メールのなりすまし：その仕組みと対策
by
最終更新日: 8 読了時間：約8分
メールのなりすましは、フィッシング詐欺の手口の中でも最も古くからある手口の一つです。攻撃者は、あなたが信頼している企業や個人から送信されたように見えるメールを送信します。彼らは 偽のメールアドレス メールアドレスを使用します。これだけで、通常は、相手にリンクをクリックさせたり、パスワードを教えさせたり、本来は行われるべきではなかった支払いを承認させたりするのに十分です。攻撃者は、この手口を2つの方法で実行します。実際のメールアドレスを完全に偽造するか、あるいは、ほとんどの人を騙せるほどよく似たアドレスを登録するかのいずれかです。
クリックした後にその代償が明らかになります。認証情報の盗難、不正な送金、ネットワーク内に潜むマルウェア、そして回復に数ヶ月を要するドメインの評判の低下などです。スプーフィングを早期に検知することで、攻撃者が標的から最初の応答を得る前に、被害を最小限に抑えることができます。
主なポイント
- 電子メールのなりすましにより、攻撃者は信頼できるドメインや経営幹部、ベンダー、従業員になりすますことができます。
- SPF、DKIM、DMARCポリシーを適切に設定することで、ダイレクトドメインスプーフィングを軽減することができます。
- DMARCレポートにより、セキュリティチームは不正な送信者、認証の失敗、および配信に関する問題を把握することができます。
- 類似ドメインについては、追加の監視が必要です。DMARCは、実際のドメインを保護するものであり、それに似ている攻撃者が所有するドメインを保護するものではないからです。
- PowerDMARCは、明確なレポート機能と専門家のサポートを通じて、組織がDMARC、SPF、DKIM、BIMI、MTA-STS、TLS-RPTを単一のプラットフォームから管理できるよう支援します。
なりすましメールとは？
「メールのなりすまし」とは、企業や知り合いなど、信頼できる送信元から送られてきたように見えるメールを、誰かが送信する行為のことです。実際には、その送信元になりすましているのです。彼らは「差出人」欄に表示される名前を改ざんし、本物のように見せかけます。こうすることで、パスワードを教えたり、金銭を送金したりといった、本来行ってはならない行為を、あなたにさせようと騙そうとするのです。
メールのなりすましは、メールの真偽を確認するための適切なシステムが整備されていない企業にとっての問題です。
メールのなりすましを阻止できれば、他人を装う行為を防ぐことができ、これにより企業の安全性と信頼性を維持することに繋がります。
以下の統計を確認できます PowerDMARCの調査ハブで、 を確認することで、なりすまし攻撃が業界を問わず組織にどのような影響を与えているかをより深く理解することができます。
メールのなりすましはどのように行われるのか？
メールスプーフィングとは、メールのヘッダーにある送信者情報（通常は「差出人」アドレス）を偽装し、実際には別の人物から送信されたメッセージを、信頼できる人物や企業からのもののように見せかける手口です。 攻撃者は、メール認証の脆弱性を悪用します。標準的なメールプロトコルでは、デフォルトで送信者の身元が検証されないため、偽造されたメッセージはメールサーバーを通過し、一見正当なものとして受信トレイに届くことがあります。受信者は見慣れた名前を見て信頼し、その要求に従ってリンクをクリックしたり、認証情報を共有したり、支払いを承認したりしてしまいます。ただし、SPF、DKIM、DMARCなどのプロトコルが導入されており、配信前に偽造を検知できれば、このような事態は防げます。
一般的なメールなりすまし攻撃の種類
攻撃者は、メールの送信者を偽装するためにいくつかの手法を用います。以下に、最も一般的な手法を挙げます。
| 攻撃タイプ | 仕組み |
|---|---|
| SMTP リレーを開く | 認証されていないユーザーがメールを送信できるように設定ミスされたメールサーバー。攻撃者は、こうしたサーバーを悪用して、実際の送信インフラを隠蔽しつつ、なりすましメールやスパムメールを配信する。 |
| 表示名偽装 | 攻撃者は、「ITサポート」や「財務チーム」、あるいは上級幹部の名前などを名乗りながら、実際には無関係なアドレスからメールを送信します。これは「表示名のなりすまし」として知られる手口です。モバイル端末では、クライアントが多くの場合、表示名のみを表示し、実際のアドレスを非表示にするため、この手口を見破るのは困難です。デスクトップでは、名前の上にカーソルを合わせれば実際のアドレスが表示されますが、実際にそうする人はほとんどいません。 |
