自社ドメインのなりすましメール対策の始め方

会社名をかたるメールが届く仕組み

メールの差出人欄は、手紙の封筒に書く差出人と同じで、送る側が自由に書けます。そのため、第三者が「info@example.co.jp」のように自社のアドレスを差出人にしたメールを送ることができます。

受け取る側のメールサービスは、届いたメールが本当にその会社から来たかを、会社のドメインの DNS（ドメインの住所録のような設定）を見て判断します。ここに手がかりが書かれていないと、偽物を見分けにくくなります。その手がかりが、SPF と DMARC です。

SPF と DMARC の役割

SPF：送ってよい送信元の名簿

SPF（エスピーエフ）は、「このドメインのメールは、この送信元から送ります」という名簿です。Google Workspace や Microsoft 365、ホームページのお問い合わせフォームなど、自社のメールを送っている仕組みを登録します。

DMARC：判定に外れたときの扱い

DMARC（ディーマーク）は、SPF などの確認に外れたメールを、受け取る側にどう扱ってほしいかを伝える設定です。あわせて、判定の集計レポートを自社に送ってもらうこともできます。

SPF だけでは、外れたメールの扱いは受け取る側に任されます。DMARC があると、扱いを自社から指示でき、レポートで自社名のメールがどこから送られているかを知ることができます。

設定で減らせること、減らせないこと

減らせるのは、自社のドメインそのものを差出人にした偽のメールです。受け取る側が DMARC の指示に従って、迷惑メールフォルダに入れたり受け取りを断ったりするようになります。

減らせないものもあります。

• example-co.jp のように、自社と似た別のドメインから送られるメール
• 差出人の表示名だけを「株式会社〇〇」にして、アドレスは別のもの
• 自社の社員のメールアカウントが乗っ取られて送られるメール

似たドメインや表示名だけのなりすましには、取引先との間で「振込先の変更はメールだけで受け付けない」といった約束を決めておくのが有効です。アカウントの乗っ取りには、パスワードの使い回しをやめ、2 段階認証を使うことが対策になります。

進め方

1. 今の設定を確かめる：SPF と DMARC があるかを確かめます。後述の無料診断で分かります。
2. SPF の漏れを確かめる：自社のメールを送っている仕組みが SPF にすべて入っているかを、メールやドメインを管理している人に確認します。
3. DMARC を p=none で入れる：届き方を変えずにレポートだけ受け取る設定から始めます。
4. レポートを見て段階を上げる：数週間たって自社のメールが正しく判定されていれば、迷惑メールフォルダに入れてもらう設定（quarantine）に上げます。

DMARC のレポートは英語の添付ファイルで届き、そのままでは読みにくいものです。見るべき点は「自社が使っているメールサービスやフォームからの送信が、合格と判定されているか」の 1 つです。読み解きを管理している人に頼む場合は、その旨も依頼に含めておきます。

自分で DNS を触れない場合は、管理している人に頼みます。そのまま送れる文面は DMARC 設定を依頼する文例 にあります。

取引先に届いてしまったとき

自社名をかたるメールが取引先に届いたと分かったら、次の順で動きます。

• 連絡をくれた取引先に、そのメールを開かない・添付やリンクを開かないようお願いする
• 差出人のアドレス、届いた日時、件名を教えてもらう
• 差出人が自社のドメインそのものか、似た別のドメインかを見分ける
• 必要に応じて、取引先全体に「当社を名乗る不審なメールにご注意ください」と案内する

案内文には、自社から送るメールのドメインと、振込先の変更などはメールだけで依頼しないことを書いておくと、受け取る側が判断しやすくなります。

無料診断で確かめられること

無料診断 では「会社名をかたるメールの対策（SPF）」と「会社名をかたるメールの対策（DMARC）」の 2 項目で、設定があるか、どんな値かを外から確かめます。ドメインを入れるだけで、メールサーバーの ID やパスワードは要りません。設定を頼んだ後に、反映されたかを見るのにも使えます。