「AIにはAIで守る」クオリティアが次世代メールセキュリティ戦略を発表
9月4日都内で、株式会社クオリティアは次世代のメールセキュリティ戦略に関するメディア向け発表会を開催しました。生成AIの普及によってフィッシングメールや標的型攻撃がさらに巧妙化するなか、同社は「個別の脅威への対策」から「メール基盤そのものの再構築」へと戦略を転換します。
今回の発表では、受信メールを対象とした新たな「ブラックURL検知機能」、送信時の宛先ドメインAI判定機能に加え、既存のメール関連製品を統合する新プラットフォーム「QUALITIA MAIL」を初公開しました。
生成AIによって「見抜く」ことが難しくなったメール攻撃
発表会の冒頭、クオリティア代表取締役社長の村上正幸氏が登壇。同社の事業概要と、今回の新たな製品戦略について説明しました。
クオリティアは1993年創業。旧トランスウェアとディープソフトの経営統合を経て、2015年に現在の社名となりました。メールの誤送信防止や標的型攻撃対策など、メッセージングに関するソリューションをクラウド、オンプレミスの双方で提供しています。累計顧客数は1万社を超え、アカウント数は4,600万弱に上るといいます。
続いて営業本部長の辻村安徳氏は、現在のサイバー攻撃を取り巻く環境について説明しました。
フィッシングメールやSMS詐欺、QRコードを利用した詐欺など、サイバー攻撃の手口は多様化しています。昨今では、株式会社KADOKAWA、アサヒグループ、アスクル株式会社へのランサムウェア攻撃も大きな話題となりました。しかし辻村氏は、このようなサイバー攻撃は一部の企業に向けたものではなく、生活している人たち全体に対する脅威であると指摘します。
実際、コロナ禍以降、フィッシングに関する報告件数は大きく増加しており、直近では月間120万件を超えているといいます。
原因として考えられるのが、2022年以降の生成AIの普及です。AIに誰でも触れられる現在の環境により、攻撃メールの文章から「日本語の不自然さ」が消えつつあると辻村氏は指摘します。
「生成AIによって、攻撃メールはこれまで以上に巧妙化しています。企業や担当者に合わせた文脈や専門用語を盛り込んだ文章を、まるで本物の業務メールのように作ることができます。さらに大きな問題は、こうした高度なメールを特別な技術や専門知識がなくても、誰でも簡単に、しかも多種類・大量に作れてしまうことです。これまでは一定の技術力が必要だった攻撃が、生成AIによって一般の人でも実行できるようになり、実際に未成年による事例も報告されています」（辻村氏）
標的に合わせたメールを大量に作成することも容易になり、従来の「怪しい日本語を見抜く」といったリテラシー教育だけでは対応が難しくなっているといいます。
特に今年に入って急増しているのが「社長なりすましメール」、いわゆる「CEO詐欺」です。
これは、社長などになりすました人物から従業員にメールを送り、別のメッセージングツールなどへ誘導する手口です。Outlook.comやGmail.comなどのフリーアドレスが使われ、添付ファイルは何もついていないケースが多くあります。
「このメールだけを見れば、私たちが日々向き合っているプロトコル（メールのルール）の世界では何もおかしいところがない。つまり正しいメールであるというふうに認識されてしまいます」そのため、従来のアンチウイルスやアンチスパム、送信ドメイン認証、サンドボックスなどでは検知できません。
「CEO詐欺には、大きく2つの特徴があります。ひとつは、メールの表示名を社長や役員など実在する経営幹部の名前にして、本人から届いたように見せかけること。もうひとつは、メール本文にURLや添付ファイルを直接仕込むのではなく『この件は別のツールでやり取りしましょう』などと書き、チャットツールなどへ誘導することです」そのため、従来のセキュリティシステムでは不審なメールとして検知しにくくなっています。最終的には、メールを受け取った人が「本当に社長からの指示だ」と信じてしまう、人間の判断ミスを狙うのがCEO詐欺の特徴です。
