迷惑メールが急に増えた原因は？大量に届くときの対処法

迷惑メールが急に増えたとき、よくある原因は次のいずれかです。誰かがアドレスを数百ものリストに一度に登録した（メール爆弾）、情報漏洩でアドレスが流出した、または会員登録のあとで売られた、迷惑メール業者がそのアドレスを送信者として偽装している。それほど多くはありませんが、アカウントが乗っ取られた、フィルターやアプリの変更で通り抜けるメールが増えた、お持ちのドメインで誰かが名前を推測している、という場合もあります。どれに当たるかは、届いているメールの種類でわかります。まず、不正利用がないかを確認してください。メール爆弾は、見逃させたい買い物やパスワードの再設定を隠すために使われることがよくあります。次に備えるなら、CatchNoneを使えば、iPhone、iPad、Macで、ショップ、メルマガ、アカウントごとに専用のアドレスを使えます。迷惑メールが急増しても1つのエイリアスに届くので、どこから来たのかがわかります。

緊急度の高いものから順に、次の順番で原因を確かめていきます。

1. メール爆弾：登録の確認メールが1時間に数十通から数百通届く。
2. アカウントの乗っ取り：書いた覚えのないメールが自分のアカウントから送信されている、または変えた覚えのない設定がある。
3. 情報漏洩や迷惑メール用のリスト：聞いたこともない送信者からの迷惑メールが、じわじわと増え続けている。
4. 登録後のアドレスの売却や共有：取引したことのない会社から広告メールが届く。
5. なりすまし（スプーフィング）：自分のアドレス「から」迷惑メールやバウンスメールが届く。
6. フィルターやアプリの変更：同じメールが、これまでと違う振り分け方をされている。
7. キャッチオール設定のドメインへの辞書攻撃：お持ちのドメインで、でたらめな名前宛てにメールが届く。

まず、迷惑メールの陰に詐欺がないか確認する

メール爆弾は、1つのアドレスに大量のメールを送りつける攻撃です。よくある手口は「サブスクリプション爆撃」と呼ばれ、実在する会社から本物の確認メールを送らせるものです。誰かが、多くのサイトの登録フォームにそのアドレスを入力します。セキュリティ研究者は、1時間に1,500通を超えるメールが集中して届く例を紹介しています。Yahooは攻撃の目的を挙げており、その中には「金融取引の確認メールを隠すため」も含まれています。

受信ボックスが「登録を確認してください」や「ようこそ」といったメールで埋まっているなら、まず10分かけて次のことを確認してください。

1. 銀行やカードのアプリを、メール内のリンクからではなく直接開き、身に覚えのない支払いがないか確認します。見つかった場合は、米国のFTC（連邦取引委員会）の案内どおり、「カードの裏面にある番号」かそのアプリを使って、すぐにカード会社か銀行に報告してください。

2. カード情報を保存しているショップにサインインし、最近の注文を確認します。

3. 大量のメールに埋もれているかもしれないものを、「迷惑メール」と「ゴミ箱」も含めてメールボックス全体から探します。パスワードの再設定、サインインの通知、再設定用の連絡先が変更されたという通知、注文や支払いの確認メールです。Gmailでは、次の検索で過去1週間分を探せます。大量のメールが始まった時期までさかのぼるには、7dを変更してください。

   in:anywhere newer_than:7d {subject:password subject:security subject:"sign in" subject:login subject:recovery subject:order subject:receipt subject:payment}

   Outlook.com、iCloudメール、Yahooでは、これらの単語を1つずつ検索してください。

4. 身に覚えのないものが見つかったら、そのアカウントのパスワードを公式サイトかアプリで変更し、そのうえで下の乗っ取りの確認を進めてください。

攻撃者にはもう一手あると考えておいてください。米国のCISAとMicrosoftが報告した攻撃では、大量のメールに続いて、IT部門のサポート担当を装った人物から電話やMicrosoft Teamsのメッセージが届きました。迷惑メールを解決すると持ちかけ、Quick AssistやAnyDeskなどのリモートアクセスツールをインストールさせようとします。Microsoftによると、「依頼されていないのに、サポートを申し出る電話をこちらからかけることはありません」。電話は切り、メッセージは無視してください。仕事用のアカウントなら、普段使っている連絡手段でIT部門に問い合わせてください。

