なりすましメールとは？

電子メールのなりすましセキュリティは、電子メールのセキュリティ態勢を強化する重要な要素です。なりすましメールはインターネット詐欺の一種です。ハッカーが合法的な企業や個人からと思われるEメールを送信し、この偽Eメールを使用します。 偽メールを使い、受信者を騙して機密情報を漏えいさせることです。なりすましには、あなたのメールアドレスを偽造する方法と、あなたのメールアドレスに似せた偽のメールアドレスを作成する方法があります。

電子メールなりすましセキュリティは、なりすましの試みを初期段階で阻止することで、攻撃者が機密情報を盗むのを防ぎます。 

最新のフィッシング統計については こちらをご覧ください！

なりすましメールの簡単な説明

簡単に言うと、なりすましメールとは、誰かがあなたからのメールのように見せかけて、実は違うメールを送ることです。送信元」のアドレスを偽り、あなたの会社や銀行、友人など信頼できる送信元からのメールであるかのように受信者をだますのですが、本当は詐欺師からのメールなのです。

なりすましメールの仕組み

なりすましの一種として、攻撃者は電子メール・アドレスを他人からのものであるかのように偽装します。電子メールは最も信頼されるコミュニケーション手段の一つであるため、人々は警告サインを無視して見知らぬ送信者からの電子メールを開いてしまうのが一般的です。そのため、なりすましメールのセキュリティの欠如は、ビジネスに深刻な影響を及ぼす可能性があるのです。

攻撃者は、あなたの会社やパートナーのメールアドレスを偽装し、従業員を騙してフィッシング・メッセージを開かせ、それに返信させることができます。フィッシングメッセージには、ウイルスやマルウェアにつながる悪意のあるリンクが含まれていたり、将来的にあなたの会社に対する攻撃に使われる可能性のある個人情報を要求されたりすることがあります。

ハッカーによる電子メールアカウントのなりすまし

ハッカーは、なりすましを利用して自分の身元を偽り、お客様のメールアカウントにアクセスします。なりすましはさまざまな方法で行われますが、ここでは最も一般的な方法を紹介します：

SMTP リレーを開く

自宅のコンピュータやネットワークから電子メールを送信する場合、お使いのシステムにはオープンなSMTPリレーがある可能性があります。つまり、誰でもあなたのサーバーに接続し、あたかもあなたであるかのようにメールを送信することができるのです。

表示名偽装

表示名偽装を見つけるのは比較的簡単だ。ハッカーは、電子メールアカウントの表示名を次のように変更します。 "[email protected]"。問題なのは、表示名が変更されているかどうかを見分けるのは簡単だということである。

もし 「セキュリティではなく 「ジョン・スミスなりすましだとわかる。

正規ドメインのなりすまし

この場合、ハッカーは正規のウェブサイトに似た偽のウェブサイト（例えば の代わりにではなく の代わりに@gmail.com).ハッカーは、ログイン情報やその他の個人情報を求めるメールを送りつけ、それを自分たちで利用したり、ブラックマーケットで売ったりする（前者はフィッシングと呼ばれる）。

スプーフィングをアンコードする

Unicodeスプーフィングとは、ドメイン名スプーフィングの一形態で、ドメイン名のASCII文字の代わりに、ASCII文字に似たUnicode文字が使用される。

この方法を理解するためには、非ラテン文字（キリル文字やウムラウト文字など）を使用するドメインで使用されるエンコーディング方式を熟知している必要があります。

Punycodeは、Unicode文字をラテンアルファベット、ハイフン、および数字の0から9のASCII互換エンコーディング（ACE）表現に変換する方法であり、これを使用できるように開発されました。また、ユニコード・ドメインは、多くのブラウザや電子メール・クライアントで表示されます。

そっくりさんドメインによるなりすまし

そっくりドメインとは、攻撃者が登録した既存のドメイン名の完全なコピーであり、このドメイン名を使用して、あたかも貴社が所有しているかのようにスパムやフィッシング攻撃を行うことを意図しています。 