メールによる攻撃がもたらす被害は、金銭をだまし取られるといった直接的な損失だけではありません。情報漏洩や業務の停止・遅延、取引先への影響など、企業活動全体に波及する可能性があります。なかでも、一度失った企業への信頼を回復するには多くの時間とコストがかかるため、その被害は決して小さくありません。
こうした状況を踏まえ、辻村氏は、社員一人ひとりの注意やリテラシーに頼った「個別対策」だけではなく、メールを受け取るところから送信するところまで、企業のメール環境そのものをセキュリティの観点から見直す必要があると説明しました
受信メールをAIで判定。「Active! zone SS」に新機能
今回発表された施策の一つが、標的型メール攻撃対策サービス「Active! zone SS」と、Hornetsecurity社のURL判定エンジン「IsItPhishing Threat Detection」の連携です。
Active! zone SSでは、これまでもディスプレイネームをベースにしたフィルタリングや、メール本文の冒頭に注意喚起を表示する「アウェアネス型」の対策を提供してきました。
また、受信メールのレシーブドヘッダーに記録された経由IPアドレスを解析し、メールがどの国を経由してきたのかを国旗で表示する機能も搭載しています。海外を複数経由するメールへの注意喚起によって、感染率の低下につながった事例もあるといいます。
今回、このActive! zone SSに新たに「ブラックURL検知機能」を追加します。
メールに含まれるURLを「IsItPhishing Threat Detection」へ送信し、危険性を判定します。結果に応じて、URLをマスクしたり、メールそのものを削除したり、ユーザーに注意喚起を表示したりすることが可能になります。
未知のフィッシングサイトもリダイレクト先まで追跡
発表会では、Hornetsecurity株式会社のカントリーマネージャー・伊藤利昭氏が「IsItPhishing Threat Detection」の仕組みを紹介しました。
判定では、まず既知の脅威情報と照合します。未知のURLについては、そこから先に発生するリダイレクトを追跡し、最終的に表示されるページまで確認します。
さらに最終ページのURLだけでなく、ページそのものや画像も分析します。画像内の文字をOCRで読み取るほか、ブランドロゴなども検知し、フィッシングサイトかどうかを判断します。
判定に使用される「スマートパターン」は約1万件が常時稼働しており、日々更新されるといいます。機械学習や深層学習も組み合わせることで、従来のブラックリスト方式だけでは対応しにくい未知のURLにも対応します。
「お客様のメッセージの中に含まれるURLをオンライン、リアルタイムで即検知をするというサービスです。この機能は『Active! zone SS』との連携でしか体験できないものだといえます」（伊藤氏）
クオリティアによれば、既存の検知率は約99.8％。残る0.2％に対して、今回の連携によってさらに48％程度の改善が期待できるといいます。URLを含むメールに限定すると、80％強の改善が見込まれ、全体として99.9％を超える検知率を目指します。
ただしHornetsecurity側は、実際の検知率は利用環境などによって異なるため、一律に数字を保証するものではないと説明しています。
ブラックURL検知機能は2026年11月上旬に実装予定です。クラウド型の「Active! zone SS」とオンプレミス型の「Active! zone」で提供され、対象プラン／オプションに含まれます。新規販売の初年度目標は100社としています。
送信時の「宛先間違い」をAIでチェック
もう一つの新機能が、メール誤送信防止サービス「Active! gate SS」に搭載されるドメインAI判定機能です。
メールの誤送信防止では、これまで宛先アドレスそのものをチェックする仕組みが中心でした。今回の機能では、メール本文からAIが「相手の会社名」を抽出し、その会社に対応する正しいドメインと実際の宛先ドメインを照合します
例えば、メール本文には「株式会社○○」と書かれているにもかかわらず、送信先が別会社のドメインになっていた場合、誤送信の可能性があるとして一時保留します。
