会社のメールのなりすまし対策｜SPF・DKIM・DMARCの設定
取引先から「御社の名前で、見覚えのない請求のメールが届いた」と連絡が来る。自社のドメインをかたる「なりすましメール」は、大きな会社だけの話ではありません。メールの送り主の欄は、仕組みの上では誰でも書き換えられるため、何も設定していないドメインは名前を使われやすくなります。
この記事では、自社のドメインのなりすましを防ぐ SPF・DKIM・DMARC の3つの設定の仕組みと、中小企業が設定する順番をまとめます。2024年2月から始まった Gmail と Yahoo の送信者の要件、なりすまされてしまったときの届け先もあわせて説明します。
なりすましメールで起きること
なりすましメールは、自社の名前とアドレスを使って、取引先やお客様に送られます。
- 振込先の変更や、偽の請求書を装って、お金をだまし取ろうとする
- 偽のログインの画面に誘い、パスワードやカードの番号を盗もうとする
- ウイルスの入った添付ファイルを開かせようとする
被害を受けるのは受け取った相手ですが、使われた名前は自社のものです。取引先から信用を失うことにもなりかねません。もう一つ見落とされやすいのが、反対の問題です。自社が何も設定していないと、自社が送った本物のメールが、相手の迷惑メールのフォルダに入りやすくなります。
SPF・DKIM・DMARC とは
3つとも、ドメインの DNS（ドメインの行き先や設定を書いておく場所）に情報を書いておき、受け取る側のメールのサーバーがそれを見て確かめる仕組みです。
| 設定 | 何を確かめるか | 例えると |
|---|---|---|
| SPF | 送ってきたサーバーが、そのドメインのメールを送ってよいサーバーとして登録されているか | 社員の名簿に、出入りの業者が載っているか |
| DKIM | メールに付いた電子署名が、そのドメインの鍵で付けられたものか。途中で書き換えられていないか | 封筒の封印が本物で、開けられていないか |
| DMARC | SPF か DKIM の確認に合格しなかったメールを、どう扱ってほしいか。結果の報告をどこへ送るか | 封印の無い手紙は受け取らないでください、という申し入れ |
迷惑メール相談センター（日本データ通信協会）の説明では、SPF は送信側があらかじめメールのサーバーの IP アドレスを DNS に登録し、受信側が送信者の名乗るドメインと IP アドレスを比べて詐称の有無を判定する方式です。DKIM は、送信側が DNS に公開鍵を登録し、送るときに秘密鍵で電子署名を付け、受信側が公開鍵で署名を確かめて改ざんの有無を判定する方式です。
DMARC の扱いの指定（ポリシー）は3つあります。Google のヘルプの説明では次のとおりです。
| ポリシー | 合格しなかったメールの扱い |
|---|---|
| none | 届ける。報告に記録するだけ |
| quarantine | 迷惑メールとして扱う |
| reject | 受け取らない |
Gmail と Yahoo の送信者の要件
2024年2月から、Google と米国の Yahoo は、メールを送る側に認証の設定を求めるようになりました。2026年10月時点の Google の「メール送信者のガイドライン」の要点は次のとおりです。
| 対象 | 求められること |
|---|---|
| すべての送信者 | SPF か DKIM を設定する。迷惑メールとしての報告の率を0.3%未満に保つ。暗号化した通信（TLS）で送る。正しい DNS の設定 |
| 1日に5,000件以上送る送信者 | 上に加えて、SPF と DKIM の両方、DMARC の設定（ポリシーは none でもよい）、送り主のアドレスのドメインを SPF か DKIM のドメインとそろえる、宣伝のメールにワンクリックの配信停止を付ける |
Google のよくある質問では、同じドメイン（サブドメインを含む）から送ったメールは合わせて数えること、一度でも5,000件の条件を満たすとその後もずっと大量送信者として扱われることが書かれています。2025年11月からは、要件を満たさないメールへの対応を強めているとも案内されています。Yahoo も、2024年2月から同じような要件（大量に送る場合は SPF と DKIM、DMARC は p=none 以上）を求めています。
ふだんの業務のメールだけなら、5,000件に届く会社は多くありません。ただし、メールマガジンや一斉のお知らせを同じドメインで送っている場合は、合計で条件に当たることがあります。
中小企業が設定する順番
1. 自社のドメインで送っているものを洗い出す
いちばん大切で、いちばん漏れやすいのがここです。社員のメールだけでなく、次のようなものも自社のアドレスで送っていることがあります。
- ホームページの問い合わせフォームの自動返信
- 請求書や見積書を送るサービス
- メールマガジンや一斉配信のサービス
- 予約やネットショップのシステムの通知
- 複合機のスキャンの送信