迷惑メールが急に増えた原因は？届き方から見分ける

迷惑メールが急に来るようになったときは、メールそのものに手がかりが残っています。今の状況に当てはまる行を探してください。

メール爆弾で迷惑メールが大量に届くときの対処法

メール爆弾のメールは本物の登録フォームから送られてくるため、発信元で止めることはできません。それでも、大事な1通を見失わずに、大量のメールを脇によけておくことはできます。

1. 大量のメールの中の「Confirm」や「Verify」（確認）のリンクはクリックしない。 ダブルオプトイン方式のリストでは、クリックするまで登録されません。たとえばMailchimpは、相手が「リンクをクリックしてメールアドレスを確認」して初めて連絡先に追加します。ただし、すべてのリストが確認を求めるわけではないため、送り続けてくるリストもあります。
2. まとめて削除しない。送信者を1件ずつブロックもしない。 まとめて削除すると、大事なセキュリティ関連のメールまで一緒に消えることがあります。また、アドレスを変えてくる送信者は、ブロックをすり抜けます。
3. 一時的なフィルターを1つ作る。 確認メールをフォルダやラベルに移動し、パスワード、セキュリティ、注文、支払いに関するものは対象外にして、削除は決して選ばない設定にします。フィルターは、メールサービスのウェブサイトで作成してください。新しいOutlook for Windowsでは、Gmail、Yahoo、iCloudのアカウントにはルールが実行されません。
4. そのフォルダを1日1回確認する。 銀行と注文の確認も、数日間は繰り返してください。
5. 大量のメールが止まったらフィルターを削除する。 そのあと、送り続けてくるリストを配信停止します。各送信者のリンクを使うか、Gmailでは「More」（その他）＞「Manage subscriptions」（登録の管理）を使います（2026年9月時点で段階的に展開中）。これらは実在する会社のリストなので、配信停止はたいてい効きます。本物の迷惑メールは事情が違います。登録解除リンクが悪意のあるものである場合を参照してください。

セキュリティ関連のメールを見逃さないフィルター

Gmailでは、次の条件で、よくある確認メールの件名に一致させつつ、セキュリティや注文のメールを除外できます。実際に届いているメールに合わせて、単語を変えてください。

{subject:confirm subject:subscription subject:welcome subject:newsletter subject:verify} -subject:password -subject:security -subject:"sign in" -subject:login -subject:code -subject:order -subject:receipt -subject:payment

1. パソコンで、Gmail上部の検索ボックスに貼り付けてEnterキーを押します。結果が大量のメールだけで、必要なメールが含まれていないことを確認します。
2. 「Show search options」（検索オプションを表示）をクリックして条件を確認し、検索ウィンドウの下部にある「Create filter」（フィルタを作成）をクリックします。
3. 受信トレイをスキップして、Floodなどの新しいラベルを付ける処理を選びます。削除は選ばないでください。
4. 「Create filter」（フィルタを作成）をクリックします。詳しい手順はGmailのフィルターのヘルプにあります。

ほかのメールサービスでは、次のとおりです（2026年9月時点）。

メールアカウントが乗っ取られていないか確認する方法

迷惑メールが増えたというだけでは、メールアカウントが乗っ取られたことにはなりません。ただし、大量のメールが乗っ取りの試みを隠していることはあります。よりはっきりしたサインは、送った覚えのないメールが送信されていること（その結果、バウンスメールや返信が届きます）と、変えた覚えのない設定です。FTC、Google、Appleは、次のようなサインを挙げています。送った覚えのないメールが友人に届いている、書いた覚えのないメッセージが「送信済み」フォルダにある、自分ではないサインインやパスワード変更の通知や、頼んでいない二段階認証のコードが届く、サインインできない。

サインインできない場合は、代わりにメールサービスの復旧手順から始めてください（Google、Microsoft、Apple）。サインインできる場合は、信頼できるデバイスから、次の順に進めます。

