本文
エレノア代表の豊島と申します。
自社のメールアドレスを名乗る偽のメールが、取引先や顧客に送られていないか、確認されたことはございますか？
メールの送信者の欄は、誰でも自由に書き換えられます。本記事では、自社のドメインをなりすましに使われないための設定と確認の方法を、公的機関の資料を基にご紹介いたします。
本記事の内容
- なりすましメールの現状
- SPF・DKIM・DMARCの役割
- 設定の確認方法と、段階的な導入の手順
なりすましメールの現状
フィッシング対策協議会の2026年9月の報告では、フィッシングの報告は94,661件でした。前月から約15.0%の増加です。このうち約37.8%は、実在するサービスのメールアドレスを送信者として名乗るメールでした。
同協議会は、DMARCのポリシーをreject（受信拒否）にする計画を立てるよう、規模を問わず事業者に求めています。
中小企業でも、設定の不備は少なくありません。IPAが2026年3月に公表した事例集によると、診断した126社のうち112社で、なりすまし対策の設定が不十分でした。
SPF・DKIM・DMARCの役割
なりすましを防ぐ設定は、「送信ドメイン認証」と呼ばれます。主な仕組みは次の3つで、いずれもドメインのDNS（ドメインの設定情報）に登録します。
| 名称 | 確認すること |
|---|---|
| SPF | 送信したサーバーが、そのドメインの送信を許可されたサーバーか |
| DKIM | メールに付けた電子署名が正しく、途中で改ざんされていないか |
| DMARC | SPFかDKIMの結果が送信者の欄のドメインと一致するか、失敗したメールをどう扱うか |
SPFとDKIMだけでは、失敗したメールを受け取った側がどう扱うかは決まりません。DMARCを設定すると、失敗したメールの扱いを、ドメインの持ち主が受信側に伝えられます。
DMARCのポリシーと、段階的な導入の手順
DMARCでは、認証に失敗したメールの扱いを、次の3つのポリシーから選びます。
| ポリシー | 失敗したメールの扱い |
|---|---|
| none | 通常どおり届ける（結果の報告だけを受け取る） |
| quarantine | 迷惑メールのフォルダに振り分ける |
| reject | 受信を拒否する |
総務省のガイドライン案は、noneから始める手順を勧めています。認証の結果を確認しながら、quarantine、rejectと強めていきます。いきなりrejectにすると、設定から漏れた正規のメールまで届かなくなるおそれがあるためです。
noneの段階では、報告（DMARCレポート）の送り先を必ず指定します。報告を読むと、自社のドメインで送られているメールの送信元を把握できます。
総務省の統計では、2026年6月末時点で、co.jpのドメインのうちDMARCを設定しているのは約38%でした。そのうち約85%がnoneのままです。
自社のドメインの設定の確認方法
最も簡単な確認の方法は、自社のアドレスからGmailなどの個人のアドレスにメールを送ることです。Gmailのヘルプでは、送信者の名前の下の詳細に「署名元」としてドメインが表示されれば、認証されていると案内しています。「メッセージのソースを表示」を開くと、SPF・DKIM・DMARCの結果も確認できます。
3つの結果が「PASS」であれば、設定は機能しています。「FAIL」や「NONE」が表示される場合は、メールを送るサービスや、ドメインを管理する会社に設定を確認します。
設定の際の注意点
メールを送る仕組みが複数ある会社は、すべての送信元を設定に含める必要がございます。たとえば、次のような送信元です。
- 社員が使うメールのサービス
- ホームページの問い合わせフォームの自動返信
- メールマガジンの配信サービス
- 予約や決済のサービスが自社の名前で送る通知
SPFの設定には、DNSを参照する回数に10回までの上限がございます。送信元を足し続けると上限を超え、SPFの確認が失敗します。また、SPFの設定を2つに分けて登録すると、エラーとなります。
よくある質問
メールを送っていないドメインにも、設定は必要ですか？
必要です。メールを送らないドメインも、なりすましに使われるおそれがございます。総務省のガイドライン案では、メールに使わないドメインにも、rejectのDMARCを設定するよう求めています。
DMARCに合格したメールは、安全なメールですか？
そうとは限りません。DMARCは、送信者の欄のドメインが本物かどうかを確認する仕組みです。詐欺を目的に取得されたドメインでも、設定さえすれば合格します。リンク先やドメイン名そのものの確認も必要です。
まとめ
- 実在するサービスのメールアドレスを名乗るフィッシングメールは、2026年9月の報告の約4割でした
- SPF・DKIM・DMARCを設定すると、自社のドメインを名乗る偽のメールを受信側で拒否できます
- DMARCはnoneから始め、報告を確認しながらquarantine、rejectと段階的に強めます
本記事は、2026年10月22日時点の公的機関の資料を基にした一般的な情報です。メールの設定の詳細は、ご利用のメールのサービスの案内をご確認ください。ホームページの制作と、公開後の保守のご相談は、お問い合わせからお気軽にご連絡ください。