よくある失敗として、まず最初にパスワードを変更してしまうことが挙げられます。パスワード変更により現在のログインセッションが無効になるため、乗っ取りの痕跡(ログイン履歴や設定変更)を確認できなくなる恐れがあります。必ず先にセキュリティイベントや転送設定を確認してから変更してください。また、スプーフィングと乗っ取りを混同しないでください。スプーフィングでは自分のアカウントは安全なので、パスワード変更は不要です。むしろ管理者に報告してドメイン全体の対策を促すことが重要です。

管理者への報告と再発防止策

もし原因がアカウント乗っ取りやスプーフィングである場合、速やかに会社のIT管理者へ報告してください。管理者に伝えるべき情報は以下のとおりです。

• 問題が発生した日時と、該当メールの件名・送信先・ヘッダー情報(特にSPF/DKIM/DMARCの結果)
• あなたが実施した確認内容(送信済みフォルダの状況、セキュリティチェック結果、転送設定の有無)
• アカウント乗っ取りが疑われる場合は、ログイン履歴のスクリーンショットや、怪しいサードパーティアプリの情報

管理者側では、Google Workspaceの管理コンソールから、該当ユーザーの監査ログ(メール送信ログ、ログイン履歴、設定変更履歴)を確認できます。また、ドメイン全体のSPF/DKIM/DMARC設定を見直すことで、スプーフィングを防止できます。さらに、2段階認証の強制やパスワードポリシーの強化も再発防止に効果的です。

よくある質問(Q&A)

Q1. 送信済みフォルダにメールがないのに、相手から「あなたからメールが来た」と言われた。なぜ?
A. スプーフィングの可能性が高いです。相手方のメールヘッダーを確認してもらい、SPF/DKIM/DMARCの認証結果を調べてください。あなたのアカウントは安全です。

Q2. 自分宛に自分名義のメールが届いた。これは何?
A. スプーフィングか、自分で送信したのを忘れているかのどちらかです。送信済みフォルダを検索して該当メールがあるか確認してください。なければスプーフィングの可能性が高いです。

Q3. パスワードを変更しても、また同じ現象が起きた。なぜ?
A. 転送設定が残っているか、別の端末にログイン情報が残っていた可能性があります。再度セキュリティチェックを行い、すべての端末からサインアウト(Googleアカウントの管理>「すべての端末からサインアウト」)してください。それでも改善しない場合は、管理者に相談してアカウントの復旧を依頼します。

Q4. 会社のG Suite(Google Workspace)アカウントです。自分でできることは限られていますか?
A. 基本的なセキュリティチェックやパスワード変更は可能ですが、転送設定の無効化やフィルタ削除は自分で行えます。ただし、管理者がドメイン全体の設定をロックしている場合もあるので、不明な設定は変更せずに管理者に問い合わせてください。

まとめ

Gmailで送信済みフォルダにないのに自分名義のメールが届いた場合は、まず送信済みフォルダの有無を確認し、次にアカウントのセキュリティ設定と転送・フィルタ設定を調べてください。原因がアカウント乗っ取りなら迅速なパスワード変更と2段階認証設定が有効です。スプーフィングであれば自分のアカウントは無害で、管理者によるドメイン設定の強化が必要です。慌てずに原因を特定し、適切な対策を取ることで被害を最小限に抑えられます。もし判断に迷う場合は、早めに会社のIT管理者に相談することをおすすめします。

✉️

Gmail・Googleアカウントトラブル完全解決データベース 送受信エラー/迷惑メール対策/容量整理/ラベル・自動振り分け/アカウント復旧/2段階認証/スマホ同期/転送・複数アカウントのトラブルを即解消。GmailとGoogleアカウントの実務リファレンスとしてご活用ください。