なりすましメール対策 SPF・DKIM・DMARC入門 — 自社ドメインを守る設定と費用

SPF・DKIM・DMARCは、自社のドメイン名を勝手に名乗った偽メールを、受け取り側で止めてもらうための設定である。DNSにレコードを追加する作業が中心で、多くの中小企業では実費ゼロ〜数万円の範囲で対応できる。それにもかかわらず未設定・設定不十分のまま放置されている会社は多く、取引先に自社名義の偽請求メールが届いて初めて気づく、というのが典型的な発覚の仕方である。

メールの送信者欄（From）は、送る側が自由に書ける。何も対策していないドメインは、第三者が「@自社ドメイン」を名乗って送信できてしまう。被害はメールを受け取った相手側で発生するため、自社のパソコンがウイルスに感染していなくても起こり得る点が厄介である。

- 偽の請求書・振込先変更メール: 取引先が偽の口座に送金してしまう
- 社長を名乗る指示メール: 経理担当が至急の送金や情報送付を指示される
- 自社ドメイン発の迷惑メール大量送信: 取引先のメールサーバーで自社ドメインが拒否リスト入りし、正規のメールも届かなくなる
- 取引先からの問い合わせ対応コスト: 「このメールは御社からのものか」という確認対応に人手が取られる

特に3つ目は事業への影響が大きい。いったん自社ドメインの評価が下がると、見積書も注文書も相手に届かなくなる。メールが届かない・送れないときの切り分け手順は会社のメールが届かない・送れないときの初動にまとめている。

3つはセットで機能する。SPFとDKIMが「正しい送信かどうかを判定する材料」、DMARCが「判定に失敗したメールをどう扱うかの指示と報告」だと理解すると整理しやすい。

よくある誤解が「SPFだけ設定してあるから大丈夫」というものである。SPFのみの状態では、受け取り側が偽メールを拒否する明確な根拠を持てない。3つを揃えて初めて「偽物は捨ててよい」と受信側に伝えられる。

DMARCには、検証に失敗したメールの扱いを指定する3段階のポリシーがある。いきなり最も厳しい設定にすると、自社の正規メール（メール配信サービスや業務システムからの通知など）まで止まる事故が起きるため、段階的に上げるのが定石である。

noneのまま何年も放置されている例は非常に多い。noneは「様子を見る」設定であって、なりすましを止める効果はない。最終的にrejectまで上げて初めて対策として完成することを、担当者・委託先と共有しておきたい。

主要なメール事業者は2024年以降、一定量以上を送信する送信者に対してSPF・DKIM・DMARCの設定を要件化する方向に動いてきた。メールマガジンや予約通知を送っている会社は、未対応だと配信そのものが届かなくなるリスクがある。少量の業務メールしか送らない会社でも、受信側のフィルタが年々厳しくなるため、設定済みであることが前提の扱いに近づいている。

- 1. 誰が自社ドメイン名義でメールを送っているかを洗い出す: 社内のメール（Microsoft 365 / Google Workspace など）、問い合わせフォームの自動返信、メール配信サービス、請求・予約システム、会計事務所や制作会社の代理送信まで含めて一覧化する
- 2. DNSの現状を確認する: 現在のSPF・DKIM・DMARCレコードの有無と内容を確認する。DNSの管理権限がどこにあるか（ドメイン取得業者・サーバー会社・制作会社）も同時に確認する
- 3. DMARCレポートの受信先を用意する: 集計レポートを受け取るメールアドレスを決める。専用のアドレスかレポート解析サービスを使い、通常業務のメールボックスに混ぜない

1で漏れが出ると、後でポリシーを厳しくしたときに正規メールが止まる。ここが実質的に最も手間のかかる工程である。ドメイン・DNSの管理アカウントの所在把握については会社のアカウント・パスワード管理と多要素認証でも触れている。

全体で3〜4か月みておくと無理がない。急いでrejectにするより、noneの期間にレポートを読んで送信元を正確に把握するほうが、結果的に事故が少ない。

レコードを1回書くだけなら費用はほぼかからない。コストが発生するのは送信元の棚卸しと、noneからrejectへ上げる期間のレポート確認の部分である。見積もりを取る際は「設定作業のみか、reject移行まで伴走するのか」を明確に分けて依頼したい。

- SPFレコードを2つ書いてしまう: 1ドメインにSPFのTXTレコードは1つだけ。追加時は既存レコードに追記する
- メール配信サービスを追加したのに設定を更新しない: 新しい送信元を使い始めたら必ずSPF/DKIMを更新する運用にする
- noneのまま放置: 報告は届くが誰も読んでいない。レポートの確認担当と頻度を決める
- DNS管理権限の所在が不明: 退職者の個人アカウントや連絡の取れない業者が管理しており、そもそも変更できない
- 転送メールで検証が失敗する: 別アドレスへの自動転送はSPF検証に失敗しやすい。DKIMが有効なら通ることが多いので、DKIMの整備を優先する

- 自社ドメインのDNSを誰が管理しているか把握しているか
- 自社ドメイン名義でメールを送る送信元をすべて一覧化したか（外部委託先の代理送信を含む）
- SPFレコードが1つだけ存在し、全送信元を含んでいるか
- 主要な送信元でDKIM署名が有効になっているか
- DMARCレコードを設定し、レポートの受信先を決めたか
- レポートを確認する担当者と頻度を決めたか
- quarantine・rejectへ引き上げる時期を計画に入れたか
- 新しいメール配信サービスを追加する際に設定を見直す運用になっているか
- 取引先から偽メールの連絡が来たときの対応窓口を決めてあるか（中小企業のITリスク対策 完全ガイド）

SPF・DKIM・DMARCは、費用ではなく段取りで決まる対策である。難所は設定そのものではなく、自社ドメイン名義でメールを送っている送信元をすべて洗い出すこと、そしてnoneで止めずにrejectまで引き上げきることの2点にある。まずはDNSの管理権限がどこにあるかを確認し、送信元の一覧を1枚の表にするところから始めたい。セキュリティ対策全体の優先順位は中小企業のセキュリティ 最初の一歩で整理している。