2026年1月、GoogleはGmailでのPOP3およびGmailifyのサポートを終了する。この変更は、企業のセキュリティと信頼性に深刻なリスクをもたらす可能性がある。IT部門が注意すべきポイントは。
2026年1月、Web版Gmailで他のアカウントのメールを受信する「Gmailify」と「POP3」のサポートが終了する。これにより、他メールプロバイダーのメールをGmailに集約していたアカウントはメールを受信できなくなる恐れがある。この機能が廃止されると、これまで個人のGmailで業務用のメールを読んでいた従業員は、突然その手段を失うことになる。では従業員が次に考える可能性がある選択肢は何か。「受信できないなら、会社のアドレスから転送すればいい」という発想だ。同仕様変更への対策に関する情報は容易に入手することができる。
一方、この変更は企業の情報システム部門にとって、看過できないセキュリティリスクの引き金となる可能性を秘めている。本稿は、Gmailの仕様変更が招くリスクの構造と、IT部門が講じるべき具体的なリスクの封じ込め策を解説する。
Googleが2026年1月に廃止するのは、Webブラウザ版Gmailの設定にある「他のアカウントのメールを確認」という機能だ。これは、Gmail側から外部のメールサーバ（POP3）にアクセスし、メールを取り込む機能だ。この機能を利用して、個人のGmailフォルダに社用のメールを受信し、1つの受信トレイで統合管理するという“隠れBYOD”の形で個人Gmailで社用メールを閲覧していたという事例がある。
従業員が個人のGmailへの自動転送を設定した場合、起こり得ることは何か。SPF（Sender Policy Framework）、DKIM（DomainKeys Identified Mail）、DMARC（Domain-based Message Authentication, Reporting and Conformance）の判定プロセスにおける「認証失敗」の多発だ。
SPFは、メールの送信元IPアドレスが、そのドメインの所有者によって許可されているかを確認する仕組みである。通常であれば、正規のメールサーバから送信されたメールはSPF認証に成功する。しかし、転送が入ると状況は一変する。以下は一例だ。
このように、転送という行為そのものが、送信元ドメインの正当性を証明するSPFの仕組みと矛盾してしまうのだ。
「SPFがダメでも、DKIMがあれば問題ないのではないか」と考えることもできる。DKIMは非対称暗号化を使用してメールのなりすましを防ぐ標準規格だが、転送プロセスにおいて無力化されることがある。
一部のメールサーバや転送設定は、転送時に件名に「[Fwd:]」を付加したり、本文末尾にウイルスチェック済みのフッターを挿入したりする。メールのエンコーディング形式を変換することもある。メールの内容が1ビットでも変更されれば、DKIMのハッシュ値は一致しなくなり、DKIM認証が失敗する。
SPFもDKIMも失敗したメールを、受信側であるGmailはどう扱うか。それを決定するのが、メールの認証に、DKIMとSPFを使用するDMARCのDMARCポリシーだ。取引先（example.com）が高いセキュリティ意識を持ち、DMARCポリシーを「p=reject（拒否）」に設定していた場合、転送されたメールはGmailの受信トレイに届かない。
従業員にとっては「取引先からのメールが届かない」事態となる。そこで、IT部門に相談する。しかし、その原因を作ったのは従業員自身の設定だ。この事態は、不便さの問題ではなく、ビジネス機会の損失につながるインシデントとなり得る。
リスクは「メールが届かない」だけでは済まなくなる恐れもある。自社ドメインの信用が低下する可能性がある。
自動転送設定の大半は、フィルタリングをせず届いたメール全てが転送される。スパムメールやフィッシングメールも転送されてしまう。Gmail側から見ると、あなたの会社のサーバから、スパムメールが大量に転送されてくることになる。Googleのアルゴリズムは、「あなたの会社のドメインがスパムを配信している」と判断するリスクがある。
一度、ドメインやIPアドレスのレピュテーションが低下すると、回復は容易ではない。転送とは無関係な、他の従業員が送った正規の業務メールが、Gmailや他のプロバイダーで「迷惑メール」フォルダに振り分けられる場合もある。1人の従業員の「便利に使いたい」という思いで進めた設定が、全社のメールインフラを異常な状態に向かわせる恐れがあるのだ。
リスクが顕在化する前に、Google Workspaceの管理者として管理コンソールで実行可能な3つの具体的なアクションを提示する。
転送設定をする可能性が高い従業員を特定する。これにはGoogle Workspace管理コンソールの「ユーザーレポート」機能が有効だ。
ここに日付が入っているユーザーは、Web版Gmail以外のメーラーやPOPフェッチ機能でメールにアクセスしている。特に「IMAP」ではなく「POP」のみを利用しているユーザーは、仕様変更の影響を受ける可能性が高い。
Google Workspaceには、ユーザーによる自動転送設定そのものを禁止する機能がある。
この設定を適用すると、ユーザーのGmail設定画面から「転送とPOP/IMAP」タブ内の転送オプション自体が表示されなくなる。さらに、ユーザーが過去に設定した既存の転送設定も無効化される。
設定を無効化するだけでなく、業務効率を落とさないための代替案を提示する。2026年以降もGoogleが公式にサポートする手段は以下の通りだ。
Copyright © ITmedia, Inc. All Rights Reserved.
なぜクラウド全盛の今「メインフレーム」が再び脚光を浴びるのか
メインフレームを支える人材の高齢化が進み、企業の基幹IT運用に大きなリスクが迫っている。一方で、メインフレームは再評価の時を迎えている。
「サイト内検索」＆「ライブチャット」売れ筋TOP5（2025年5月）
今週は、サイト内検索ツールとライブチャットの国内売れ筋TOP5をそれぞれ紹介します。
「ECプラットフォーム」売れ筋TOP10（2025年5月）
今週は、ECプラットフォーム製品（ECサイト構築ツール）の国内売れ筋TOP10を紹介します。
「パーソナライゼーション」＆「A／Bテスト」ツール売れ筋TOP5（2025年5月）
今週は、パーソナライゼーション製品と「A／Bテスト」ツールの国内売れ筋各TOP5を紹介し...
ITmediaはアイティメディア株式会社の登録商標です。