同社では、上場企業数千社に加え、一般株式会社200万社超を対象にドメインデータベースを構築しています。会社名についても「株式会社○○」「○○株式会社」といった表記の違いだけでなく、アルファベット、カタカナ、漢字などさまざまな表記を網羅しています。AIによる本文解析とドメインデータベースを組み合わせることで、従来の単純な宛先チェックでは発見しにくかった誤送信を防ぐ狙いです。
宛先と会社名のドメインが一致しない場合は、Active! gate SS内でメールを一時保留し、管理者に確認を促します。管理者が許可・破棄した結果は学習データに反映され、利用を続けることで判定精度の向上につなげます。なお、学習データの利用については、各顧客環境ごとにオプトアウトを設定し、自社環境内だけで利用することも可能だといいます。
2026年11月上旬から既存ユーザー向けのプレビュー版を提供し、2027年1月下旬に一般発売を予定しています。予定価格は1ユーザーあたり500円～（税抜）です。Active! gate SSのオリジナル運用プラン（VPSタイプ）における有償オプションとして提供され、初年度300社への販売を目標としています。
新メール基盤「QUALITIA MAIL」を初公開
今回の発表で最も大きな新製品が、同社が初公開した「QUALITIA MAIL」。
これは、現在提供しているActive! mailやDEEPMailなどの既存製品を将来的に統合していく、新しいメール基盤プラットフォームです。
単なるメールサービスではなく、メール、チャット、タスク管理などのコミュニケーション機能に、セキュリティ、業務生産性向上、AI機能を組み合わせた「オールインクルーシブなコミュニケーション基盤」を目指します。
搭載予定の機能として、DMARC（なりすましメール防止機能）への対応、AIによるメール返信文の生成や要約、さらにメールの「感情診断」機能などが紹介されました。
感情診断では、メールの文章をAIが解析し、ハラスメントなどのコンプライアンス上の問題につながる可能性を検知することも想定しています。
この機能については、RAGを利用して既存メールを学習させる仕組みではなく、入力されたテキストそのものを感情判定する方式だと説明されました。
「QUALITIA MAIL」は、「QUALITIA MAIL SS」として2027年1月下旬にクラウドサービスでの提供開始を予定しており、初年度100社への導入を目標としています。
「AIにはAIで守る」――最終判断は人に
村上社長は今回の製品戦略について、「最終判断は人」という考え方を強調しました。
AIがすべてを自動的に判断するのではなく、人間が判断するための「気づき」をAIによって提供します。そのうえで、受信する脅威に対しては「AIにはAIで守る」という考え方で、攻撃側が生成AIを利用する時代に対応していきます。
一方で、メールそのものがなくなるわけではありません。
クオリティアによれば、社外とのコミュニケーションにおけるメール利用率は現在も98％強です。チャットなど新しいコミュニケーションツールが普及するなかでも、企業活動におけるメールの重要性は依然として高いといえます。 そのため同社は、メールを単体のアプリケーションとして捉えるのではなく、セキュリティやAI、コミュニケーション機能を組み合わせた「企業のコミュニケーション基盤」として再構築していきます。
「メールを守る」から「メールを中心とした基盤」へ
今回の発表から見えてくるのは、クオリティアが従来の「誤送信防止」「標的型攻撃対策」といった個別のセキュリティ製品から、より広い企業コミュニケーション基盤へと事業領域を広げようとしていることです。
生成AIによって攻撃メールの精度が高まり、人間が「怪しいメール」を見抜くことが難しくなる一方、攻撃側と同じAI技術を防御にも活用します。
受信時にはAIによってURLの危険性を分析し、送信時にはAIによって宛先と会社名の整合性を確認します。そして将来的には、メール、チャット、タスク管理までを一つの基盤に統合します。
「AIにはAIで守る」としながらも、最終的な判断は人に委ねる――。
クオリティアが今回打ち出した次世代メールセキュリティ戦略は、AI時代における企業メールの役割そのものを見直す取り組みともいえそうです。