なりすましは、デジタル詐欺で最も古くから使われ、最も根強い手口の一つですが、一目で見破るのが最も難しい手口の一つです。
簡単に言うと、なりすましとは、攻撃者が自分の身元を偽り、メッセージやウェブサイト、電話を信頼できる発信元からのもののように見せかけることです。その目的は、受信者を欺き、偽りの行動（リンクのクリック、情報の開示、送金など）を取らせることです。
なりすましにはさまざまな形態がありますが、最も被害が大きいのは、攻撃者がドメイン名や送信者アドレスを偽造して組織になりすますEメールのなりすましです。
この記事では、なりすましの仕組み、なりすましメールが特に危険な理由、なりすましを検知して阻止するための対策について説明します。
なりすまし」という言葉には、デジタルチャネルを欺くいくつかの種類があります。これらのカテゴリーを理解することで、それらが互いにどのように関連しているのか、またなぜメールが最も一般的な攻撃手段であるのかを理解することができます。
攻撃者は、メールの「差出人」アドレスを偽造し、正規のドメイン（多くの場合、ブランド、サプライヤー、同僚）から送信されているように見せかけます。メッセージには、フィッシングリンクやマルウェアをインストールする添付ファイルが含まれている場合があります。
犯罪者は、本物のウェブサイトと同じように見える偽のウェブサイトを登録し（例えば、キリル文字の「a」が付いた「yourbаnk.com」）、ユーザーをおびき寄せ、認証情報や支払い情報を入力させます。
電話を使った詐欺で、攻撃者が発信者番号を操作し、信頼できる番号（銀行や役所など）を表示させます。
ネットワーク・データを改ざんする技術的な攻撃で、分散型サービス拒否（DDoS）攻撃やサーバー間の接続を乗っ取るために使われることが多い。
これらはすべて、被害者の信頼を得るのに十分な時間、他人のふりをするという同じ原理に依存している。
電子メールなりすましは、従来の電子メール・システムが送信者の身元を確認するために構築されていなかったことを利用します。サイバー犯罪者は、電子メールのヘッダー内の特定のフィールドを編集することで、あたかも正当なドメインからのメッセージであるかのように見せかけることができます。
簡単に説明すると、次のようになる：
適切な認証がなければ、ほとんどのメールシステムは正当な送信者となりすましの区別がつきません。
だからこそ、SPF、DKIM、DMARCのような認証プロトコルが開発されたのです。SPF、DKIM、DMARCのような認証プロトコルが開発されたのはそのためです。これらのプロトコルは、メッセージが実際に承認されたサーバーから送信されたものかどうか、ドメイン名の使用が許可されているかどうかを検証します。
なりすましの実社会への影響
なりすましメールは技術的な問題だけでなく、風評被害にもつながります。攻撃者が御社のドメインから詐欺メールを送信すると、顧客、パートナー、そして世間はたちまち信頼を失います。 一般的な影響には以下が含まれます：
特に金融、保険、教育、政府機関など、権威と機密性が重要な分野では、たった1回のなりすましキャンペーンでも、長年にわたるブランドの信頼を台無しにしてしまう可能性があります。幸いなことに、なりすましインシデントが発生した後でも、回復するための対策があります。
なりすましメールの多くは、目視で確認できるほど本物らしく見えます。それでも、注意すべき手がかりはあります：
質問このスクリーンショットのメールは、悪意のあるなりすましメールです。どうすれば見分けられますか？
答え送信者アドレスを見てください。明らかにメタからのものではありません！
技術的な観点からは、認証結果のメールヘッダーをチェックすることもできます。次のような行を探してください：
Authentication-Results: dmarc=fail (p=reject) header.from=yourdomain.com のような行を探してください。DMARCが失敗した場合、メッセージはなりすましの可能性が高い。DMARCがどのようになりすまし攻撃を阻止するかについての詳細な内訳は、ガイドをお読みください：DMARCでなりすましメールとフィッシング攻撃を阻止する方法。
なりすましを防ぐには、技術的なコントロールとユーザーの意識を組み合わせる必要があります。
