メールのなりすまし（スプーフィング）

メールのなりすましとは？

メールのなりすまし（スプーフィング）とは、偽りの送信者アドレスでメールを送ることです。メールは、知っている人や会社から届いたように見えます。実際には、別の誰かが送っています。詐欺師はなりすましを使って、偽の請求書を支払わせたり、パスワードを聞き出したり、有害なファイルを開かせたりします。

なりすましのメールは、Fromの行に本物のアドレスを表示します。Fromの行とは、受信トレイに表示される送信者の名前とアドレスです。この点が、よく似た別のアドレスから送られたメールとの違いです。どちらについても、以下で説明します。

例：CEOを装った偽のメール

サラは、example.comというドメインを使う会社の経理部で働いています。ドメインとは、メールアドレスの @ より後ろの名前です。金曜日の午後4時、サラに次のメールが届きます。

• From：David Brown、david.brown@example.com
• 件名：本日中の至急の支払い
• 本文：「添付の請求書を、午後5時までに新しい取引先へ支払ってください。会議中なので、返信はメールだけでお願いします。」

David Brownは本物のCEOで、アドレスも本人の本物のアドレスです。しかし、このメールを送ったのはデイビッドではありません。example.comとは関係のないサーバーから、詐欺師が送ったものです。

サラが支払うと、お金は詐欺師の銀行口座に入ります。この種の詐欺は、ビジネスメール詐欺（BEC）と呼ばれることがよくあります。メールが普段どおりに見え、急ぐように求めてくるので、だまされてしまいます。

メールでなりすましができる理由

SMTPは、サーバー間でメールを送るためのプロトコルです。最初に定められたのは1982年です。SMTPはFromアドレスを確認しません。どのメールサーバーでも、その行に好きなアドレスを書くよう設定でき、それでもメールは送られます。

そのため、受信側のサーバーには、Fromアドレスが本物かどうかを知る仕組みが元々ありません。これが、後から3つのチェックが追加された理由です。ドメインの所有者は、これらをDNSに公開します。DNSとは、ドメインが自分の設定を載せる、インターネット上の公開ディレクトリです。

なりすましメールの見分け方

なりすましのメールは、細かい点まですべて正しく見えることがあります。次のサインが見分ける手がかりになります。

• Reply-Toのアドレスが違う。「返信」をクリックして、アドレスを見てください。知らないアドレスに変わる場合、そのメールは偽物かもしれません。
• チェックに失敗している。Gmailでメールを開き、3つの点をクリックして「メッセージのソースを表示」を選びます。SPF、DKIM、DMARCの行を見てください。DMARCがFAILなら、強い警告のサインです。
• お金やパスワードを急いで求めている。今日中の支払い、振込先口座の変更、ログインの依頼は、なりすましメールのよくある目的です。
• ほかの連絡手段を使わないよう求めている。「メールだけで」「電話はしないで」は警告のサインです。
• 文体や署名がいつもと違う。本人なら、そのような書き方はしないかもしれません。

ドメインをなりすましから守る方法

誰かがFromの行にあなたのアドレスを入力するのを止めることはできません。そのようなメールをブロックするよう、受信側のサーバーに伝えることはできます。それには3つのDNSレコードが必要です。

1. SPFは、ドメインのメールを送ってよいサーバーを一覧にします。SPFレコードを参照してください。
2. DKIMは、詐欺師には作れない署名を本物のメールに付けます。DKIMを参照してください。
3. DMARCは、Fromにドメインを使っているのに両方のチェックに失敗したメールをどうするかを、受信側のサーバーに伝えます。DMARCを参照してください。

DMARCが p=reject なら、ポリシーに従う受信側は、なりすましのメールを誰かに届く前にブロックします。p=none では、DMARCはレポートを送るだけです。メールは止めません。DMARCに合格するには、Fromに表示されるドメインと同じドメインで、SPFかDKIMが合格する必要があります。これをDMARCアライメントと呼びます。

なりすまし、フィッシング、類似ドメインの違い

これらの言葉はよく混同されます。意味は異なります。

なりすましはフィッシングの手口の1つで、類似ドメインも別の手口の1つです。DMARCは、自社のドメインそのもののなりすましを防ぎます。類似ドメインは防げません。そのドメインは詐欺師が所有しているので、SPF、DKIM、DMARCのレコードを自分で設定できるからです。

なりすましメールを受け取ったときの対処法

1. 返信、リンクのクリック、添付ファイルを開くことはしないでください。
2. 別の方法で依頼を確認します。メールに書かれた番号ではなく、すでに知っている電話番号で本人に電話します。
3. 報告します。Gmailでは、3つの点のメニューから「フィッシングを報告」を選びます。Outlookでは「報告」ボタンを使います。
4. 自社のドメインが使われている場合は、ITチームに伝えます。ITチームはDMARCのレポートを確認できます。
5. すでに支払った場合やパスワードを伝えてしまった場合は、すぐに銀行に連絡するか、パスワードを変更します。

メールのなりすましとメールアドレス検証

メールアドレスチェッカーは、なりすましを検出しません。わかるのは、アドレスが存在してメールを受け付けるかどうかで、誰が実際にメッセージを送ったかではありません。なりすましのメールは本物のアドレスを使うので、そのアドレスは検証しても「有効」になります。メールアドレスの一括検証ツールが役立つのは自社の送信側で、キャンペーンの前にリストから使われていないアドレスを削除します。なりすましを防ぐにはSPF、DKIM、DMARCを使い、バウンス率を低く保つにはメールアドレス検証を使います。