あなたのドメイン名とあまりにも似ているため、ユーザーはメールヘッダのすべてを注意深く読まなければ、ドメインの違いを見分けることができないのです。

ソーシャルエンジニアリング技術

ソーシャルエンジニアリングとは、人を騙して機密情報を提供させるハッキングの一種である。 

ハッカーは、他人（友人、家族、同僚）を装い、電話や電子メールを通じて、無防備な被害者からパスワードやクレジットカード番号などの情報を聞き出すことがよくあります。

なぜなりすましメールは危険なのか？

クレジットカード番号や社会保障番号などの機密情報を狙うハッカーに狙われることが多いため、企業は特に被害を受けやすい。もし誰かがフィッシング攻撃によってこの種のデータにアクセスした場合、それは本質的にEメールのなりすましにつながるものであり、ビジネスオーナーに大きな損害を与える可能性がある！

企業がなりすましメールの被害を受ける2つの一般的なケースは、次のようなものです。 フィッシングメールを送信したり、そっくりなドメインを使って企業になりすましたりすることです。

なりすましメールがもたらす被害

なりすましメールはパンドラの箱のようなもので、サイバー攻撃の高い割合（70％以上という調査結果もある）が悪意のあるメールから始まっており、多くのデータ漏洩にはなりすましのようなソーシャル・エンジニアリングの手口が使われている。なりすましメールは様々な問題を引き起こし、以下のような危険な結果をもたらします：

1. なりすましは、ログイン情報やクレジットカード情報などの機密情報を盗むために、あなたの代わりにフィッシングメールを送信することにつながります。 
2. なりすましはBEC攻撃の原因となります。サイバー犯罪者が合法的な企業幹部になりすまして金銭を送金したり、機密情報を共有したりするのです。
3. なりすましメールは、マルウェアやスパイウェアの配布、ランサムウェア攻撃につながる可能性がある。 
4. 自社ドメインへのなりすまし攻撃が繰り返されると、レピュテーションに大きなダメージを与え、ブランドの信頼を低下させ、正規のEメールであっても顧客が開封をためらうようになる可能性があります。また、商標や知的財産の侵害につながることもあります。このような攻撃は、組織に多大な金銭的損失をもたらす可能性があります。
5. なりすましの試みが成功し続けると、なりすましやアカウントへの不正アクセスにつながる可能性がある。 
6. 電子メールドメインの安全性を確保できない組織は、いくつかのコンプライアンスフレームワークのもとで、規制当局による罰金や法的措置に直面する可能性がある。
7. サプライヤーやベンダーを標的にしたなりすましメールは、取引関係を危うくし、不正取引やデータ漏洩、業務の中断につながる可能性があります。

PowerDMARCでなりすましに対抗する！

なりすましメールの検出と防止

信頼できる相手からメールを受け取ったのに、「差出人」欄に名前がない場合は要注意です：なりすまし攻撃の可能性があります！

なりすましメールの兆候を見分ける

• 送信者のドメイン名を確認する - 見慣れたものと同じですか？もし違うなら、それは偽物の可能性があります。
• メッセージにタイプミスや文法的な間違いはありませんか？もしそうなら、それは偽物の可能性があります。
• メッセージには、場違いなリンクや、期待したものと一致しないリンクが含まれていませんか？もしそうなら、それは偽物の可能性があります。
• メール内のリンクにカーソルを合わせ、クリックする前に移動先を確認する。
• 受信トレイに届いたメールについてわからないことがあれば、職場や学校のIT部門に確認してください。
• 送信済みボックス」に、あなたが送信したものではないメールが表示されています。
• 自分が発信したものではないメールの返信を受け取っている。
• パスワードが変更されました。
• あなたの名前を騙った詐欺メールが届いています。
• 最後に、なりすましメールのセキュリティを確保するために、適切なツールとソリューションを導入し、ドメインを偽造から保護する必要があります。

予防策

1.電子メール認証方法 

• SPF(Sender Policy Framework）：電子メール認証プロトコルの基本の1つで、DKIMやDMARCとともに使用される。 DKIMやDMARCDKIMやDMARCと併用することで、なりすましメールの防止に役立ちます。SPFは、ドメインに対して許可されたメール送信者を認証するのに役立ちます。
• DKIM(DomainKeys Identified Mail）：電子メールの改ざんを防ぐために、すべての送信メッセージに署名する電子メール認証プロトコル。
• DMARC(Domain-based Message Authentication, Reporting & Conformance）の略：DMARCは電子メール認証プロトコルであり、以下のような脅威から組織を守ることができる。 なりすましやフィッシング攻撃から組織を守ることができる。DMARCは SPFおよびDKIMDMARCはSPFとDKIMの上位レイヤーとして機能し、ドメイン所有者は受信メールサーバーがSPFやDKIMの認証とアライメントチェックに失敗したメッセージをどのように扱うべきか（隔離、拒否、配送など）のポリシーを公開することができます。