1. パスワードを変更する。 GoogleとAppleでは、パスワードを変更するとアプリパスワードが無効になります。Microsoftのヘルプには無効になるかどうかが書かれていないため、手動で削除してください。
2. 設定した覚えのない転送、フィルター、委任先、アプリパスワードを削除する。 転送ルールは、パスワードを変更したあとも残ることがあります。
3. 最近のサインインとデバイスを確認する。 見覚えのないものはサインアウトさせます。
4. 再設定用のメールアドレスと電話番号を確認する。 そのうえで、二段階認証をオンにします。
5. 「送信済み」と「ゴミ箱」に目を通す。 侵入者が送ったり読んだりしたメールを探し、「自分」から何かを受け取った人に知らせます。

各メールサービスのヘルプページ（2026年9月時点）に基づく確認場所は、次のとおりです。

GmailとGoogleアカウント

• セキュリティイベント：Googleアカウント＞「Security & sign-in」（セキュリティとログイン）＞「Recent security events」（最近のセキュリティ イベント）パネル＞「Review security events」（セキュリティ イベントを確認）。見覚えのないイベントには「No, it wasn’t me」（いいえ、心当たりはありません）を選びます。
• デバイス：Googleアカウント＞「Your devices」（お使いのデバイス）＞「Manage devices」（デバイスを管理）。
• Gmailへの最近のアクセス：パソコンでGmailの右下にある「Details」（詳細）をクリックすると、直近10件のIPアドレスとアクセスの種類（IMAPなど）が表示されます。スマートフォンでGmailを使っている場合、一覧には携帯電話会社の所在地が表示されることがあり、実際にいる場所から遠く離れている場合もあります。
• Gmailの設定：「設定」＞「すべての設定を表示」を開き、「Forwarding and POP/IMAP」（メール転送とPOP/IMAP）タブ、「Filters and Blocked Addresses」（フィルタとブロック中のアドレス）タブ、「アカウントとインポート」タブの「Grant access to your account」（アカウントへのアクセスを許可）セクションを確認します。
• アプリ：「アプリ パスワード」とアカウントにアクセスできるアプリから、見覚えのないものを削除します。

Outlook.com、Hotmail、Microsoftアカウント

• サインイン：「Recent activity」（最近のアクティビティ）ページには過去30日間が表示されますが、すべてのサインインが載るわけではありません。「Unusual activity」（通常とは異なるアクティビティ）セクションが表示されたら、各項目を確認し、自分でないものには「This wasn’t me」（自分ではない）を選びます。「Recent activity」の一覧に不審なものがあれば、「Secure your account」（アカウントを保護する）を選びます。
• 転送とルール：Outlook.comで「Settings」（設定）＞「Mail」（メール）＞「Forwarding」（転送）を開き、「Enable forwarding」（転送を有効にする）のチェックを外して「Save」（保存）を選びます。「Settings」＞「Mail」＞「Rules」（ルール）も確認します。
• アプリパスワードとセッション：Microsoftアカウントのダッシュボードの「Advanced security options」（高度なセキュリティ オプション）で「App passwords」（アプリ パスワード）セクションを確認し、「Sign out everywhere」（すべての場所でサインアウト）を使います。Microsoftによると、これには最大24時間かかります。
• その他の設定：Microsoftの復旧手順では、「接続済みのアカウント、転送、自動応答」も確認するよう案内しています。

iCloudメールとApple Account

• デバイス：account.apple.comで「Devices」（デバイス）を選び、見覚えのないものを削除します。
• アプリ用パスワード：account.apple.com＞「サインインとセキュリティ」＞「アプリ用パスワード」＞「Remove」（削除）、または「Revoke all」（すべて取り消す）。パスワードを変更すると、いずれにしてもすべて無効になります。
• 転送とルール：icloud.comのメールで、「Mailboxes」（メールボックス）リスト上部の「Settings」（設定）ボタン＞「Settings」（設定）を選び、サイドバーの「Mail Forwarding」（メール転送）と「Rules」（ルール）を確認します。
• サインイン履歴：Appleは、Gmailのようなログについて説明していません。手がかりになるのは、サインインの通知、頼んでいない2ファクタ認証のコード、「Devices」（デバイス）の一覧です。

