偽メールの見分け方：注意すべきレッドフラッグ

「今、メールが届いたばかりだったり、誰かがあなたのプラットフォームに登録した際、どこかおかしいと感じるメールアドレスが使われていたりすることがあります。ドメインが不自然だったり、名前がランダムに生成されたように見えたりして、何か違和感を覚えるものです。では、それが偽のメールアドレスかどうか、どうやって見分ければいいのでしょうか？」

偽のメールアドレスは、多くの人が思っているよりもはるかに一般的です。その種類は、スパムメールを回避するために作成される使い捨てのメールアドレスから、詐欺師が正体を隠すために使用する匿名のメールアカウントまで多岐にわたります。

無害なものもあれば、フィッシングメールや不正な登録、アカウントの悪用につながるような深刻な危険信号となるものもあります。
このガイドでは、最も一般的な危険信号、偽メールをチェックするためのツール、そして実際に効果のある検知方法について解説します。

偽のメールアドレスとは何ですか？

偽のメールアドレスとは、実在する恒久的な身元を表さないメールアドレスのことです。これには、数分で有効期限が切れる使い捨てメールアドレスや、スパムを避けるために特別に作成された一時的なアカウント、あるいは詐欺師が他人を装うために偽造したメールアドレスなどが含まれます。

ここで重要な区別をしておく必要があります。偽のメールがすべて悪意のあるものというわけではありません。多くの人は、オンラインサービスへの登録、ファイルのダウンロード、無料体験版の利用の際、スパムメールや広告メールから個人の受信箱を守るために、一時的なメールアドレスを使用しています。これはプライバシーに関する選択なのです。

より危険なカテゴリーは、 なりすましや詐欺目的の偽メールです。これらは、受信者に「このメッセージは信頼できる送信元（銀行、CEO、配送会社、政府機関など）から届いたもの」だと誤認させるために、意図的に作成されたメールアドレスです。

おすすめ記事： 「メールスプーフィング対策」とは？

偽のメールアドレスの見分け方

偽のメールアドレスがすべて一目見て怪しいとは限りません。粗雑で見破りやすいものもあれば、一見しただけでは見抜けぬよう入念に作り込まれたものもあります。視覚的・技術的な両面から、どのような兆候に注意すべきかを把握しているかどうかが、脅威を見逃すか、見抜くかの分かれ目となります。

1. 表示名と実際の住所が一致しません

これは古くからある手口ですが、今でも最も効果的なもののひとつです。表示名は「PayPal Security」や「Your IT Team」などと表示されていますが、実際の送信元アドレスは [email protected] のようなものです。

「送信者」フィールドは常に展開し、表示名だけを見て判断してはいけません。

これは特にモバイル端末で効果を発揮します。モバイル端末では、ほとんどのメールクライアントがデフォルトで完全なアドレスを表示しないように設定されているからです。メールの表示名偽装を利用する攻撃者は、まさにこの死角を悪用して、実際のアカウントを乗っ取る必要さえなく、経営幹部や信頼できるブランドを装うことができるのです。

2. ドメインがわずかにずれている

タイポスクワッティングとは、攻撃者が正規のドメインとほぼ同じに見えるドメインを登録する行為のことです。一般的な手口には次のようなものがあります：

• 文字を数字に置き換えたもの、例えば paypa1.com や micros0ft.com など
• ハイフンや「support-google.net」のような余分な単語を追加する
• 馴染みのないTLD、例えばamazon.com.coのようなもの
• ラテン文字の「a」の代わりにキリル文字の「а」など、見た目が同じユニコード文字を代用する

特に最後のものは、肉眼では見分けるのが難しいです。ドメイン名に問題がないように見えても、どこか違和感がある場合は、Unicodeインスペクターに貼り付けて、非標準の文字が含まれていないか確認してください。

3. そのアドレスは、既知の使い捨てメールドメインに由来するものです

一部のドメインは、身元確認を一切行わない、一時的な匿名の受信箱を作成することだけを目的として存在しています。よく見られる例をいくつか挙げると：

これらのアドレスから登録や受信メッセージが届いた場合、そのアドレスは実在する責任ある人物と結びついている可能性はほぼありません。

4. ローカル部分がランダムに生成されたように見える

本物のメールアドレスには、見分けがつきやすいパターンがあります。一方、ランダムなメールアドレス生成ツールで作成された偽のメールアドレスにはそのようなパターンがなく、[email protected] や [email protected] のような形をしています。

