自社のアドレスで偽メールが出回っていると取引先から連絡がありました。最初に何をすればよいですか？

まず届いた偽メールのヘッダー情報（受信日時・送信元のIPアドレス等が書かれた部分）を取引先から転送してもらい、自社の送信でないことを確認します。そのうえで取引先・お客様に注意喚起し、自社ドメインのSPF・DMARCの状況を確認します。社内のアカウントが乗っ取られて送られている場合は、パスワードの変更など対応が変わるため、メールの管理者に早めに相談してください。

DMARCをrejectにすれば、うちの名前を使った詐欺はなくなりますか？

自社ドメインそのものを差出人にした偽メールは、DMARCに対応した受信側で止まるようになります。ただし、似たドメインを取得した偽メールや、表示名だけを社名にしたフリーメールは止められません。

自社ドメインがなりすましメールに使われる仕組み

「うちのアドレスから変なメールが来た、と取引先に言われた」。こうした相談では、社内のパソコンが乗っ取られたわけではなく、外部の誰かが差出人欄に自社のアドレスを書いて送っただけというケースがあります。なぜそんなことができるのか、そして何をすれば止められるのかを整理します。

差出人は「自由に書ける欄」

メールには、宛名や差出人を書く部分（ヘッダー）と本文があります。受信者のメールソフトに表示される差出人（From）は、RFC 5322で決められた書式のただの文字列で、送る側が好きな値を書けます。紙の手紙で、封筒の差出人欄に他人の会社名を書いて投函できるのと同じです。

さらにFromには2つの部分があります。

From: "株式会社サンプル 経理部" <[email protected]>

表示名（"株式会社サンプル経理部"）：スマホのメールアプリでは、こちらしか表示されないことが多い
メールアドレス（[email protected]）：@の後ろがドメイン

偽メールの作り方は、主に3つに分かれます。

種類	例	DMARCで止められるか
① 自社ドメインそのものを名乗る	`[email protected]`	止められる（quarantine・reject の場合）
② 似たドメインを使う	`[email protected]`、`[email protected]`	止められない
③ 表示名だけを社名にする	"株式会社サンプル" `<xxxx@フリーメール>`	止められない

①を止める仕組み：受信側が送り主のDNSを確かめる

受信側のメールサーバーは、Fromのドメイン（example.jp）のDNSを調べ、次のことを確かめます。

SPF：送ってきたサーバーが、example.jp の公開している「送ってよいサーバーの一覧」に入っているか
DKIM：example.jp の鍵で付けた電子署名があり、改ざんされていないか
DMARC：1か2のどちらかに、Fromと同じドメインで合格したか。合格しなかったら、example.jp はどう扱ってほしいと言っているか（none／quarantine／reject）

つまり、本物かどうかの判断材料を出しているのは、名前を使われた側の会社自身です。SPF・DMARCを公開していないドメインは、受信側から見ると「確かめようがない」状態で、偽メールを止める根拠がありません。DMARCがp=noneの場合も「何もしなくてよい」と伝えているので、受信側の独自判断に任されます。

3つの設定の違いはSPF・DKIM・DMARCの違いを1枚で理解するで詳しく説明しています。

②③は技術だけでは止められない

似たドメインは、攻撃者が自分で正規に取得したドメインです。SPFやDMARCを攻撃者自身が設定すれば、認証にも合格してしまいます。表示名の偽装も同様で、送っているのはフリーメールなど正規のサービスです。こちらへの備えは次のような運用です。

社外への周知：「当社からのメールは @example.jp からのみ送信します」「振込先の変更をメールだけでお願いすることはありません」とサイトや請求書に明記する
社内ルール：振込先の変更、支払いの急ぎの依頼は、メール以外（登録済みの電話番号など）で確認する
似たドメインの確認：自社名に近いドメインが取得されていないか、ときどき検索する。必要に応じて主要なものを自社で取得しておく

なお、メールでの請求書詐欺やビジネスメール詐欺は、IPAの「情報セキュリティ10大脅威」でも組織向けの脅威として継続して取り上げられています。最新の順位や解説は公式の発表で確認してください。

メールを送っていないドメインも狙われる

キャンペーン用に取った別ドメインや、旧社名のドメインなど、メールを使っていないドメインも名前を使われます。誰も見ていないので気づきにくいのが難点です。使っていないドメインには次の2つを設定し、「このドメインからはメールを送らない」と宣言しておきます。

example-old.jp.        TXT  "v=spf1 -all"
_dmarc.example-old.jp. TXT  "v=DMARC1; p=reject"

メールを受け取る予定もなければ、「受信もしない」ことを示す null MX（0 .）を設定する方法もあります。

自分で確認する方法

自社ドメインのDMARCを調べる（Macのターミナルなら dig +short TXT _dmarc.example.jp、Windowsなら nslookup -type=TXT _dmarc.example.jp）。何も出なければ未設定です
自社で持っているドメインを洗い出す（ドメインの更新請求が来ているもの、旧社名、キャンペーン用）
届いた偽メールがあれば、メールソフトの「ヘッダーを表示」「メッセージのソースを表示」で Authentication-Results の行を見る。dmarc=fail と書かれていれば、①の形の偽メールで、DMARCを強めれば受信側で止められる種類です

よくある誤解

「乗っ取られたから偽メールが出ている」：そういう場合もありますが、差出人を書き換えただけなら、社内のシステムには何の痕跡も残りません。どちらなのかは、偽メールのヘッダーで送信元を確認して切り分けます
「迷惑メールフィルタがあるから大丈夫」：フィルタは受信側の仕組みで、取引先やお客様の受信環境は選べません。自社にできるのは、受信側が判断できる材料（DMARC）を出すことです
「うちのような小さな会社は狙われない」：差出人の偽装に費用はほとんどかかりません。会社の規模より、取引先に信用されている名前かどうかが狙われる理由になります

Webサイト診断の診断ではこう判定します

なりすましメール対策診断は、DNSに公開されている設定だけで判定します。DMARCが無いと、ほかの項目がどれだけよくても点数の上限は50点、SPFもDMARCも無ければ上限20点、SPFが誰からの送信も許す +all の場合は上限40点です。DMARCのポリシーは p=reject で15点、p=quarantine で10点、p=none は3点です。MXが無いドメインは、SPFが v=spf1 -all、DMARCが p=reject なら「送信しないドメインとして適切」と判定します。

制作会社・保守会社への依頼文の例

件名：自社ドメインのなりすましメール対策の確認

取引先から、当社のアドレス（@example.jp）を名乗る不審なメールが
届いたと連絡がありました。次の確認と対応をお願いします。

1. example.jp の SPF・DKIM・DMARC の現状確認
2. DMARC が未設定または p=none の場合、段階的に強める計画のご提案
3. 当社が保有する次のドメイン（メール未使用）への
   「送信しない」設定（SPF -all、DMARC p=reject）
   ・example-old.jp
   ・（ほか保有ドメイン）

まず自社ドメインの状態を見る

自社ドメインの設定が十分か分からない場合は、無料のご相談で確認します。メールを使っていないドメインも対象です。設定をまとめて任せたい場合はなりすましメール対策設定代行、DMARCを reject まで安全に進めたい場合はDMARC段階導入・監視をご覧ください。進め方の注意点はDMARC p=noneからrejectへ移行する前に確認すること、