注意 DMARCは、直接ドメインのなりすまし攻撃からドメインを保護することができます。そっくりさんドメインに対しては効果がありません。

2.追加のセキュリティ対策

従業員の教育 

従業員は、攻撃に対する最初の防御ラインとなることが多いため、なりすましメールの防止に重要な役割を果たす。組織は、フィッシングの試みを認識し、送信者の詳細を確認し、疑わしい電子メールに適切に対応するためのトレーニングを提供する必要があります。 

BIMIを有効にする 

BIMI(メッセージ識別のためのブランドインジケータ）は、視覚的な メールセキュリティDMARCポリシーの適用を要求し、受信者の受信トレイにブランドロゴを直接表示する機能です。BIMIは信頼と信用を築き、受信者が偽物を見破るのを容易にします。BIMIを適切に設定するには、ドメインに強制DMARCポリシー(p=隔離またはp=reject)と、BIMIに準拠した SVGロゴ.

AIベースのメールセキュリティツールを使う

AIを活用した脅威インテリジェンス技術は、サイバー攻撃を未然に検知・防止するのに役立ちます。この技術を統合したメールセキュリティツールを使用することは、サイバー詐欺と戦うための最新のソリューションです。

なりすましメール被害に遭ったら？

ご自身のメールアドレスがなりすまし攻撃に使用された疑いがある場合、以下のベストプラクティスに従ってドメイン名偽装のインシデントに対処することができます： 

• DMARCスプーフィング試行のレポート
• DMARCポリシーの強化（「なし」から「隔離」または「拒否」への移行など）
• 影響を受けるユーザーと社内チームに通知する
• メールプロバイダまたはセキュリティチームになりすましインシデントを報告する
• なりすましの試行を追跡・分析するツールを使う

よくあるご質問

1.なりすましメールとフィッシングの違いは？

なりすましとは、正当な送信者のメールアドレスを偽造することです。フィッシングとは、疑うことを知らない被害者を騙して、機密情報を暴露させようとするプロセスである。なりすましはフィッシングでよく使われる。

2.無料メールプロバイダー（Gmail、Yahoo）はなりすましを防ぐことができますか？

GmailやYahooのような無料メールプロバイダーは、ユーザーに送信されたなりすましメールを検知することはできるが、他者によるあなたのドメインのなりすましを阻止することはできない。

3.DMARCはすべてのなりすまし攻撃を阻止するのに十分か？

いいえ、DMARCは直接ドメインのなりすまし攻撃に対してのみ有効です。そっくりドメインを防ぐことはできません。 

4.自分のドメインがスプーフィングされているかどうかを確認するにはどうすればよいですか？

ドメインが偽装されているかどうかを確認するには、以下を有効にしてください。 DMARCレポートを有効にします。これらの包括的なレポートは、不正な送信の試み、認証の失敗、メール配信の問題についての洞察を提供します。

最後の言葉

電子メールのなりすましはサイバー世界で最も根強い脅威の1つですが、企業は適切なツールと戦略を導入することで、なりすましを防ぐことができます。一貫した監視、メール認証のベストプラクティスに従うこと、なりすまし防止ツールに投資することで、リスクの大部分を軽減することができます。 

なりすましメールを防ぐことで、大規模な金銭的損失や次の大規模なデータ流出からブランドを守ることができます。DMARCの無料トライアルに申し込んで、積極的に行動しましょう。 無料DMARCトライアルDMARCの無料トライアルに登録し、貴社のドメインをなりすましから守りましょう！

• について
• 最新記事

Ahona Rudra

ドメインとメールセキュリティのエキスパートPowerDMARC

AhonaはPowerDMARCのマーケティングマネージャーで、サイバーセキュリティのトピックについて5年以上の執筆経験があり、ドメインと電子メールのセキュリティを専門としている。ジャーナリズムとコミュニケーションの卒業後学位を取得し、2019年からセキュリティ分野でキャリアを固めている。

最新記事 by Ahona Rudra(全て見る)

• DMARCの誤検知：原因、対策、予防ガイド- 2025年6月13日
• ニュージーランド政府、新しいセキュアメールフレームワークでDMARCを義務化- 2025年6月9日
• なりすましメールとは？- 2025年5月29日