SPF・DKIM・DMARCとは？なりすましメールを防ぐ3つの仕組み
メールの送信元として表示される会社名やメールアドレスは、見た目だけでは本物かどうか判断できません。取引先や社内になりすましたメールへの対策として、まず確認したいのが SPF・DKIM・DMARC です。
これは、会社のメールドメインを使って送るメールが「正規の送信経路から送られたものか」を受信側が確かめるための仕組みです。
3つの役割
- SPF：そのドメインからメールを送ってよいサーバーを、あらかじめ宣言する仕組み
- DKIM：メールが送信途中で改ざんされていないことを、電子署名で確認する仕組み
- DMARC：表示上の送信元ドメインとSPFまたはDKIMの結果を照合し、失敗メールの扱いとレポート受信先を指定する仕組み
特にDMARCは、受信者に見える「From:」のドメインを本当に使ってよいメールか確認する中心的な役割を持ちます。Microsoftも、効果的なメール認証にはSPF・DKIM・DMARCを組み合わせることを説明しています。
SPFだけでは、なりすまし対策として十分ではありません
SPFは有用ですが、メールソフトに表示される送信者欄そのものを検証するわけではありません。攻撃者が別のドメインから正規のメールサーバーを使い、表示上だけ取引先のドメインになりすます場合、SPFだけでは十分に見抜けないことがあります。
そこでDKIMとDMARCを組み合わせます。DMARCは、受信者に見える「From:」のドメインと、SPFまたはDKIMで確認されたドメインの関係を確認します。これにより、見た目だけを偽装したメールへの耐性を高められます。
医療機器メーカーで特に注意したい送信元
医療機器メーカーや関連事業者では、普段のメール基盤以外にもメール送信元が増えがちです。
- 問い合わせフォームの自動返信
- 展示会・セミナーの案内配信
- 採用管理、請求、電子契約のサービス
- 保守サポート、クラウドサービスの通知
- 販売代理店や外部委託先が使う配信サービス
これらを把握しないままDMARCを厳格化すると、正規メールまで届きにくくなるおそれがあります。設定は「レコードをコピーして終わり」ではなく、実際に誰が自社ドメインで送信しているかを確認して進めることが重要です。
導入は段階的に進める
- 自社ドメインからメールを送るサービスを洗い出す
- SPFとDKIMを設定する
- DMARCを監視モードで開始し、レポートを確認する
- 問題のある送信元を修正する
- 隔離、拒否へと段階的に強化する
DMARCの最初の設定として使われる p=none は、失敗メールを直ちに止めるのではなく、まず状況を把握するための監視モードです。レポートで正規メールの送信元を確認した後、quarantine、rejectへ段階的に進めます。Googleも、監視後に少量から隔離ポリシーへ移行する段階的な導入を案内しています。
5分セルフチェック
- 自社ドメインのSPF設定を把握している
- DKIM署名を有効にしている
- DMARCを設定している
- DMARCのポリシーが監視だけで終わっていない
- 問い合わせフォームや配信サービスなど、全ての送信元を把握している
- DMARCレポートを定期的に確認している
- 退職者・旧サービス・使われていない送信設定を見直している
AIGISのメールセキュリティ診断では
AIGISでは、外部から確認できるDNS設定と、組織内でしか分からない運用状況を分けて確認します。
外部から確認できる項目
- SPF、DKIM、DMARCの公開状況
- DMARCポリシーが
none、quarantine、rejectのどれか - DMARCレポートの受信先
- サブドメインの保護状況
組織内で確認する項目
- 外部配信サービスを含む送信元の棚卸し
- 正規メールが失敗していないかの確認
- DMARCレポートの確認頻度と担当者
- サービス追加・廃止時にDNS設定を見直す手順
重要な注意点
SPF・DKIM・DMARCは、なりすましメールを減らすための重要な対策です。しかし、正規のメールアカウントが乗っ取られた場合や、似たドメインを使う詐欺メールまで、これだけで防げるわけではありません。
多要素認証、怪しいリンクへの注意、転送ルールの監視、休眠アカウントの管理と組み合わせて、メール全体を守る必要があります。
メールの「見た目」ではなく、送信元ドメインを正しく使う仕組みを整える。
それが、なりすましメール対策の第一歩です。