社外への自動転送は、送信スパムフィルターの設定で「オフ（転送を無効）」を明示すると、挙動が確定します。 既定値の「自動（システム制御）」は、組織によって「許可」のことも「禁止」のこともあるため、そのままにしておくのは安全とは言えません。2026年11月時点の公式資料にもとづいて、現状の確認から設定の変更までを整理します。
この記事は、個人による非公式の解説です。仕様やプランは変わる可能性があるため、作業の前に、末尾の「参考」の公式資料を確認してください。
なぜ、自動転送が問題になるのか
メールを社外に自動で転送する仕組みは便利ですが、情報漏えいの原因にもなります。公式資料は、自動転送が「情報の漏えいにつながりうる」ことと、攻撃者がその情報を使って、自社や取引先を狙う可能性があることを挙げています。
公式資料は、受信トレイのルールによる転送には、利用者が意図して作る場合と、アカウントが乗っ取られた結果として作られる場合があるとしています。後者では、本人が気づかないまま、メールが社外へ流れ続けるおそれがあります。
自動転送の2種類
Microsoft 365 の自動転送は、次の2種類があります。
| 種類 | 設定する人 | 内容 |
|---|---|---|
| 受信トレイのルール | 利用者本人（本人の意図、または、乗っ取りの結果） | 条件に合うメールを、社外へ自動で転送する |
| メールボックスの転送（SMTP 転送） | 管理者 | メールボックス全体を、社外へ転送する。転送元にコピーを残すかも選べる |
オンプレミスのメールシステムから Microsoft 365 を経由して転送している場合も、クラウドのメールボックスと同じ制御の対象になります。
既定値の落とし穴
送信スパムフィルターポリシーには、自動転送について3つの設定があります。
| 設定 | 動作 |
|---|---|
| 自動（システム制御） | 既定値。組織によって、挙動が違う |
| オン（転送を有効） | 社外への自動転送を許可し、制限しない |
| オフ（転送を無効） | 社外への自動転送を禁止し、送信者へ不達通知（NDR）が返る |
「自動（システム制御）」の挙動は、公式資料によると次のとおりです。この値が導入された当初は、「オン」と同じでした。2021年に、新規の組織と、この値を積極的に使っていなかった既存の組織では、「オフ」に変わりました。すでにこの値を使っていた既存の組織は、「オン」と同じ挙動のままでいられます。そのため、自社が今どちらなのかは、設定を見ないとわかりません。 公式資料も、挙動が組織で違うので、「自動」ではなく、「オン」か「オフ」を明示して設定するよう勧めています。
手順1：いま、転送されているかを調べる
設定を変える前に、実際に転送されているメールがあるかを確認します。
- クラウドのメールボックスは、Exchange の「自動転送されたメッセージ」レポート（Auto forwarded messages report）で、社外への自動転送をしているユーザーを確認できる
- オンプレミスから転送している場合は、メールフロールールで、ヘッダー
X-MS-Exchange-Inbox-Rules-Loopを持つメッセージを検出する方法が、公式資料に示されている
確認の結果、正当な転送（取引先への定常的な転送など）が見つかったら、その相手を一覧にしておきます。
手順2：禁止する、または、相手を絞って許可する
方針は、2通りです。
- 全面的に禁止する（推奨）：送信スパムフィルターポリシーの、自動転送の設定を「オフ」にする。正当な転送がない場合は、これで終わりです
- 許可しつつ、相手を絞る：送信スパムフィルターは「オン」にし、リモートドメインで、転送を許す外部ドメインを制限する。メールフロールールで、受信トレイのルールによる転送を検出してブロックすることもできる
複数の制御が重なるときは、ブロックする側が優先されるのが基本です。たとえば、リモートドメインで転送を許可していても、送信スパムフィルターが「オフ」なら、転送はブロックされます。
設定の操作は、Microsoft Defender ポータルの、送信スパムフィルターポリシーで行います。画面の手順は、公式資料「Configure outbound spam filtering」を確認してください。
設定を変える前に：影響範囲・業務が止まるか・戻し方
| 操作 | 影響範囲 | 業務が止まるか | 戻し方 |
|---|---|---|---|
| 転送の状況を調べる | なし（見るだけ） | 止まりません | 不要 |
| 送信スパムフィルターで「オフ」にする | 社外への自動転送すべて。利用者の受信トレイのルールと、管理者のメールボックス転送も、社外あての分が動かなくなる | 社外への定常的な転送を使っている業務が止まります。 送信者には不達通知（5.7.520）が返ります | 設定を「オン」に戻す。ただし、再び許可される点に注意 |
| 社内への転送 | 影響なし（送信スパムフィルターの設定は、社内の転送に影響しません） | 止まりません | 不要 |
「オフ」にすると、送信者に、「組織が外部への転送を許可していません」という趣旨の不達通知（5.7.520）が返ります。切り替える前に、社員へ周知しておくと、問い合わせを減らせます。手順1で見つけた正当な転送は、切り替える前に、別の方法（共有メールボックス、グループ、共有フォルダーなど）へ移してください。 クライアントなど、他社のテナントで作業する場合は、必ず相手の承認を取ってから行ってください。
退職者のメールを、社外へ転送したいとき
退職者宛のメールを、社外のアドレスに転送したい、という相談があります。「オフ」にしていると、社外への転送は動きません。退職者のメールの引き継ぎには、社内の別の社員への転送か、共有メールボックスへの変換を使います（これらは、社内の転送なので、影響を受けません）。手順は、退職者のアカウント対応の記事にまとめました。
まとめ
自動転送の既定値「自動（システム制御）」は、組織によって挙動が違います。まず、自社の送信スパムフィルターポリシーで、自動転送の設定がどうなっているかを確認してください。 「オン」または「自動」のままなら、手順1で実態を調べてから、「オフ」への変更を検討するのが安全です。
自社の設定の全体を確認したい場合は、M365・社内IT 自己点検（16問・約3分・無料）も使えます。「メールの自動転送を、明示的に禁止または管理していますか」という設問が含まれています。
参考
2026年11月時点で確認した公式資料です。
- Control external email forwarding and fix 5.7.520 errors：https://learn.microsoft.com/en-us/defender-office-365/outbound-spam-policies-external-email-forwarding
- Configure outbound spam filtering：https://learn.microsoft.com/en-us/defender-office-365/outbound-spam-policies-configure
- Auto forwarded messages report：https://learn.microsoft.com/en-us/exchange/monitoring/mail-flow-reports/mfr-auto-forwarded-messages-report
- Remote domains in Exchange Online：https://learn.microsoft.com/en-us/exchange/mail-flow-best-practices/remote-domains/remote-domains