TL;DR 今すぐやる「なりすまし対策」チェックリスト
忙しい方向けに、まずはここだけ確認してください。 上から順に潰すと、被害の確率が大きく下がります。
- 社内の送信元を統一：個人Gmail/フリーメールから業務メールを送らない（公式ドメイン固定）。
- SPF：送信元サーバー（IP/サービス）をDNSに登録し、正当な送信を証明する。
- DKIM：送信メールに署名を付けて、改ざん・なりすましを判定しやすくする。
- DMARC：まず p=none（監視） → 問題なければ quarantine（隔離） → 最終的に reject（拒否） を目標に。
- 外部メールの警告表示：件名や本文の上に「外部からのメール」表示を出す設定を有効化。
- ルール化：金銭・パスワード・至急・添付ファイル ＝ 別手段で確認（電話/チャット/対面）。
- 報告窓口を決める：怪しいメールは「転送して相談」→ 社内で削除・注意喚起まで一気通貫。
※「送信者名（表示名）」は誰でも偽装できます。大事なのは
ドメイン側（SPF/DKIM/DMARC）で“通さない仕組み”を作ることです。
この7項目が整っていない状態では、どれだけ注意喚起しても防ぎきれません。
なりすましメールについて多くの企業が誤解していることと、本当に止める方法
今日、少し居心地の悪い出来事がありました。
私のパートナーのもとに、
私から送られたように見えるメールが届いたのです。
名前は正しい。
会社名も正しい。
文面も、ごく普通で丁寧なものでした。
しかし、私はそのメールを送っていませんでした。
事業をされている方であれば、
このような話を聞いたことがあるか、
あるいは「いつか起きるかもしれない」と
どこかで感じたことがあるかもしれません。
この話をすると、ほぼ必ず聞かれます。
「メールがハッキングされたんですか？」
私たちのケースでは、違います。
そして、この違いは多くの人が思っている以上に重要です。
会社メールの信頼性、DNS認証までまとめて確認します。
SPF・DKIM・DMARCの設定が不十分だと、会社メールが迷惑メール扱いされたり、なりすましに悪用されるリスクがあります。 Google Workspaceや独自ドメインメールの設定状況を確認し、安全な運用に近づけます。
- SPF / DKIM / DMARC設定確認
- DNSレコードの確認
- Google Workspace・独自ドメインメール確認
- 問い合わせフォームの送信確認
会社メール・ドメイン診断：33,000円〜 / 運用支援：月額55,000円〜
メール認証を相談するこれはハッキングではありません — なりすましです
そのメールは、私たちのドメイン(kumidia.jp)から送られたものではありませんでした。
送信元は Outlook のアドレスだったのです。
From: 飯島 剛 <[email protected]>
※ SPF / DKIM / DMARC はすべて PASS していますが、送信元は自社ドメインではありません
※ SPF / DKIM / DMARC は送信元（Outlook側）で PASS しています。これは「自社ドメインが安全」という意味ではありません。
攻撃者は単純に、
送信者名に私の名前を入力しただけです。
そして、私たちのとても人間的な癖を利用しました。
「見覚えのある名前を、無意識に信用してしまう」
これは技術的な脆弱性ではありません。
ソーシャルエンジニアリングです。
そして多くの場合、問題は「人」ではなく、
仕組みが整っていないことにあります。
ソーシャルエンジニアリングは、
「普通に見える」からこそ成功します。
最初のメールが本当の攻撃であることは、ほとんどありません
最初のメールは、たいてい無害です。
「メールで失礼します。今お時間ありますか？」
リンクはありません。
添付ファイルもありません。
明らかな危険性もありません。
それは意図的です。
誰かが返信すると、
次のメッセージから事態は急激に変わります。
- 支払いの確認依頼
- 偽の請求書
- 銀行口座変更の連絡
- LINE や WhatsApp への移行提案
違和感を覚えたときには、
すでに被害が発生しているケースがほとんどです。
ドメインを装うなりすまし（本当に危険なケース）
ここからが、本当に企業を壊すタイプの攻撃です。
例
From: 飯島 剛 <[email protected]>
※上記のメールアドレスは実在しません。ご注意ください。
実在する自社ドメインのメールアドレスを名乗りながら、