これら3つのDNSレコードは、メール認証のバックボーンを形成します：
一度設定すれば、これらは不正使用からお客様のドメインを保護し、メールボックスプロバイダにお客様のメールが本物であることを明確にします。
特にDMARCを有効にする方法については、DMARC有効化ガイドをご覧ください。
DMARCは、お客様のドメインを使用してメールを送信しているサーバーと、それらのメッセージのパフォーマンスを示すレポートを毎日生成します。これらを監視することで、不正な送信者を検出し、"なし "から "拒否 "に安全に移行することができます。
DMARC集計レポートの読み方ガイドを参照してください。
技術的な保護は戦いの半分に過ぎません。定期的なフィッシング・シミュレーションとセキュリティ意識向上トレーニングを実施することで、従業員はクリックする前に赤信号に気づくことができます。
マーケティングとオートメーションのプラットフォームがDKIMとDMARCをサポートしていることを確認する。サードパーティツールの設定ミスは、最も一般的な弱点の1つです。
なりすましは、顧客、従業員、パートナーとのコミュニケーションにEメールを利用しているあらゆる業種に影響を及ぼしますが、そのリスクや攻撃パターンは業種によって大きく異なります。それぞれの環境でスプーフィングがどのように発生しているかを理解することで、技術的な防御と意識向上トレーニングの両方を調整することができます。
金融機関は、攻撃者がすぐに金銭や個人情報にアクセスできるため、なりすましの最重要ターゲットの1つです。
銀行やフィンテック企業にとって、なりすましメールはすべて評判を落とすことになる。詳しくはフィッシング・メールの検知方法をご覧ください：金融機関向けガイド
保険におけるなりすましは、しばしば信頼とタイミングを悪用します。攻撃者は偽の保険契約更新、更新通知、保険金請求通知などを送りつけ、ユーザーにログインや文書の共有を促します。
保険会社は機密性の高い顧客データを取り扱っているため、なりすましが1件でも成功すると、コンプライアンス調査や長期的なレピュテーションの低下につながる可能性があります。詳しくは Email Spoofing How Impacts Customer Trust in Insuranceをご覧ください。
学校、大学、研究機関がなりすまし攻撃の標的になるケースが増えています。
強力なDMARCポリシーは、公式な通信を保護し、大規模で分散化されたシステム全体のデジタルトラストを維持するのに役立ちます。詳しくは、「 学校および大学におけるなりすましメールの防止方法」をご覧ください。
政府機関におけるなりすまし攻撃は、国民の信頼を損なうため、特に深刻です。
DMARCは、市民が公式メッセージが本物であり、改ざんされていないことを確認するのに役立つため、公共部門でDMARCの採用が増加しています。
詳しくは、政府機関におけるフィッシング攻撃を防止する効果的な 戦略をご覧ください。
小売業におけるなりすまし攻撃は、取引メールにおける顧客の信頼を悪用することに焦点を当てています。
eコマース事業者にとって、配信可能性とドメインのレピュテーションは収益に直接影響します。なりすましが原因で正規のメッセージがスパムに届くようになると、コンバージョン率は即座に 低下します。 具体的な防止策については、Eコマースにおけるフィッシングメールの検知方法（ ）をご覧 ください。
どの業界でも共通する のは信頼です。本物そっくりのメールが信用 できないと、人間関係が悪化します。SPF、DKIM、DMARCを使用してお客様のドメインを保護することで、お客様のメッセージがどこに届いたとしても、確実にお客様のものであることが保証されます。
DMARCを実装したら、次の課題は、特に複数のドメインやシステム間でDMARCを維持することです。
DMARCeyeは、複雑なXMLデータを明確なビジュアルレポートに変換することで、このプロセスをシンプルにします。以下のことが可能です：
DMARCeyeは、防止、監視、継続的な保護のループを閉じることで、ドメインのレピュテーションを保護することができます。
今すぐDMARCeyeの無料トライアルをダウンロードして、メールドメインの保護を開始しましょう。