| ダイレクトドメイン・スプーフィング | 攻撃者は、表示される「From」アドレスを偽造し、メッセージがあなたの実際のドメイン（例：[email protected]）から送信されたように見せかけます。DMARC、SPF、DKIMは、受信サーバーがこうした攻撃を検知して拒否できるようにするために特別に設けられた仕組みです。 |
| Unicodeと同音異義語によるなりすまし | ASCII文字と視覚的に区別がつかないUnicode文字がドメインに置き換えられることがあり、これは一種のネームスプーフィングです。Punycodeエンコーディングによってこれが可能となり、例えば、ラテン文字の「a」をキリル文字の「а」に置き換えるといったことが行われます。ドメインは一見すると正規のものに見えますが、その背後にあるエンコーディングは全く異なるものです。 |
| 類似ドメイン | 正規のドメインと非常に似通った登録済みドメイン。多くの場合、文字の置換、単語の追加、あるいは異なるTLDの使用によって作成されます。攻撃者は実際のドメインを使用していないため、DMARCではこれを阻止できません。注意深い確認やドメイン監視ツールによってのみ、これを検知することができます。 |
| ソーシャルエンジニアリング技術 | 人々を巧みに操り、機密情報を明かさせたり、有害な行動をとらせたりすること。攻撃者は、信頼されている同僚、IT管理者、財務チーム、あるいは経営幹部になりすまし、多くの場合「緊急」を装って、パスワードのリセット、支払いの承認、またはアクセス認証情報の提供を要求します。 |
攻撃者はなぜメールのなりすましを行うのか？
メールのなりすましは、受信者が見慣れた送信者IDに対して抱く本質的な信頼を悪用するため、攻撃者にとって好まれる攻撃手法となっています。攻撃者の一般的な動機としては、次のようなものが挙げられます：
- 金融詐欺：経営幹部や財務担当者を装い、不正な送金や請求書の支払いを承認させる手口。
- 認証情報の盗用：信頼できる社内システムやSaaSプラットフォームから送信されたように見せかけた偽のログインページを送信すること。
- ビジネスメール詐欺（BEC）：支払部門、人事部門、および経営幹部アシスタントを標的にし、支払いの振り替えや従業員データの流出を図る。
- マルウェアおよびランサムウェアの配布：正当な社内連絡を装って、悪意のある添付ファイルやリンクを配布すること。
- ブランドのなりすまし：偽装されたブランドメールを用いて組織の顧客を標的にし、認証情報や決済情報を盗み出す手口。
- 信頼性管理の回避：既知の送信者ドメインをホワイトリストに登録するスパムフィルターを、そのドメインを偽造することで迂回する。
- サプライチェーン攻撃：承認済みのベンダーやサプライヤーを装い、支払いを横取りしたり、調達データを盗み出したりする攻撃。
なぜメールのなりすましは危険なのでしょうか？
組織は、そのドメインが組織としての信頼を背負っているため、メールなりすまし攻撃にとって極めて魅力的な標的となります。攻撃者が経営陣、顧客向けドメイン、または承認済みのベンダーになりすますことに成功した場合、その影響は単一のメールボックスが侵害されるにとどまらず、はるかに広範囲に及びます。
組織が被害を受ける一般的な2つのパターン：攻撃者が フィッシングメールを を実際のドメインから送信するか、類似ドメインを使用して顧客やパートナーに対してその企業を装うことです。
なりすましメールが組織に与える悪影響
なりすましメールは、多くの場合、より広範なセキュリティインシデントの入り口となります。なりすましが成功すると、認証情報の盗難、ビジネスメール詐欺、マルウェアの配布、ドメインの評判の低下、規制上のリスク、業務の混乱などにつながる可能性があります。具体的な影響としては、次のようなものがあります：
- お客様のドメインを装って送信されるフィッシングメールにより、顧客や従業員からログイン情報、クレジットカード情報、その他の機密情報が盗み出される。
- サイバー犯罪者が経営幹部や財務部門を装い、送金の承認や機密データの共有をさせる「ビジネスメール詐欺（BEC）」攻撃。
- マルウェアおよび スパイウェアが 偽装された社内メールを介したマルウェアおよびスパイウェアの配布により、組織全体でランサムウェアへの感染が発生した。
- ドメインの評判が損なわれ、配信率が低下します。なりすまし攻撃が繰り返されると、受信者や受信メールサーバーがあなたのドメインを信用しなくなり、その結果、正当なメールがフィルタリングされたり拒否されたりする原因となります。
- なりすましメッセージによって可能となった認証情報の収集に起因する、なりすましや不正なアカウントアクセス。