登録フォームや迷惑メールなどでこのパターンを見かけたら、原則として危険信号とみなしてください。

5. 返信先アドレスが送信元アドレスと異なる

正当な送信者が、別の場所を指す「返信先」アドレスを必要とすることはめったにありません。

これら2つのフィールドが一致しない場合、特に返信先が無料のウェブメールアカウントや無関係なドメインに設定されていると、あなたの返信は、表向きの送信者から遠ざけられ、実際にその運営を行っている人物の手に渡ることになります。

おすすめ記事： メールのなりすましとフィッシング：安全を守る方法

6. 本文中の緊急性や脅迫的な表現

これは送信元アドレスに関する兆候ではありませんが、こうしたメールにはほぼ必ず見られる特徴です。「アカウントが停止されます」「至急の対応が必要です」「24時間以内に詳細情報を確認してください」といった表現に注意してください。

これらは、パニックを引き起こし、冷静な判断を妨げるように仕組まれています。正当な組織は不必要な焦りを煽ることはありませんが、フィッシングメールはまさにこのプレッシャーを利用して、受信者が考える前に行動を起こすように仕向けるのです。

PowerDMARCでメールセキュリティを簡素化

なぜPowerDMARCなのか？

一般的なDMARCツールとは異なり、PowerDMARCはAIを活用した脅威インテリジェンス、手厚いマネージドサービス、そして世界中の1,000以上の組織から信頼されている使いやすいプラットフォームを提供しています。当社のチームは、業界トップクラスのサポートと技術力を駆使して、お客様のドメインの設定、監視、保護を支援します。

15日間の無料体験を開始 | デモを予約する

メールアドレスが偽物かどうかを確認する方法

目に見える危険信号を見抜くことは、解決への第一歩です。適切な偽メールのチェックでは、メールアドレスの背後にある技術的な層まで掘り下げます。これこそが、確実な答えを導き出す方法です。

まずMXレコードを確認してください

正当なメールドメインには、メッセージの送受信を行うためにメールエクスチェンジ（MX）レコードが必要です。MXレコードが存在しない場合、稼働中のメールサーバーがないことを意味し、そのアドレスは偽物、有効期限が切れている、あるいはでっち上げられたものであることになります。

無料のDNS検索ツールを使えば、ほんの数秒でこの結果が得られます。

SMTP検証を実行する

メール認証ツールは、メールサーバーに直接接続し、実際のメッセージを送信することなく、特定のメールボックスが存在し、かつ有効であるかどうかを確認します。これにより、そのアドレスに実際のドメインがあるだけでなく、その背後に実際の受信箱が存在するかどうかがわかります。また、メールアドレスに対して逆引き検索を行い、公開されている記録、データ漏洩データベース、または信頼できるオンラインプロフィールにそのアドレスが掲載されているかどうかを確認することもできます。これによって必ずしも所有者を特定できるわけではありませんが、そのアドレスが正当なものかどうかを評価する際に、追加の参考情報を得ることができます。

使い捨てメールアドレスのドメイン一覧の相互参照

既知の一時メールや使い捨てメールのドメイン一覧は、無料版と有料版の両方が利用可能です。

これらのアドレスを照合することで、使い捨てアカウントやランダムなメールアドレス生成ツールによる出力が、システムに侵入する前に即座に特定されます。

メールのヘッダー全体を確認する

メールヘッダーには、ルーティングパス、送信元IPアドレス、認証結果など、あらゆる情報が含まれています。特に注目すべき点は以下の通りです：

• 送信元サーバーは、申告された送信ドメインと一致していますか？
• SPFは合格したのか、不合格だったのか？
• DKIMは合格したか、不合格だったか？
• DMARCの結果には何と書かれていますか？

Gmailでは、3つの点のメニューを開き、「原文を表示」を選択します。Outlookでは、「ファイル」メニューから「プロパティ」を選択します。

SPF、DKIM、およびDMARCの結果を確認する

これら3つのプロトコルは、電子メールが本当に送信元と称する人物から送信されたものであるかどうかを検証するための技術標準です：

これら3つの条件をすべて満たさないメールは、認証がまったく行われておらず、「送信元」アドレスは信頼できません。PowerDMARCの無料DMARCチェッカーを使えば、受信サーバーがドメインの認証を検証する際に、具体的にどのような情報を確認しているかを正確に把握できます。