実際には 自社が管理していないサーバー から送信されるケースです。
メールセキュリティで「できること」と「できないこと」
ここは正直に話す必要があります。
世界中どんな技術を使っても、
次のことを完全に防ぐことはできません。
- 見知らぬ誰かが Gmail や Outlook のアカウントを作る
- あなたの名前を送信者名として入力する
- あなたを知っている相手にメールを送る
これができると主張する人がいれば、
それは過剰な売り文句です。
しかし、完全に止められるものも存在します。
企業を本当に破壊する攻撃とは何か
ほぼ確実に防げるのは、
あなたの会社から送られたように見せかけるメールです。
- [email protected] から届いたように見える偽請求書
- 実在するドメインを使った支払い変更依頼
- 正規に見えるパスワードリセット通知
これらは以下の被害を引き起こします。
- 金銭的損失
- 信用の失墜
- 長年築いた取引関係の崩壊
そして、これらは
正しいメールの所有と整合性設定によって防げます。
「所有」と「整合性」とは何か
少し抽象的に聞こえるので、具体的に説明します。
所有（Ownership）
自社のメールを、
次の形式で運用していることです。
name@yourcompany.com (自分のドメインが良い)フリーメールではありません。
個人用メールと業務メールが混在している状態でもありません。
これにより、
公式な連絡先が一つに定義されます。
整合性（Alignment）
次に、インターネット全体にこう宣言します。
「この会社のメールは、
指定されたサーバーからしか送信されません。」
これを実現するのが、
SPF・DKIM・DMARCです。
- SPF：送信を許可されたサーバーを定義
- DKIM：メールが改ざんされていないことを証明
- DMARC：失敗した場合の処理を決定
これは高度なセキュリティではありません。
基本的な衛生管理です。
それでも、誤解されていることが非常に多い分野です。
多くの企業が犯しているミス
よく、こう言われます。
「SPF も DKIM も DMARC も、すべて PASS しています」
安心感はありますが、
それで防御できているとは限りません。
DMARC には ポリシーがあります。
| ポリシー | 意味 |
|---|---|
| p=none | 監視のみ（レポート収集のみ） |
| p=quarantine | 迷惑メールとして隔離 |
| p=reject | 送信を完全に拒否 |
多くの企業は「監視」で止まっています。
それは、防犯カメラを設置しただけで
ドアを施錠していない状態と同じです。
Kumidia では、どのように対応しているか
今回の件で、私たちは慌てませんでした。
事実を確認しただけです。
私たちのドメインには、すでに以下がありました。
- 厳格な SPF・DKIM の整合性
- DMARC の有効化
- サブドメインの保護
- 継続的な監視
結果は明確でした。
- Kumidia を名乗るメールは送信できない
- 今回の件は「不快」で終わり、「被害」にならなかった
これが、
事後対応と、事前設計の違いです。
クミディアって
どんな会社？
ホームページ制作だけでなく、集客・信頼・運用まで考える理由をご紹介しています。
なりすましリスクを減らすための、その他の最良策
メールセキュリティは多層構造です。
DMARC は重要ですが、それだけではありません。
では、受信する側では何ができるのでしょうか。
Gmail（Google Workspace）やOutlook（Microsoft 365）には「フィッシングを報告」という機能があり、怪しいメールをワンクリックでサービス提供元へ通報できます。
これは単なる迷惑メール報告ではなく、世界中の脅威データベースに反映され、同様のメールの検知精度が上がっていきます。
一方で、一般的なレンタルサーバーのメール機能では、このような報告機能や脅威連携はほとんどありません。
この操作は、迷惑メール対策ではなく、世界規模のなりすまし検知データの一部として活用されます。
1. 外部メールを明確にする
Google Workspace や Microsoft 365 では、
外部送信者の警告表示が可能です。
名前だけのなりすましに、非常に効果があります。
2. なりすまし検知ルールを使う
- 経営者名
- 経理・支払い関連
- 緊急性のある表現
これらを外部送信者が使った場合、
警告・隔離・注意表示ができます。
