最近、自分のメールアドレスから送られてきたように見える詐欺メールが話題になることが増えています。スパムやなりすましの手口は年々巧妙化しており、「SPF」「DKIM」「DMARC」といったセキュリティ対策を導入していても100%防げるわけではありません。では、実際になぜこのような現象が起こり、どのように対策すればよいのでしょうか。ここでは、その仕組みと対処法を詳しく解説します。
なりすましメールが届く仕組みと背景
なりすましメール（スプーフィングメール）は、表面的な送信元が自分のメールアドレスであるかのように偽装されたメールを指します。受信すると一見、自分自身が送信したメールのように見え、驚いてしまう方も少なくありません。インターネット黎明期に比べ、セキュリティ対策が格段に進歩しているはずの現代でも、なりすましができてしまう根本的な理由には以下のようなものがあります。
SMTPの設計上の特性
SMTP(Simple Mail Transfer Protocol)は、電子メールを配送するためのプロトコルです。歴史が古く、最初期の設計ではセキュリティよりもメール配送の利便性が重視されました。結果的に、送信元アドレス（From フィールド）を任意に書き換える余地が残ったままとなっています。
現代では、SPFやDKIM、DMARCなど追加の認証技術を組み合わせることで、なりすましへの対策が行われていますが、SMTP自体の基本仕様は依然として多くのサーバーで利用され続けています。
オープンリレーサーバーの存在
不正に設定されたオープンリレーサーバーとは、認証なしに他のサーバーへメール転送ができてしまうサーバーのことです。攻撃者はこうしたサーバーを悪用し、本来の送信元アドレスとは異なるアドレスを使ってメールを送信できます。オープンリレーサーバー自体は以前より問題視され、対策も進んでいるものの、依然として世界中に散在しているのが現状です。
セキュリティ対策の徹底度の差
SPFやDMARCの厳密なチェックが行われるようになったとはいえ、すべてのメールサービスが同じ厳格度でこれらを運用しているわけではありません。誤検出（正当なメールを迷惑メールやブロック扱いしてしまうこと）を嫌い、あえてDMARCポリシーを「none」に設定しているケースもあります。その結果、悪意あるなりすましメールであっても、受信トレイに届いてしまうことがあるのです。
SPF・DKIM・DMARCの基本的なしくみ
なりすまし対策として代表的なものに挙げられるのがSPF、DKIM、DMARCです。これらを組み合わせることで、送信元ドメインの正当性やメール本文の改ざん検出を行います。それぞれの特徴を簡単にまとめると下記のようになります。
| 項目 | 役割 | メリット | 限界 |
|---|---|---|---|
| SPF | DNSに設定した送信許可IPアドレスとの照合 | 送信元IPを正規リストと比較するだけなので導入が容易 | メール本文の改ざんは検出不可 |
| DKIM | ヘッダや本文のデジタル署名による改ざん検知 | 改ざんの有無を受信側で検証できる | 公開鍵・秘密鍵管理が必要で導入ハードルがやや高い |
| DMARC | SPF・DKIMの組み合わせとポリシー制御 | ポリシー設定により受信側でのブロックや隔離が可能 | 受信サーバー側がDMARCを尊重しない場合もある |
SPF(Sender Policy Framework)のポイント
SPFでは、送信元となるドメインのDNSレコードに「どのIPアドレスから送信が許可されているか」を明示します。受信メールサーバーは、メール送信元IPとDNSに登録されたSPFレコードを照合し、一致しなければSPF=Failと判定します。
下記は例として、example.com ドメインのSPFレコードをTXTレコードで設定する場合のコード例です。
v=spf1 include:_spf.google.com include:_spf.sendgrid.net -allこの例は、GoogleとSendGridのIPアドレスのみから送信を許可し、それ以外は受け付けない設定を意味します。
DKIM(DomainKeys Identified Mail)のポイント
DKIMでは、送信者のドメイン所有者が秘密鍵でメールヘッダや本文のハッシュ値に署名し、受信者はDNS上に公開されている公開鍵でその署名を検証します。
実際には、送信側で署名を付与するシステムが必要になり、受信側のメールサーバーは「署名が有効かどうか」をチェックします。もし途中で本文やヘッダが改ざんされていれば、署名検証が失敗し、DKIM=Failとなります。