- 規制およびコンプライアンスリスク。電子メールドメインのセキュリティ対策を講じていない組織は、PCI DSSやGDPR、あるいはGoogle、Microsoft、政府機関による公共部門向けの電子メールに関する規制などに基づき、罰金の対象となる可能性があります。
- サプライチェーンの混乱。サプライヤーやベンダーを標的としたなりすましメールは、ビジネス上の関係を損ない、不正取引、データ漏洩、あるいは業務の混乱を招く恐れがあります。
- 規制およびコンプライアンスリスク。メールドメインのセキュリティ対策を講じていない組織は、PCI DSSやGDPR、あるいはGoogle、Microsoft、政府機関による公共部門向けのメールに関する規制などの枠組みに基づき、罰金を科される可能性があります。（この課題を解決する方法については、後述の「PowerDMARC」のセクションで詳しく説明します。）
よくあるメールのなりすまし例
実際にスプーフィングがどのような形をとるかを理解することは、セキュリティチームが従業員への教育を行い、現在進行中の脅威を認識する上で役立ちます。
| シナリオ | 攻撃者が～を装う | よくあるリクエスト | 警告サイン | 推奨される回答 |
|---|---|---|---|---|
| 役員になりすます | CEO または CFO | 緊急の銀行振込またはギフトカードの購入 | 異例の緊急性、返信先アドレスの不一致 | 行動を起こす前に電話で確認し、ヘッダーを確認してください |
| 偽の請求書の依頼 | 認定ベンダーまたはサプライヤー | 支払いのための銀行口座情報を更新してください | 新しいアカウントの詳細、類似ドメイン | 信頼できるベンダーの担当者に直接確認してください |
| ITヘルプデスクを装ったフィッシング | 社内ITサポートチーム | パスワードのリセットまたは多要素認証（MFA）の再登録 | 外部ドメインへのリンク、一般的な挨拶文 | 社内チケットシステムを通じてIT部門に連絡してください |
| 給与の流用 | 人事または給与担当の社員 | 口座振込先の情報を更新する | 個人のメールアドレスから送信。事前のやり取りはありません。 | 変更の際は、本人確認または本人確認済みの身分証明書の提示が必要です |
| ブランドなりすまし | 貴社のブランド（ターゲット顧客） | アカウント認証、偽のセキュリティ警告 | 少し異なる分野ですが、至急の行動要請です | DMARCの強制適用とBIMIを有効にして、顧客が本物のメールを見分けられるようにする |
メールのなりすましの兆候を見抜くためのヒント
偽装メールのほとんどは、どこを見ればよいかさえ分かっていれば、どこかに手がかりが残っています。まずは、メッセージ本文に表示されている内容から確認してみましょう：
- 表示名だけでなく、送信者のドメイン名全体を確認してください。そのドメイン名は、その組織の既知の送信ドメインと一致していますか？
- 「返信先」のアドレスは「送信元」のアドレスと異なりますか？ 両者が一致しない場合は、なりすましの有力な兆候となります。
- そのメッセージには、誤字や文法上の誤り、あるいは送信者と見なされる人物の文体とは一致しない不自然な表現が含まれていませんか？
- 予期せぬ添付ファイルや、緊急の支払い指示、あるいは通常の承認プロセスを省略するよう求める依頼はありませんか？
- リンクをクリックする前に、すべてのリンクにカーソルを合わせて確認してください。リンク先のURLが想定しているドメインと一致しているか確認してください。
また、ご自身のアカウントやドメインがすでに攻撃に悪用されていることを示す、別の警告サインもあります：
- 送信済みフォルダに、自分が送信していないメールが表示されています。
- 自分が送信した覚えのないメールへの返信が届いています。
- お客様による操作なしに、アカウントのパスワードが変更されました。
- 同僚や顧客から、あなたの名義で送信された詐欺メールについて報告がありました。
より技術的な観点から言えば、生のヘッダー情報からは、目視検査ではあくまで推測にとどまるような点も、通常は確認できるものです：
- 生のメールヘッダーを開き、「Authentication-Results」ヘッダーを探してください。SPF、DKIM、DMARCの合格または不合格の結果を確認してください。
- Return-Path（封筒の差出人）を確認してください。表示されている「From」アドレスと著しく異なる場合は、そのメッセージがなりすましである可能性があります。
- 「受信」チェーンを確認し、実際の送信インフラを追跡してください。配信経路に予期しないメールサーバーが含まれている場合は、注意すべき兆候です。