新しい情報漏洩でメールアドレスが流出していないか

Have I Been Pwned（HIBP）で、自分のアドレスを検索してください。セキュリティ研究者のTroy Hunt氏が運営する無料のサービスです。2026年9月25日時点で、トップページには、漏洩したウェブサイトが1,038件、漏洩したアドレスが170億件以上と表示されています（複数の漏洩に含まれるアドレスは、漏洩ごとに1回ずつ数えられます）。

• 情報漏洩（breach）の結果には、アドレスを流出させたサービスと、その時期が表示されます。最近のものなら、迷惑メールやフィッシングが増えた理由の説明になります。
• スパムリスト（spam list）の結果は、標的型の迷惑メールに使われるデータの中にアドレスが見つかったことを意味し、迷惑メールの直接の原因になります。
• 結果がなくても、それだけでは大したことは言えません。「多くの情報漏洩では、データが公開されることはありません」。
• 使っているアドレスは、プラスアドレス（「+」を使うアドレス）も含めて、すべて個別に検索します。 HIBPの無料の「Notify Me」（通知を受け取る）アラートもオンにしておきましょう。

情報漏洩は、パスワードの1つを引用して支払いを要求するメールとして表れることもあります。FTCのアドバイスは、「手を止めてください。何も支払わないでください。メッセージは削除してください。詐欺です」というものです。そのパスワードをまだ使っているなら、使っている場所すべてで変更してください。アドレスが漏れるほかの経路については、迷惑メール業者がメールアドレスを手に入れる方法を参照してください。

会員登録のあとでアドレスが売られた、または共有された

新しく届くメールが、利用したことのない会社からの普通の広告メールで、どこかに登録した直後から届き始めたなら、アドレスはおそらく他社に渡っています。FTCによると、会社にメールアドレスを伝えると、その会社は「第三者と共有したり、第三者に販売したりすることがあります」。Microsoftは、その入り口の1つとして、あらかじめチェックが入っていて、ショップがほかの企業にアドレスを渡すことを許可する購入手続き時のチェックボックスを挙げています。

1. 実在する会社のメールは配信停止する。 各送信者のリンクを使うか、Gmailでは「More」（その他）＞「Manage subscriptions」（登録の管理）を使います。米国のCAN-SPAM法では、送信者は配信停止の申し出に「10営業日以内に」応じなければならず、その後はアドレスを「販売したり譲渡したりすることはできません」。
2. 登録したサイトで共有をオフにする。 その会社のアカウントで、広告メールや提携企業との共有に関する設定を探し、オフにします。
3. 出どころを突き止める。 どの登録から漏れたかを調べるには、メールアドレスを売った相手を突き止める方法を参照してください。次からは、CatchNoneのように、登録ごとに専用のメールエイリアスを使えば、次に売られたときに出どころがわかります。

自分のアドレスから迷惑メールが届くのはなぜ？

自分のアドレスが送信者として表示されているメールは、アカウントから送られたのではなく、偽装されたものであることがよくあります。SPFの規格の言葉を借りれば、「既存のプロトコルは、送信ホストがメッセージの『MAIL FROM』として何を使えるかについて、何の制限も設けていない」のです。偽装を見抜くために、次の3つの仕組みがあります。

• SPF（RFC 7208）は、そのドメインのメールを送信してよいサーバーを列挙します。
• DKIM（RFC 6376）は、各メッセージに暗号署名を付けます。受信側のサーバーは、送信側のドメインがDNSで公開している公開鍵と照らし合わせて、それを検証します。
• DMARC（RFC 9989。2026年5月にRFC 7489に代わりました）は、これらのチェックに失敗したメールをどう扱ってほしいかを、受信側のサーバーに伝えます。指定なしで受信側の判断に任せる（none）、疑わしいものとして扱う（quarantine）、拒否する（reject）のいずれかです。

