自社の名前で偽メールが届くのはなぜ？道は2つ、DMARCと管理画面の鍵

今号のテーマ

きのう（11/7）は、AIエージェントが「置いてあった指示書」に従ってしまう話でした。 日曜日の今日は、もっと身近なメールの話です。

自社の名前で、お客様に偽メールが届く。これは大企業だけの話ではありません。 偽メールが届く道は、大きく分けて2つあります。道が違えば、効く対策も違います。

Top Story今日いちばん大事な話

011. 自社の名前の偽メールはDMARCで防げる？

何が起きた

外から自社のドメインを名乗って送る「なりすまし」なら、DMARCが効きます。ただし効き目はポリシー次第で、「none（監視だけ）」のままでは偽メールは届いてしまいます。入れたかどうかより、どのポリシーかを確かめることが大切です。

何が起きた

フィッシング対策協議会が2025年1月に公開した解説は、同協議会が観測したフィッシングメールのうち、平均で74.9%、最大で91.9%が、正規サービスのドメイン名を送信元に使った「なりすまし」送信だったとしています（2023年の観測。同協議会のフィッシング対策ガイドライン2024年度版からの引用）。

これを防ぐ技術が**DMARC（ディーマーク）**です。自社のドメインから正しく送られたメールかどうかを、受け取る側が確かめられるようにする仕組みで、SPF・DKIMという2つの認証の結果を使います。

DMARCには、認証に失敗したメールをどう扱ってほしいかを示す「ポリシー」があります。

迷惑メール対策推進協議会のDMARC導入ガイドラインは、none から始めて、認証結果を確かめながら quarantine、reject と強めていく方が良い、としています。

同じ協議会の解説は、日本企業ではポリシーが「監視のみ（none）」の割合が米国企業より高いという調査（日本プルーフポイントによる日経225企業と米フォーチュン1000企業の比較）を紹介し、「監視のみ」や「隔離」のままでは、フィッシング対策としての効果が出ていないと指摘されている、としています。

022. メール配信サービスが乗っ取られたらどうなる？

何が起きた

正規の配信環境から、自社と同じアドレスで偽メールが出てしまいます。この場合は送信ドメイン認証だけでは見分けにくく、DMARCとは別に、配信サービスの管理画面のログインを守る必要があります。

何が起きた

もう一つの道は、11/1号で書いた事故です。メール配信サービス「ワイメール」のお知らせでは、漏洩した可能性のある認証情報で一部の利用者の配信環境に侵入され、利用者の宛先にフィッシングメールが送られた恐れがある、としています。双葉町のお知らせでも、町のメールマガジンと同じアドレスから不審メールが送られました。

この道では、正規の配信環境からメールが出ているため、送信ドメイン認証だけでは見分けにくいと考えられます。DMARC導入ガイドラインも、認証できたとしても、なりすましメールでないとは限らない、と書いています。

イグレックスは第9報で、全利用者のDKIMの鍵を作り直し、DMARCのポリシーを「reject（拒否）」に設定するとしました。2つの道を両方ふさぎにいった対応と読めます。

033. 偽メール対策で社長は担当者に何を聞く？

何が起きた

設定は担当者やドメイン管理業者に任せ、社長は3つを聞くだけで十分です。「DMARCのポリシーは？」「管理画面に誰がログインできる？」「偽メールが出たらどこで知らせる？」の3つに、答えが返ってくる状態を作ります。

要点

設定そのものは、担当者やドメインを管理している業者の仕事です。社長は、次の3つを聞くだけで十分です。

1. 「うちのドメインのDMARCは、none？ quarantine？ reject？」
2. 「メルマガや配信サービスの管理画面に、誰がログインできる？ 多要素認証は入っている？」
3. 「うちの名前で偽メールが出たら、どこでお客様に知らせる？」

1が「わからない」なら、それが最初の宿題です。いきなり reject にすると正しいメールまで届かなくなることがあるので、段階を踏むのはガイドラインのとおりです。

まとめ：道が2つあれば、ふさぎ方も2つ

1. 外から自社を名乗る道には、DMARC。none のままでは届いてしまう
2. 正規の配信サービスに入られる道には、管理画面のログインの守り
3. 社長は「ポリシーは？」「誰がログインできる？」「どこで知らせる？」を聞く

自社のメールの守り、どこから確かめるか一緒に整理します。