DMARC(Domain-based Message Authentication, Reporting and Conformance)のポイント
DMARCはSPFとDKIMを組み合わせて、「どちらか一方、または両方が成功しなかった場合にどう処理するか」をドメイン管理者側で決められる仕組みです。DMARCポリシーには下記のような指定が可能です。
- none: 何もしない（レポートを受け取るだけ）
- quarantine: 隔離（迷惑メールフォルダに入れる）
- reject: 受信サーバー側で拒否
DNSレコードに以下のように設定されている場合、SPFとDKIMのいずれも正しく認証されなかったメールはrejectされます。
v=DMARC1; p=reject; rua=mailto:dmarc@example.com; ruf=mailto:dmarcforensic@example.comただし、受信側のサーバーがDMARCポリシーを尊重しない、あるいは途中で他のフィルタリングルールが優先されるなどのケースがあり、理想通り動かない場合も存在します。
認証に失敗してもメールが届く理由
SPFやDKIMが失敗しているのに、なりすましメールが受信トレイに届いてしまうことがあります。この要因は複数存在しますが、主な理由を以下に示します。
受信サーバーの緩やかなポリシー設定
受信サーバー側で、誤検知を最小化するために「SPFが失敗してもブロックせず迷惑メール判定にとどめる」や「DMARCポリシーがnoneの場合はそのまま受信トレイに入れる」など、比較的ゆるい設定になっている場合があります。
企業やサービス提供者の立場からすると、重要なメールを誤ってブロックしてしまうリスクを嫌がるため、なりすましの疑いがあっても完全には遮断しないという運用が行われることも多いのです。
攻撃者の巧妙な回避手法
悪意ある送信者は、SPFやDKIMをすり抜けるためのテクニックを研究し続けています。例えば、正規のドメインを部分的に利用して本物に見せかける「ドメインそっくりの別文字」を使うなど、目視では判別が難しい手口を用いることがあります。SPF、DKIMともに「完全に回避不可能」ではないため、受信側で完璧に排除することは難しいのが現状です。
メールヘッダの信頼性と多層的なスパムフィルタリング
受信サーバーは一般的に、SPF・DKIM・DMARC以外にも多層的なスパムフィルタリングを行います。たとえば、送信元IPの評価、本文中のリンク評価、過去の受信実績などを総合的に判断してスパム判定をします。SPFやDKIMがFailであっても、他の要素で「迷惑メールではない」と判断され、結果的に受信トレイに入ってくる可能性が残ります。
なりすましメールを疑う際に確認すべきポイント
不審なメールを受け取った場合、送信元が自分のメールアドレスであっても、まず慌てずに以下のポイントをチェックするとよいでしょう。
メールヘッダの確認
主要なメールクライアントやWebメールでは、「詳細表示」や「オリジナルメッセージを表示」などの機能からヘッダ情報を確認できます。そこには実際の受信サーバーや認証結果（SPF=Failなど）が記載されているはずです。ヘッダ情報を見ると、自分のドメインを偽装しているだけであることがわかるケースが多々あります。
添付ファイルやリンクの扱い
怪しいメールに含まれる添付ファイルやリンクは、絶対に不用意に開かないようにしましょう。特に「パスワードを入れろ」「セキュリティ警告を解除しろ」といった文言で誘導される場合、フィッシングサイトに飛ばされる可能性が高いです。セキュリティソフトを使って、ファイルをスキャンすることも重要です。
緊急性や脅迫のメッセージに注意
詐欺メールは受信者を焦らせる内容が多いのが特徴です。「24時間以内にお金を振り込まないとアカウントを停止する」など、脅迫まがいの文言があったら要注意です。なりすましであることを強く疑い、公式サイトや正規の連絡方法で確認する習慣を持つとよいでしょう。
自分のドメインを運用している場合の対策
自分が管理しているドメインからの送信を正しく取り扱ってもらうためには、SPFやDKIM、DMARCを正しく設定し、受信サーバーに「うちのドメインをこう扱ってほしい」という意思表示を行うことが大切です。以下に具体的なポイントを挙げます。
SPFレコードの整合性を定期的に確認