メールアドレスが偽物かどうかを確認するためのツール

手作業による確認だけでは不十分な場合、自動検証ツールを使えば、住所を迅速に評価することができます。ここでは、不審な登録や受信メールを特定するのに役立つ、最も信頼性の高いツールをいくつかご紹介します。

PowerDMARCの偽メールアドレスチェッカー

PowerDMARCの「偽メールアドレスチェッカー」は、配信可能性とドメイン認証の両方を分析することで、メールの検証に包括的なアプローチを採用しています。メールアドレスを入力すると、即座に「正規」「不審」「偽」という明確な判定結果に加え、0～100の信頼スコアと、合格・不合格の詳細な内訳が表示されます。

このツールは、RFC 5322 構文の検証、ドメインの DNS 検索、MX レコードの確認、SPF レコードのチェック、DMARC レコードのチェック、500 以上の使い捨てメールプロバイダーを対象とした使い捨てメールの検出、タイポスクワッティングの検出、および役割ベースまたは無料プロバイダーのフラグ付けという、8 つの異なるチェックを実行します。

このツールは完全に無料で、利用制限も明記されていません。重要な点として、このツールは、SPFおよびDMARCレコードの検証を行いながら、タイポスクワッティングも検知できる、ここで紹介する唯一の選択肢として際立っています。ほとんどのメール検証ツールは、そのアドレスがメールを受信できるかどうかを判定しますが、このツールは、ドメインが認証されているか、あるいは誰かを装っているかを判定します。この違いこそが、このツールが「無効なアドレス」ではなく「偽のアドレス」に関するページで1位に挙げられる正当な理由です。

Hunter メールアドレス検証ツール

Hunterは、主に営業やアウトリーチチーム向けに設計された、配信可能性に重点を置いた検証システムであり、広く利用されています。このシステムは、形式、ドメイン、メールサーバーの応答を確認し、メールアドレスが有効で、安全にメールを送信できることを保証します。ユーザーは、月間25件の検証が可能な無料プランを利用できます。高度なセキュリティ分析というよりは有効なルーティングの確認に重点を置いていますが、標準的な配信可能性の確認には確かな選択肢と言えます。

ZeroBounce 無料メール検証ツール

ZeroBounceは、有効なメールボックス、スパムトラップ、および既知のバウンスリスクをチェックする堅牢な検証サービスを提供しています。このプラットフォームには、1つのアドレスを検索できる無料ツールが含まれており、登録ユーザーには毎月100件の無料検証が提供されます。無効なアカウントや使い捨てアカウントを確実に特定して送信者のレピュテーションを保護するため、メーリングリストのクリーニングや基本的な配信可能性チェックを行う上で、信頼できる選択肢となっています。

Hippoにメールを送る

Email Hippoは、構文、メールサーバーの設定、メールボックスの存在を確認する、シンプルな検証ツールを提供しています。同社の無料の単一アドレスチェッカーは、ドメインがメールを受信できる状態にあるかどうかを即座に判定し、明らかに使い捨てのアドレスを特定します。これは、複雑なワークフローを設定することなく、アドレスの基本的な有効性を素早く確認する必要があるマーケティング担当者にとって、迅速かつ実用的なユーティリティです。

ベリファリア

Verifaliaは、アドレスが検証チェックに合格したか不合格になったかの理由を正確に分析した、詳細な結果分類を提供します。構文の検証、MXレコードの確認、および一時的なドメインのチェックを行います。ユーザーには1日あたり25クレジットが無料で付与され、アドレスを個別に、または少数のバッチ単位でテストすることができます。詳細なレポートにより、ユーザーは送信された各メールアドレスに関連する具体的な配信リスクを把握することができます。

QuickEmailVerification

QuickEmailVerificationは、構文、ドメインの存在、メールボックスの有効性をリアルタイムで検証する人気のチェッカーです。使い捨てアドレスや役割ベースのアドレスを効果的に特定し、メーリングリストをクリーンに保ちます。このサービスでは、登録ユーザーに1日あたり100クレジットを無料で提供しています。日常的なリストのメンテナンスを行い、無効なユーザー登録によるバウンスを防ぐための、信頼性が高く効率的な手段を提供します。
なお、どのアドレスチェッカーも完全に確実な結果を出すことはできません。有効なMXレコードを持つ、一見正当に見えるドメインを登録する執拗な攻撃者は、当社のフィッシングメールチェッカーを含め、ほとんどの自動チェックを通過してしまいます。最も重要なケースについては、メールヘッダー解析ツールによるヘッダーの確認やSMTP検証の実施など、前述の手動による方法に常に立ち返るべきです。