- SPFの結果が「失敗」で、DMARCポリシーが「reject」または「quarantine」に設定されているにもかかわらず、メッセージが受信された場合は、DMARCポリシーが依然として「p=none」に設定されている可能性があります。これは、ブロックではなく監視のみを行っていることを意味します。
メールのなりすましから身を守る方法
1.電子メール認証方法
- SPF (Sender Policy Framework)：電子メール認証プロトコルの基盤の一つであるSPFは、 DKIMやDMARC と連携して 電子メールのなりすましを防止する。SPFは、ドメインに対して許可されたメール送信者を認証します。 しかし、組織がサードパーティの送信サービスを過剰に追加し、DNS ルックアップの制限数である 10 件を超えてしまうと、SPF が機能しなくなる可能性があります。PowerDMARC の自動化された SPF管理とSPFフラット化機能 機能により、SPFレコードを最適化することで、認証エラーを減らし、回避可能な配信トラブルを防ぎます。
- DKIM (DomainKeys Identified Mail)：送信されるすべてのメッセージに暗号的な署名を付与し、メッセージの完全性を検証するとともに、転送中の改ざんを防ぐための電子メール認証プロトコル。
- DMARC (Domain-based Message Authentication, Reporting & Conformance)：DMARCにより、組織は なりすましやフィッシング 攻撃から組織を保護することを可能にします。これは SPFおよびDKIM を基盤としており、ドメイン所有者が、認証に失敗したメッセージの取り扱い方法（隔離、拒否、または配信）を受信サーバーに指示するポリシーを公開できるようにします。
注：DMARCは、直接的なドメインなりすましからドメインを保護します。ただし、類似ドメインによる攻撃を防ぐことはできません。これに対処するには、別途ドメイン監視対策が必要です。
2.追加のセキュリティ対策
- 従業員への教育：従業員は、なりすまし攻撃に対する最初の防衛線となることがよくあります。定期的な研修では、フィッシング攻撃の見分け方、送信者情報の確認方法、メールヘッダーの確認方法、および不審なメッセージに対するエスカレーション手順の遵守について取り上げる必要があります。
- 有効にする BIMIを有効にするを有効にする: メッセージ識別用ブランド指標 は、視覚的な メールセキュリティ 規格であり、検証済みのブランドロゴを受信者の受信トレイに直接表示します。これには、 DMARCポリシー (p=quarantine または p=reject）の適用と、BIMI準拠の SVGロゴ。PowerDMARCのホステッドBIMIサービスは、VMCおよびCMC証明書の取得を含む設定のすべてを管理するため、手動でのDNS設定作業を必要とせずに、対応している受信トレイにロゴが表示されます。
- AIを活用したメールセキュリティツールを活用する：AIを活用した脅威インテリジェンスは、送信パターン、ブロックリストのシグナル、認証データを分析し、なりすまし行為が受信者に届く前に検知します。PowerDMARCは、予測型脅威インテリジェンスを統合し、ドメイン全体にわたる不正な送信者や不審なIPアクティビティを特定します。
PowerDMARCがメールのなりすまし防止にどのように役立つか
PowerDMARCは、組織に対し、すべてのドメインにわたるDMARC、SPF、DKIM、BIMI、MTA-STS、およびTLS-RPTを監視・管理するための一元化されたプラットフォームを提供します。セキュリティチームは、生のXMLレポートを逐一確認する代わりに、正当な送信元、認証の失敗、および不正ななりすまし試行について、明確な可視性を得ることができます。
- DMARCモニタリング：ドメインを名乗って送信を行うすべての送信元を特定し、認証失敗の試みをリアルタイムで検知します。
- SPF管理：環境に新しいSaaS送信元が追加される際、SPF照会制限によるエラーを回避し、配信の混乱を最小限に抑えます。
- ホスト型認証：DMARC、DKIM、BIMI、MTA-STS、TLS-RPTを単一のプラットフォームから管理でき、更新のたびに手動でDNS設定を変更する必要がありません。
- コンプライアンス対応：Google、Microsoft、PCI DSS、GDPR、および公共部門の電子メール認証要件に準拠します。
- グローバルサポート：すべてのドメインにおいて、導入時のサポート、SPF/DKIMのトラブルシューティング、DMARCポリシーの適用に関する専門家のアドバイスをご利用いただけます。