ドメインのDNSにSPFレコードが正しく反映されているかどうか、定期的に確認しましょう。メール配信業者を変更したり、新しいサービスを使い始めた場合、SPFレコードを更新する必要があります。また、不要になった古いIPアドレスの記述が残っていないかにも注意が必要です。
DKIM署名の有効性テスト
DKIMの公開鍵がDNSに正しく登録されているか、メッセージに正しく署名が付与されているかをテストするには、各種オンラインツールやメール検証サービスを活用すると便利です。テスト用のメールアドレス宛にメールを送り、署名が正常に検証されるかどうかを随時確認しておきましょう。
DMARCポリシーの設定とレポートの監視
DMARCポリシーを設定しただけではなく、レポートメール（RUA, RUF）をちゃんと受け取り、解析することが大切です。レポートを確認すれば、どのIPがなりすましを試みているか、どれぐらいの頻度でSPF・DKIMが成功/失敗しているかが分かります。ポリシーを「none」から始めてレポートを観察し、問題がなければ「quarantine」や「reject」に段階的に切り替えていくのが一般的な運用方法です。
個人でできる主な防御策
企業や組織でメールドメインを運用しているわけではなく、GmailやYahoo!メールなどのフリーメールを使っている個人の場合でも、一定の対策が可能です。
アカウントへの不正アクセスを防ぐ
もし本当に自分のアカウントが乗っ取られていると、攻撃者は自分のメールアドレスを正規の方法で使えるため、SPFやDKIMをかいくぐって「本当に」自分自身が送信元となってしまいます。これを防ぐには、パスワードの強化や二段階認証の導入など、アカウントへのセキュリティ対策を徹底することが重要です。
怪しいメールは即削除または迷惑メール報告
受信箱に届いたなりすましメールは、速やかに削除するか、迷惑メールとして報告しましょう。迷惑メールとして報告することで、メールサービス全体のフィルタリング精度向上に貢献できます。また、不用意に返信したりリンクをクリックしたりしないように注意しましょう。
メールクライアントや拡張機能のフィルタリング
メールクライアントによっては、受信前にフィッシングやスパムを高度に検知する拡張機能が提供されている場合があります。こうした拡張機能を導入することで、なりすましメールの疑いがあるメールを自動的に隔離できる場合もあります。
もし不審なメールを受信したら
いざ、不審なメールが届いたときにはどのように対処すればいいのでしょうか。重要なのは以下の手順を冷静に実行することです。
１．開封する前に差出人やタイトルを確認
差出人が自分自身になっていても、「Pegasus」や「怪しいファイル添付」など明らかに不審なキーワードが含まれている場合は要注意です。疑わしいと判断したらメールを開かずに削除、または迷惑メールへ振り分けましょう。
２．ヘッダ情報からSPFやDKIMの結果を確認
もし本文の内容を確認する必要がある場合は、まずヘッダ情報を見てSPF・DKIMの検証結果をチェックします。ほとんどの場合、ヘッダ情報には「Authentication-Results」などの項目があり、どのような判定が出たか表示されています。SPFがFail、DKIMがNone、DMARCがFailといった結果であれば、まず間違いなくなりすましです。
３．パスワード変更やウイルススキャンを実施
万が一、リンクをクリックしてしまったり、添付ファイルを開封してしまったりした場合は、念のためメールアカウントのパスワードや関連するサービスのパスワードを変更すると安心です。また、ウイルス対策ソフトでPC全体をスキャンしておくと、マルウェア感染リスクを下げられます。
まとめ：なりすましメールは依然として脅威
SPFやDKIM、DMARCといった認証技術の導入が進んでいるにもかかわらず、なりすましメールは依然として世の中に流通しています。これは主に、SMTPの歴史的制約や受信サーバーの運用ポリシー、さらに攻撃者の不断の手口改良によるものです。企業や組織でドメインを管理している場合は、SPF・DKIM・DMARCをしっかり設定し、レポートを監視しながらポリシーを厳密化することが推奨されます。個人レベルでも、メールアドレスの乗っ取りを防ぐためのパスワード管理や二段階認証を導入し、不審なメールを開かないといった基本的な対策を徹底することで被害を減らすことができます。
不審なメールを発見したら、まずは落ち着いてヘッダ情報や本文の内容を確認し、添付ファイルやURLに触れずに削除や迷惑メール報告を行うのがベストです。少しの注意と対策で、なりすましメールによる被害を大幅に抑えることができるでしょう。
コメント