フィッシング攻撃における偽のメールアドレスの利用方法

偽のメールアドレスは、フィッシング、詐欺、および大規模ななりすまし攻撃の主な手口です。攻撃者がこれらをどのように利用しているかを理解することで、一見すると完全に正当に見える脅威を見抜くことができるようになります。

ドメイン・スプーフィング

攻撃者は、正規のブランド名と1文字だけ異なるドメインを登録し、そこから大量のフィッシングメールを送信します。技術的にはそのドメインが存在するため、基本的なスパムフィルターでは見逃されてしまうことがよくあります。

実際のドメインで DMARCが適用されていない限り、なりすましメールが受信トレイに届くのを防ぐ手段は何もありません。

ヘッダーの操作

電子メールを支えるプロトコルであるSMTPは、デフォルトでは送信者の身元を確認しません。基本的な技術知識さえあれば、誰でも「From」ヘッダーを改ざんし、任意のアドレスを表示させることができます。

これが「ビジネスメール詐欺（BEC）」攻撃の技術的基盤であり、SPF、DKIM、DMARCが、まさにこの認証上の脆弱性を解消するために特別に構築された理由です。

大規模な偽アカウントの作成

ランダムなメールアドレス生成ツールや使い捨てメールサービスを利用すれば、登録時の本人確認を行わないプラットフォーム上で、何百もの偽アカウントを簡単に作成できます。これらのアカウントは、次のような目的で使用されます：

• プラットフォーム間でスパムメールを拡散させる
• クレデンシャル・スタッフィング攻撃の実行
• レビューやエンゲージメント指標の操作
• 大規模な不正キャンペーンのためのインフラ構築

表示名のなりすまし

攻撃者は、信頼できる表示名と無関係な送信元アドレスを組み合わせることで、実際のアカウントを乗っ取ることもなく、経営幹部や財務チーム、有名ブランドになりすますことができます。

これが、標的型スピアフィッシング攻撃の根幹となる仕組みであり、十分な個人的な背景情報があることで、なりすましを説得力のあるものにしているのです。

パブロ・エレロス氏が、PowerDMARCを活用して顧客ポートフォリオ全体におけるメールスプーフィングをどのように最小限に抑えたか

• 管理対象のすべてのドメインにおいて、ドメインセキュリティスコア100%を達成しました
• 顧客自身のドメインから送信される偽のメールが減少した
• マルチドメインのSPF、DKIM、DMARC管理を簡素化
• クライアント全体のメール配信率およびドメインのレピュテーションが向上しました

G2での評価は4.9

世界中の10,000以上の組織から信頼されています

成功事例の全文を読む

偽のアドレスからメールが届いた場合の対処法

不審なメールを発見した後の対応次第で、リスクを抑えられるか、あるいは悪化させてしまうか決まります。正しい手順は以下の通りです。

直ちに行うべき措置：

1. 何もクリックしないでください。まずリンクにカーソルを合わせて、リンク先のURLを確認してください。送信者のドメインと一致しない場合は、絶対にクリックしないでください。
2. 返信しないでください。返信するだけで、あなたのメールアドレスが有効であることが確認されてしまい、大量送信を行う攻撃者にとって有益な情報となってしまいます。
3. 送信者のメールアドレス全体を確認してください。送信者欄を展開し、タイポスクワッティングやUnicodeの置換、表示名と実際のドメイン名の不一致がないか確認してください。
4. ヘッダーを確認してください。SPF、DKIM、DMARCの結果を確認します。銀行や有名ブランドを名乗るメールでこれらの検証に失敗した場合、なりすましであることが確認されます。
5. 報告してください。IT部門またはセキュリティチームに転送してください。英国の場合は、NCSC（[email protected]）に報告してください。米国の場合は、[email protected] に転送してください。

すでにクリックした、または認証情報を入力した場合は：

• 影響を受けたパスワードは直ちに変更してください
• それらのアカウントで多要素認証を有効にしてください
• 金融情報を共有してしまった場合は、ご利用の銀行にご連絡ください
• お使いのデバイスでセキュリティスキャンを実行してください

詐欺メールチェッカーを利用すれば、受信したメッセージが詐欺かどうかを、さらなる対応をとる前に素早く見極めることができます。

PowerDMARCで偽メールを根源から阻止

偽のメールアドレスの危険信号を見抜くことができれば、解決への道のりの半分は済んだも同然です。残りの半分は、人間の目では見逃してしまうような不審な点を検知できる認証インフラを整えることです。

