なりすまし（スプーフィング）

なりすまし（スプーフィング）とは

なりすまし（スプーフィング）とは、実際には別の場所から発信されているメールを、信頼できる送信元から来たように見せかける行為です。攻撃者はなりすましを利用してブランド、同僚、サービスプロバイダーを装い、受信者をだまして認証情報を開示させたり、送金させたり、悪意のある添付ファイルを開かせたりします。なりすましメールはメールへの信頼を損なうものであり、フィッシングやビジネスメール詐欺攻撃で一般的に使われる手口です。

なりすましにはさまざまな形態があります。表示上のFromアドレスの改ざん、SMTPで使われるエンベロープ送信者の偽造、実在のブランドを視覚的に模倣した類似ドメインからの送信などです。メールの表示名は簡単に改ざんでき、一部のメールシステムは認証を厳格に適用していないため、適切な認証が導入されていない限り、なりすましメッセージはざっと見ただけでは見抜けないことがあります。

なりすましの手口

攻撃者は、メールがどのように表示・検証されるかにおける弱点を利用します。よくあるなりすましの手法は次のとおりです。

• メッセージが正当なアドレスから届いたように見せるためのFromヘッダーの偽造
• 実在のドメインに似せたカズンドメインや同形異義字（ホモグリフ）ドメインの使用（例：example-com と example.com）
• サードパーティの送信者やマーケティングプラットフォームを侵害し、そのレピュテーションを引き継いだメールを送信する
• 無料のウェブメールサービスから送信しつつ、表示名を信頼できるブランドに設定する
• バウンス処理や配信診断を操作するためのエンベロープ送信者（Return-Path）の改ざん

技術的には、なりすましは、SMTPがデフォルトでは強力な身元の証明を要求しないという事実を悪用します。SPF、DKIM、DMARCが設定・適用されていなければ、受信者が本物のメッセージと偽物を区別する手段は限られてしまいます。

セキュリティと到達性への影響

なりすましメッセージは、多くの場合、直接的な損失と長期的なブランドの毀損につながります。典型的な影響は次のとおりです。

• フィッシングの成功に続く認証情報の窃取とアカウント乗っ取り
• 偽装された請求書や支払い要求による金銭的な詐欺
• ブランド名で不正なコミュニケーションを受け取った受信者による顧客の不信
• スパムやフィッシングの苦情率の上昇により、正当なメールの受信トレイ到達が低下する
• 機密性の高い顧客データが開示された場合の規制上のリスク

なりすましが一部の受信者だけを標的にした場合でも、レピュテーションへの影響やサポートコストは大きくなり得ます。メールボックスプロバイダーは、よくなりすましの対象となるドメインを次第に慎重に扱うようになり、認証やブランド保護が改善されるまで到達性を損なうことがあります。

検出と防止の戦略

なりすましに対する効果的な防御は、技術的な対策、運用上の実践、ユーザー教育を組み合わせたものです。

• 正当な送信元IPを認可するSPFレコードを公開・維持する
• DKIMでメッセージに署名し、鍵が有効で定期的にローテーションされていることを確認する
• アライメントを伴うDMARCを導入し、トラフィックの検証が済んだら隔離または拒否へ移行する
• DMARC集約レポート（rua）を監視し、認可されていない送信者や類似ドメインを発見する
• リスクの高いカズンドメインを登録し、悪用を防ぐために防御的に設定する
• 対応している環境では、認証済みメッセージの視覚的な信頼性を高めるためにBIMIを使用する
• 認証情報や支払いの要求を別のチャネルで確認するよう、従業員と顧客に教育する
• サードパーティのベンダーと連携し、その送信インフラが自社ドメインのポリシーと整合するようにする

まず監視モードでDMARCを展開すると、厳格なポリシーを適用する前に正当な送信元を把握するのに役立ちます。DNSレコード、鍵の健全性、ベンダーリストを定期的に監査することで、適用後に設定ミスが正当なメールをブロックしてしまう可能性を減らせます。

なりすましとDMARCeye

DMARCeyeは、認証データを集約して、メールボックスプロバイダー全体にわたるなりすましの試みや認可されていない送信者を明らかにします。このプラットフォームは、SPF、DKIM、DMARCの結果を送信元IP、ASN、ドメインと関連付け、なりすましのパターンやリスクの高いトラフィックを浮かび上がらせます。

DMARCeyeは、整合していない署名、欠落しているSPFのinclude、ブランドをさらすことになる類似ドメインを浮き彫りにします。実用的なレポートと推奨される是正手順により、チームは不正利用を素早く遮断し、ポリシーを強化し、ブランドコミュニケーションへの信頼を回復できます。

ご自身のドメインの保護状況が気になりますか？無料でDMARCをチェックしましょう：

DMARCeyeの無料トライアルに登録して、メールドメインを保護しましょう。

DMARCおよび関連用語について詳しくは、DMARCeye用語集をご覧ください。