なりすましと乗っ取りを見分けるには、次のようにします。

1. 「送信済み」フォルダを開く。 偽装されたメールはアカウントを経由しないため、そこにはありません。ただし、侵入者は送信済みのメールを削除できるので、サインインのアクティビティも確認してください。
2. メッセージの認証結果を確認する。 Gmailでは、送信者名の横に疑問符が表示されている場合、そのメッセージは「認証されていません」。送信者名の下にある下向き矢印をクリックすると、「Mailed by」（送信元）と「Signed by」（署名元）が表示されます。Outlookでは、普段は表示されない相手の送信者画像に「?」が表示されている場合、「送信者がなりすまされている可能性があります」。Gmailで詳しい結果を見るには、「Reply」（返信）の横にある「More」（その他）＞「メッセージのソースを表示」をクリックします（Google）。ほかのアプリでは、Authentication-Resultsヘッダーを探します。
3. 結果を読む。 自分のアドレスが表示されたメールでspf=fail、spf=softfail、dmarc=failとなっていれば、たいていは偽装です。フィルターで振り分けて、先に進みましょう。偽装されたアドレスがお持ちのドメインのものなら、SPFレコード、DKIM署名、そしてquarantineかrejectのDMARCポリシーを公開すると、受信側のサーバーは偽物を迷惑メールに振り分けるか、そもそも受け付けなくなります。メールサービス自身のドメインで署名されたDKIMのpass（たとえば「Signed by」がgmail.com）は、実際にアカウントを経由して送られた可能性を示すため、乗っ取りの確認を進めてください。

送った覚えのないメールについて「Undeliverable」（配信不能）のメッセージが大量に届くのは、同じ偽装を反対側から見たものです。Microsoftはこれをバックスキャッターと呼んでいます。迷惑メール業者が実在するアドレスを送信者としてメールに記載し、配信できなかったサーバーが、そのアドレスにバウンスメールを返すのです。アカウントが使われたという意味ではありません。「送信済み」を確認したら、バウンスメールが止まるまでフィルターで振り分けてください。

変わったのは迷惑メールではなく、フィルターやメールアプリ

届いているメールは同じで、振り分け方だけが変わった、ということもあります。

• Gmailifyが終了する。 Gmailify経由でリンクしたYahoo、Outlookなどのアカウントについて、Gmailは2027年1月に迷惑メールの判定をやめます。IMAPでGmailアプリに移したアカウントでは、それより早くやめます。それ以降は、そのメールをGmailに転送しない限り、表示されるメールはそのメールサービス自身の迷惑メールフィルターで決まります。
• iPhoneの「メール」のカテゴリ。 iOS 18.2以降、「メール」はメールを「Primary」（メイン）、「Transactions」（取引）、「Updates」（新着情報）、「Promotions」（プロモーション）に分類できます（すべての国や地域で使えるわけではありません）。受信ボックスが「List View」（リスト表示）に切り替わっている場合（受信ボックス上部の「More」（その他）ボタン＞「List View」）、以前は「Promotions」や「Updates」に入っていたメールが、受信ボックスの一覧にそのまま表示されます（Apple）。
• 「迷惑メール」フォルダを素通りするメールがある。 迷惑メールに振り分けないよう設定されたフィルターや、連絡先から届いたように見える迷惑メールは、受信ボックスに入ることがあります。iCloudでは、「iCloudの連絡先に登録している人や、最近やり取りした相手からのメールは、迷惑メールフォルダに入りません」（Apple）。フィルターを確認し、迷惑メールは削除せずに迷惑メールとしてマークしてください。
• 新しいOutlook for Windows。 従来のOutlookで頼っていたルールが、Gmail、Yahoo、iCloudのメールを振り分けなくなっている可能性があります。上のフィルターの手順のとおり、各メールサービス側で設定し直してください。

自分のドメインの架空の名前宛てにメールが届く

メールのキャッチオール設定では、スペルミスのあるものも含めて、ドメイン内のどんなアドレス宛てのメールも受け付けます。迷惑メール業者はinfo@、admin@、sales@のようなよくある名前を推測し、キャッチオール設定のドメインはそのどれも拒否しません。

狙われている名前宛てのメールを破棄するか、キャッチオール設定をオフにして、使うアドレスだけを作成してください。サイトごとのアドレスをキャッチオール設定に頼っている場合、オフにすると、メールサービスで事前に1つずつアドレスを作る必要があります。多くのメールサービスでは、推測されたアドレス1つに対してルールを追加できます。メールを黙って破棄するルールでは、推測した側にバウンスメールが返らないため、アドレスが有効に見えることがあり、送信が続く可能性があります。バウンスさせるルールなら、そのアドレスが存在しないことが相手に伝わり、ドメインのほかのアドレスは引き続きメールを受け取れます。メールサービスごとに1つのアドレスをブロックする手順は、キャッチオールで特定のアドレスだけを止める方法にまとめています。

