この記事の要点
- なりすましメールとは、他人の名前やドメインを騙って送られる偽のメールです。
- 自社ドメインの対策の中心は、SPF・DKIM・DMARCの設定と、DMARCポリシーの段階的な強化です。
- 技術対策に加え、監視と社内の確認ルールも組み合わせます。
- すべてを一度に変えず、レポートを見ながら少しずつ進めます。
自社ドメインのなりすましメール対策とは、第三者が自社のドメインを騙って偽のメールを送れないようにする取り組みです。中心になるのは、SPF・DKIM・DMARCの設定と、DMARCのポリシーを段階的に厳しくすることです。それに加えて、レポートの監視と、社内の確認ルールを組み合わせることで、効果が安定します。
なりすましメールで何が困るのですか?
自社の名前で偽のメールが出回ると、被害を受けるのはお客さまや取引先であり、信用を失うのは自社です。
- 偽の請求書や振込先変更の連絡が、取引先に届く。
- 偽のログイン画面へ誘導するメールが、お客さまに届く。
- 自社の本物のメールまで、疑われて迷惑メール扱いされる。
送信元の表示名は誰でも自由に書き換えられるため、見た目だけで本物かを判断するのは困難です。
どんな対策が有効ですか?
有効な対策は、層で考えると整理しやすくなります。
| 層 | 内容 |
|---|---|
| 認証 | SPF・DKIM・DMARCを設定する |
| ポリシー | DMARCをnone、quarantine、rejectの順に強化する |
| 監視 | DMARCレポートで不審な送信を見つける |
| 運用 | 送信元の整理、社内の確認ルール、教育 |
どの順番で進めればよいですか?
順番は、洗い出し、認証設定、監視、強化です。
- 自社ドメインでメールを送っている場所をすべて洗い出す。
- SPFとDKIMを設定し、正規の送信元が認証に通るようにする。
- DMARCを「p=none」で設定し、レポートを受け取る。
- レポートで、正規の送信がすべて通っていると確認する。
- 「quarantine」へ引き上げ、問題がなければ「reject」へ進める。
rejectにすると、認証に失敗した偽のメールは受信側で拒否されやすくなります。ただし正規の送信元が漏れていると、正規のメールも拒否されるため、手順3と4を省かないことが重要です。
技術以外にできることは?
技術対策だけでは、似たドメインを使った偽装(紛らわしい別ドメイン)までは防げません。そこで運用面の対策を加えます。
- お金や重要情報に関わる依頼は、別の手段で確認する。
- 不審なメールの報告先を、社内で決めておく。
- 送信元の表示名だけで判断せず、アドレス全体を見る習慣をつける。
- 取引先にも、自社の正規の連絡方法を周知する。
スタイルチューンができること
スタイルチューンは、物流会社さまの安全対策の一つとして、なりすましメール対策を進めてきました。観光業を含む中小企業さまでも、SPF・DKIM・DMARCの設定、送信元アドレスを実在ドメインにそろえる整理などを、サーバー保守の一部として行っています。DNSの管理から、本番のメールを止めない順序での変更、その後の確認までを一貫して担当します。事業の全体像はサービス紹介にまとめています。
自社のドメインが悪用されていないか不安なときは、お問い合わせフォームからご相談ください。