代理店やマネージドサービスプロバイダーは、PowerDMARCの DMARC MSP パートナープログラムを通じて、管理するすべてのクライアントドメインにこの保護を拡張でき、アカウントごとに設定作業を重複させる必要はありません。
または、 デモを予約して して、今この瞬間、あなたのドメインから誰がメールを送信しているかを確認することもできます。
よくあるご質問
メールのなりすましとは、具体的にはどのようなものなのでしょうか？
攻撃者は送信者の身元を偽装し、メールが信頼できるドメイン、幹部、または組織から送信されたように見せかけます。受信者には正規のものに見える「差出人」アドレスが表示されますが、実際にはメッセージは別の場所から送信されています。SPF、DKIM、DMARCは、これを検知・ブロックするために使用される主要な対策です。
メールのなりすましとフィッシングの違いは何ですか？
「スプーフィング」とは、送信者の身元を偽装する技術的な行為のことです。「フィッシング」とは、より広義に、相手を騙して情報を明かさせたり、有害な行動をとらせたりしようとする試みのことです。フィッシング攻撃では、信頼できるように見せかけるために、スプーフィングがしばしば利用されます。
GmailやYahoo!メールのような無料メールサービスは、なりすましを防ぐことができるのでしょうか？
DMARC、SPF、DKIMの結果に基づいて、自社のユーザーに送信されるなりすましメールをフィルタリングすることができます。ただし、他のメールプラットフォームの受信者を標的とした攻撃において、攻撃者が貴社のドメインをなりすますことを阻止することはできません。それを制御できるのは、貴社自身のSPF、DKIM、DMARCレコードのみです。
アカウントをハッキングされなくても、誰かが私のメールアドレスを偽装することは可能ですか？
はい。攻撃者は、自身のメールサーバーやオープンリレーを利用して、表示される「差出人」アドレスを偽造します。アカウントへのアクセス権は必要ありません。そのため、アカウントのセキュリティ対策だけでは不十分であり、ドメインレベルの認証こそが、ドメインの不正利用を実際に阻止する手段となります。
DMARCだけで、すべてのなりすまし攻撃を防ぐことはできるのでしょうか？
いいえ。DMARCは、攻撃者があなたのドメインとまったく同じものを偽装する「ダイレクトドメインスプーフィング」をブロックします。しかし、DMARCポリシー外の、見た目が似ている別のドメインを使用する「類似ドメイン攻撃」は防げません。そのため、DMARCに加えて、ドメインの監視やユーザーへの教育も併せて行う必要があります。
メールアドレスがなりすまされているかどうか、どうすれば見分けられますか？
Authentication-Results ヘッダーを確認し、SPF、DKIM、DMARC の結果を確認してください。「Return-Path」と表示されている「From」アドレスを比較してください。「Reply-To」が実際にどこを指しているかを確認してください。デスクトップでは、送信者名にカーソルを合わせると実際のアドレスが表示されます。これらのいずれかに不一致が見られる場合は、疑わしい兆候です。
自分のドメインがなりすましの被害に遭っているかどうかを確認するにはどうすればよいですか？また、その場合はどうすればよいですか？
DMARCレポート機能を有効にし、不正な送信元に関する集計レポートを確認してください。不正利用が判明した場合は、ポリシーを「p=quarantine」または「p=reject」に変更してなりすましメールをブロックし、影響を受けたユーザーおよび社内のセキュリティチームに通知した上で、メールプロバイダーにインシデントを報告してください。PowerDMARCは生のXMLレポートをダッシュボードに変換するため、手動での解析は不要です。
ドメインおよびメールセキュリティの専門家（所属： PowerDMARC
AhonaはPowerDMARCのマーケティングマネージャーで、サイバーセキュリティのトピックについて5年以上の執筆経験があり、ドメインと電子メールのセキュリティを専門としている。ジャーナリズムとコミュニケーションの卒業後学位を取得し、2019年からセキュリティ分野でキャリアを固めている。
最新記事 by Ahona Rudra(全て見る)
- FAXのセキュリティ：2026年に機密文書を保護するための完全ガイド - 2026年7月30日
- メールフィルタリングサービスとは？ - 2026年7月29日
- メールのなりすまし：その仕組みと対策 - 2026年7月29日