迷惑メールの急増はいつまで続くか

最近、迷惑メールが大量に届いているなら、それが止まるかどうかは原因によって決まります。

• メール爆弾は、Yahooによると、たいてい1週間ほどで終わります。ただし、確認を求めずに登録したリストは、配信停止するまで送り続けてきます。
• 配信停止は、米国のCAN-SPAM法のもとでは、反映まで最大10営業日かかることがあります。
• 情報漏洩や名簿の売買による迷惑メールは、徐々に減っていきますが、完全に止まることはまれです。時間をかけて減らす方法を参照してください。
• なりすましとバックスキャッターは、その送信キャンペーンが終われば止まります。
• 乗っ取られたアカウントは、侵入者を締め出せば送信が止まります。

フィッシングは、メールサービス以外にも報告しましょう。米国ではreportphishing@apwg.orgに転送し、ReportFraud.ftc.govで報告します。英国では、NCSCのreport@phishing.gov.ukに転送します。

CatchNoneで次の急増の出どころをたどる

CatchNoneを使えば、次に迷惑メールが急増したとき、その出どころを簡単にたどれます。ショップ、メルマガ、アカウントごとに専用のエイリアスがあれば、増えたメールは1つのエイリアスに届いてその出どころを示し、各メッセージには届いたエイリアスがバッジで表示されます。「アクティビティ」はエイリアスごとのメールをグラフにし、単純なルールで「いつもより多いメール」という注記を付けます。エイリアス宛てのメールは専用のアプリで読み、メッセージは、リモート画像（大半のトラッキングピクセルを含む）を読み込むまで表示しない状態で開きます。

エイリアスに届くメールが増えたら、そのエイリアスを「オフにする」だけです。@catchnone.comのアドレス（Premium）なら、送信者にはバウンスメールが返り、ほかのエイリアスは引き続き使えます。お持ちのドメインでは、エイリアスを「未使用にする」のは整理用のラベルにすぎないため、利用中のメールサービスでルールを作ってアドレスをブロックしてください。@catchnone.com宛ての大量のメールは、1日あたりの制限（英語）にも数えられます。制限は、UTCの1日あたり受信500通、1つのアドレスあたり最大250通で、上限を超えたメールは現時点では拒否され、アプリからの警告はありません。自分のドメインでは、CatchNoneは確認のたびに受信ボックスの最新100通を読み込むため、非常に大量のメールは実際より少なく数えられます。

CatchNoneは、あえて受信専用にしています。迷惑メールフィルターはなく、すでにメインのアドレスに押し寄せている大量のメールを片付けることはできません。また、通知を送るのではなく、アプリを開いたときにメールを確認するため、銀行やアカウントの復旧に使うメールは、メインのアドレスで受け取ってください。iPhone、iPad、Mac向けのCatchNoneをダウンロード。

よくある質問

メール爆弾は違法ですか？

住んでいる国や地域によって異なります。また、これは法的な助言ではありません。報告すべきなのは、メール爆弾がよく隠している詐欺のほうです。身に覚えのない支払いがあれば銀行に伝え、米国では詐欺をReportFraud.ftc.govに、ID窃盗（個人情報を使ったなりすまし）をIdentityTheft.govに報告します。

Outlook、Hotmail、Yahooに迷惑メールが大量に届くのはなぜですか？

原因はどのメールサービスでも同じで、違うのは確認する場所だけです。Microsoftアカウントの確認と、フィルターの表のOutlook.comとYahooの行を参照してください。

最初の1時間で何をすればよいですか？

上の詐欺の確認のとおり、銀行やカードのアプリ、最近の注文を確認し、メールボックス（「迷惑メール」と「ゴミ箱」も含む）でパスワード、セキュリティ、注文に関するメールを探します。不正アクセスを示すものがあれば、乗っ取りの確認を行います。そのうえで、大量のメールは削除せずにフィルターでフォルダに振り分け、迷惑メールを解決すると電話やメッセージで持ちかけてくる相手は無視してください。