洗い出したすべての送り元が、SPF か DKIM のどちらかに合格するようにします。
2. SPF を設定する
DNS に、自社のドメインのメールを送ってよいサーバーを書いた TXT レコードを入れます。メールのサービスや配信のサービスが、入れる値を案内しています。**SPF のレコードは1つのドメインに1つにまとめます。**サービスごとに別のレコードを足すと、正しく判定されなくなります。
3. DKIM を設定する
メールのサービスの管理画面で DKIM の鍵を作り、示された値を DNS に入れて、署名を有効にします。配信のサービスなど、自社のアドレスで送るほかのサービスも、それぞれ DKIM の設定ができるかを確かめます。
4. DMARC を「none」で始める
Google のヘルプでは、SPF や DKIM を設定してから DMARC を設定するまでに48時間の間隔を空けること、最初はポリシーを none にすることを勧めています。DMARC のレコードには、結果の報告を受け取るアドレスを書いておきます。報告は数が多くなることがあるので、Google のヘルプは、報告を受けるためのグループや専用の受信箱を作るよう勧めています。
5. 報告を見て、段階的に強める
報告を見ると、自社のドメインを名乗って送られたメールと、その合否が分かります。合格していない送り元が自社のサービスなら、設定を直します。自社に覚えのない送り元なら、なりすましです。自社の送り元がすべて合格するようになったら、quarantine、reject の順に強めます。
報告は専門的な形式なので、読み取るのが難しければ、メールのサービスの機能や、報告をまとめる外部のサービスを使うか、制作会社や保守の会社に頼みます。
なりすまされたときの対応
- 取引先とお客様に知らせる：ホームページのお知らせやメールで、「当社をかたるメールにご注意ください。振込先の変更をメールだけでお願いすることはありません」のように、見分け方と一緒に伝える
- 届いたメールを保存する：送り主の欄、本文、届いた日時
- フィッシング対策協議会に報告する：偽のログインの画面などに誘うメールなら、協議会の報告の窓口に転送できます
- 相談する：IPA（情報処理推進機構）の「情報セキュリティ安心相談窓口」は、個人と中小企業の技術的な相談を受け付けています。お金をだまし取られた、などの被害があるときは、警察のサイバー事案の相談窓口（都道府県警察。オンラインの受付もあります）に相談します
- DMARC を見直す：none のままなら、報告を見ながら強める準備を進める
チェックリスト
- 自社のドメインで送っているサービスをすべて書き出した
- SPF のレコードは1つにまとまっている
- 社員のメールと各サービスで DKIM の署名が有効になっている
- DMARC を none で設定し、報告を受けるアドレスを決めた
- 報告を見る担当と、ポリシーを強める時期を決めた
- DNS の管理画面に、会社として入れる
会社のメールをまだ独自ドメインにしていない場合は、会社のメールを独自ドメインにする方法から始めてください。DNS の設定は、ホームページの表示と同じ場所にあるので、サイトの管理を頼んでいる会社がある場合は、作業の前に分担を決めます（ホームページ保守契約で確認すること）。改ざんなどサイトそのものの守りはホームページの改ざん対策にまとめています。
Lapisデザインラボの月額サービスでは、サーバーとドメインの契約の管理をお引き受けしています。内容はサイト保守・更新をご覧ください。
よくある質問
SPF・DKIM・DMARC は、それぞれ何をする設定ですか。
SPF は、自社のドメインのメールを送ってよいサーバーを DNS に書いておき、受け取る側が照らし合わせる仕組みです。DKIM は、送るメールに電子署名を付け、受け取る側が DNS の公開鍵で、送り主と改ざんの有無を確かめる仕組みです。DMARC は、SPF や DKIM の確認に合格しなかったメールを、受け取る側にどう扱ってほしいか（そのまま届ける、迷惑メールにする、受け取らない）を伝え、その結果の報告を受け取る仕組みです。
1日に送るメールが少ない会社にも、Gmail の送信者ガイドラインは関係ありますか。
関係があります。Google のガイドラインでは、2024年2月以降、Gmail の個人のアカウントにメールを送るすべての送信者に、SPF か DKIM の設定を求めています。1日に5,000件以上送る送信者には、SPF と DKIM の両方、DMARC の設定、ワンクリックでの配信停止などが追加で求められます。
DMARC は、最初から「拒否」に設定してよいですか。
避けたほうが安全です。Google のヘルプでは、DMARC は「none」（何もしないで報告だけ受け取る）から始め、認証の状況を把握してから段階的に強めることを勧めています。自社のドメインで送っているサービスを洗い出しきれていないうちに拒否にすると、正しいメールまで届かなくなるおそれがあります。