PowerDMARCは、組織に対し、自社に代わってメールを送信するすべての送信元を完全に可視化します。また、偽装されたメッセージが受信トレイに届く前にブロックするDMARCポリシーを適用し、インテリジェントなレポート機能を通じて脅威をリアルタイムで可視化します。

世界中の2,000以上の企業や政府機関から信頼されているPowerDMARCは、攻撃者がお客様のドメインを偽装したり、ブランドを悪用したり、詐欺メールで顧客を騙したりすることを大幅に困難にします。

今すぐ無料トライアルを開始して、メールセキュリティをしっかりと管理しましょう。

よくあるご質問

1. 偽のメールアドレスを使うことは合法ですか？

プライバシー保護、テスト、またはスパム回避のために偽のメールアドレスを使用することは、一般的に合法です。ただし、詐欺、なりすまし、個人情報の盗用、その他の違法行為のために偽のメールアドレスを使用することは法律違反となります。登録するプラットフォームの利用規約は必ず確認してください。

2. 一時的なメールアドレスや偽のメールアドレスは、どのくらいの期間有効ですか？

有効期間はサービスによって異なります。一時的なメールアドレスは通常10分から24時間、使い捨てメールアドレスは数日から数週間、バーナーメールアドレスは維持し続ける限り有効です。正確な有効期間については、必ず各サービスの利用規約をご確認ください。

3. 偽のメールアドレスを使ってメールを送信したり、返信したりすることはできますか？

一時的なメールアドレスや使い捨てメールサービスの多くは、メールの受信のみが可能で、送信はできません。一部のバーナーメールサービスでは送信も可能ですが、機能に制限があることがよくあります。双方向の通信を前提とする場合は、事前に各サービスの機能を確認してください。

4. 偽のメールアドレスは安全でプライバシーが守られるのでしょうか？

サービスによってセキュリティやプライバシーのレベルは大きく異なります。信頼できる一時的なメールサービスは十分なプライバシー保護を提供していますが、データが記録されたり、第三者にアクセスされたりする可能性のあるサービスもあります。銀行や医療関連などの機密性の高いアカウントには、決して偽のメールアドレスを使用せず、利用するサービスのプライバシーポリシーは必ず確認してください。

5. 使い捨てメールアドレスとは何ですか？

MailinatorやGuerrilla Mailなどのサービスを通じて作成される一時的な受信箱。本人確認は不要で、設定された時間が経過すると自動的に削除される。プライバシー保護のために一般的に利用されるが、偽アカウントの作成やスパム登録とも深く関連している。

6. DMARCは、なりすましメール攻撃を防ぐのにどのように役立つのでしょうか？

DMARCは、SPFまたはDKIMの検証に失敗したメールを、受信サーバーがどのように処理すべきかを指定します。「p=reject」ポリシーを設定することで、自社ドメインを装ったなりすましメールは、誰の受信箱にも届く前にブロックされるため、偽メールの悪用を防ぐ上で最も効果的な技術的対策の一つとなっています。

7. メールアドレスが偽物かどうかを確認するのに最適なツールは何ですか？

最適な選択肢は具体的なニーズによって異なりますが、PowerDMARCの「Fake Email Address Checker」は、セキュリティを第一に考えて開発されています。配信可能性のみを確認する一般的な検証ツールとは異なり、このツールはSPF、DMARC、タイポスクワッティングを評価し、そのドメインが実際に認証済みで安全であるかを確認します。

• について
• 最新記事

Ahona Rudra

ドメインおよびメールセキュリティの専門家（所属： PowerDMARC

AhonaはPowerDMARCのマーケティングマネージャーで、サイバーセキュリティのトピックについて5年以上の執筆経験があり、ドメインと電子メールのセキュリティを専門としている。ジャーナリズムとコミュニケーションの卒業後学位を取得し、2019年からセキュリティ分野でキャリアを固めている。

最新記事 by Ahona Rudra(全て見る)

• Exchange メールボックスの復元：Exchange Server で削除されたメールボックスを復元する方法 - 2026年9月22日
• DMARC MSP 事例研究：Presis社がPowerDMARCを活用して顧客のメール配信率を向上させた方法 - 2026年9月17日
• メールが偽物かどうか見分ける方法：注意すべき危険信号 - 2026年9月14日