3. 「退屈な確認ルール」を決める
すべての組織に必要なのは、次の一文です。
「金銭・認証情報・緊急性を伴う依頼は、
必ず別の手段で確認する」
電話、対面、既知の社内チャット。
新しいメールスレッドではありません。
4. Reply-To の挙動を確認する
送信元と Reply-To が異なるのは、
典型的な詐欺手口です。
フィルタと最低限の意識で防げます。
5. 類似ドメインを監視する
ハイフン付き、表記違いのドメインは
頻繁に使われます。
すべてを買う必要はありません。
存在を把握しておくことが重要です。
6. 権限のあるアカウントの送信制限
経営者名義で送れる人を限定する。
共有受信箱の権限を定期的に確認する。
被害は「権限」に比例します。
日本の法律上も、軽い話ではありません
なりすましメールは、
単なる迷惑行為ではありません。
状況によっては、
- 詐欺罪（詐欺目的での金銭取得）
- 偽計業務妨害（業務や信用の阻害）
に該当する可能性があります。
ただし、多くの場合、
法的責任よりも先に信用が失われます。
だからこそ、予防が重要です。
この文章を書いた理由
なぜこのなりすましメールについての記事を書いたかというと、私たちはセキュリティ会社ではありません。
恐怖を売りたいわけでもありません。
Kumidia の仕事は、
当たり前で、壊れにくい基盤を作ることです。
もし、この記事を読んで、
- 「うちの設定、よく分からないな」
- 「何年も見直していない」
- 「売り込みなしで、一度整理したい」
そう感じたなら、それはとても健全な判断です。
最後に
なりすましは、
1つの設定で止まるものではありません。
所有・整合性・習慣
この3つが揃って、初めて被害が止まります。
静かに。
確実に。
どのような考え方でWeb支援をしているか
クミディアは、Web制作だけでなく、公開後の運用・改善・検索導線づくりまで見据えた支援を大切にしています。 会社の考え方や支援方針はこちらでご確認いただけます。
クミディアについて見る →よくある質問（FAQ）
Q1. 今回のなりすましは、メールがハッキングされたということですか？
いいえ、ハッキングではありません。今回のケースは、第三者がOutlookなどの外部メールサービスを使い、送信者名だけを本物に見せかけた「なりすまし」です。
アカウントへの不正侵入やパスワード漏洩が起きているとは限りません（別途確認は推奨です）。
Q2. SPF・DKIM・DMARCを設定していても、なりすましメールは届くのですか？
はい、名前だけを偽装するなりすましは届く可能性があります。
SPF・DKIM・DMARCは主に「自社ドメインを使ったなりすまし」を防ぐ仕組みであり、GmailやOutlookなど第三者ドメインのメールまでを完全に止めるものではありません。
Q3. 本当に危険なのは、どのタイプのなりすましですか？
最も危険なのは、実在する自社ドメイン（例：@yourcompany.jp）を使ったなりすましです。
請求書詐欺や支払い先変更など、実害の多くはこのタイプで発生します。これは、DMARCを正しく運用することで高い確率で防げます。
Q4. DMARCを設定していれば安心ですか？
設定している「だけ」では十分とは言えません。重要なのはDMARCのポリシーです。
- p=none：監視のみ
- p=quarantine：迷惑メールへ隔離
- p=reject：受信拒否
多くの企業はp=noneのまま止まっており、実質的な防御が機能していないケースがあります。
Q5. 自社の設定が正しいか、自分で確認できますか？
技術的には可能ですが、設定の読み違いや解釈ミスが起きやすい分野でもあります。
特に次の条件がある場合は注意が必要です。
- 複数のメールサービスを併用している
- サブドメインがある（例：info. / mail. / shop. など）
- 数年以上、設定を見直していない
Q6. Kumidiaでは、どこまで対応できますか？
Kumidiaでは、売り込みを前提としない形で「今の状態で、何が防げていて、何が防げていないか」を整理し、必要に応じて設定・運用の改善をご提案します。
恐怖を煽るのではなく、壊れにくい状態を作ることを重視しています。
※ 本記事は一般的な情報提供を目的としています。個別の環境や運用状況によって最適な対策は異なります。
※ 自社の設定状況が不安な場合
現在のメール設定をもとに、
「どこまで対策できているか」だけを
整理することも可能です。
無理な導入提案や営業は行っていません。
