企業のなりすまし対策とは？DMARC・BIMIで実現するメール認証対策を解説

メール配信システム「WEBCAS e-mail」とは？知りたい方はこちら
WEBCASの製品ラインナップを見る

現代のビジネス環境において、「なりすまし」は単なる迷惑行為にとどまらず、企業の存続を脅かす深刻なリスクとなっています。

「なりすまし」とは、悪意のある第三者が実在する企業、組織、または個人になりすまして行動することを指します。特に「なりすましメール」は、送信者情報を偽装し、あたかも正規の送信元から送られたかのように見せかけることで受信者を欺く行為です。メールの仕組み上、差出人情報を偽装できてしまうという技術的な背景があります。
このようななりすましメールが引き起こす被害は多岐にわたりますが、企業経営に致命的なダメージを与えるのは①不正送金などの金銭的被害、②情報漏洩、③ブランド毀損の3つです。

ビジネスメール詐欺（BEC）に代表される手口では、偽の送金指示によって数億円規模の不正送金が発生するケースもあります。また、フィッシング詐欺によって従業員の認証情報が窃取され、社内システムへの不正アクセスを許してしまうと、顧客の個人情報や企業の重要な機密情報が流出し、損害賠償や行政処分に発展するリスクがあります。そして、自社ドメインが悪用されて顧客や取引先になりすましメールが届くことで「あの会社はセキュリティが甘い」という悪評が広まり、顧客離れや取引関係の悪化を招きます。

なりすまし対策が急務とされているのには複数の理由があります。最も大きな要因は、ビジネスメール詐欺（BEC）に代表されるサイバー攻撃の巧妙化と増加です。攻撃者は、標的企業の組織構造や取引関係を事前に調査し、説得力のある文面で従業員を欺きます。これにより、従来のセキュリティ対策では防ぎきれない被害が多発しています。

また、サプライチェーン全体を狙った攻撃が拡大していることも、対策の喫緊性を高めています。取引先企業がなりすましの被害に遭うことで、その影響が自社にも波及し、連鎖的に被害が広がるリスクがあるため、自社だけでなく取引先を含めたサプライチェーン全体のセキュリティ意識向上と対策強化が求められています。さらに、政府機関、特に日本においては内閣サイバーセキュリティセンター（NISC）などがDMARCの導入を推奨するなど、社会全体でメールセキュリティの標準化と強化を求める動きが加速しています。

企業を狙ったなりすましメールの脅威は年々高度化しており、その手口を知ることは自社を守る上で欠かせません。

近年、企業を狙ったなりすましメールの攻撃手法は手口が精巧になり、一見しただけでは正規のメールと見分けがつかないケースが増えています。その中でも特に代表的な手法として、受信者を偽サイトへ誘導する「フィッシング詐欺」、経営者や取引先を装って送金を促す「ビジネスメール詐欺（BEC）」、そして正規のドメインに酷似したアドレスや完全に偽装されたアドレスを用いる「類似ドメイン（Look-alike Domain）・ドメインスプーフィング」が挙げられます。

フィッシング詐欺とは、実在する企業やサービスを装い、ユーザーから個人情報や認証情報を騙し取ることを目的とした詐欺の手法です。具体的には、金融機関、ECサイト、宅配業者、クラウドサービスなど、誰もが日常的に利用するサービスを偽装したメールが送信されます。これらのメールは、あたかも本物であるかのようにデザインされており、「アカウント情報が漏洩しました」「本人確認が必要です」といった緊急性を煽る文言で受信者を偽サイトへ誘導し、ID、パスワード、クレジットカード情報などを入力させることで認証情報を窃取します。

ビジネスメール詐欺（Business Email Compromise、略称BEC）は、経営層や取引先、あるいは経理担当者などになりすまし、偽の送金指示や支払い変更の依頼、あるいは機密情報の提供を求めるメールを送信します。例えば、社長やCFOになりすまして経理担当者に「至急、海外の取引先に〇〇ドルを送金してほしい」と指示するケースや、取引先の銀行口座が変更されたという虚偽の連絡をして、本来の送金先ではない口座へ振り込ませるケースなどが代表的です。

なりすましメールの手法には、技術的なメールアドレスの偽装も含まれます。その一つが「ドメインスプーフィング」と呼ばれるものです。これは、メールの差出人情報（Fromアドレス）を、正規の企業のドメインから送信されたかのように完全に偽装する手口です。ドメインスプーフィングを用いると、見た目上は正規の送信元からのメールであると認識されてしまいます。

もう一つの手法として「類似ドメイン（Look-alike Domain）」の悪用があります。これは、正規のドメインによく似たドメインを攻撃者が取得し、それを使ってメールを送信する手口です。例えば、「example.com」の代わりに「examp1e.com」（lを数字の1に置き換え）や、「example-co.com」（ハイフンを追加）など、視覚的に区別がつきにくいドメインが悪用されます。正規のメールであると誤認させやすいため、フィッシング詐欺やビジネスメール詐欺と組み合わされることで、より被害が拡大する可能性が高まります。

「怪しいメールは開かない」「添付ファイルは安易に開かない」と注意していても、現代の悪質化するなりすましメールの脅威に対しては、個人の注意力だけでは防ぎきれないのが現実です。

近年のなりすましメールは、まるで正規の企業が送ったかのように、自然で洗練された日本語で書かれていることがほとんどです。これにより、受信者は「いつも送られてくるメールと変わらない」と感じてしまい、疑念を抱きにくくなっています。

なりすましメールの脅威が人の注意力をすり抜けるもう一つの大きな要因は、前述した通り「ドメインスプーフィング」という技術的な偽装手口の存在です。差出人名だけでなく、メールアドレスそのものが本物と全く同じに見えるため、受信者が目視だけで偽物だと判断することは事実上不可能です。メールソフトは、通常、ヘッダーに表示されているFromアドレスを元に表示を行うため、この偽装を見破るにはメールのヘッダー情報を詳細に解析するか、メールの裏側でやり取りされる情報を検証する「送信ドメイン認証」という技術的な仕組みが不可欠となります。個人の注意喚起だけでは対応できない、技術的な対策が求められる由縁がここにあります。

なりすましメールの脅威から企業を守るために重要な役割を果たすのが「送信ドメイン認証」という技術です。送信ドメイン認証の中核をなすSPF、DKIM、DMARCという3つの主要な技術について、それぞれの仕組みと役割をわかりやすく解説します。

SPF（Sender Policy Framework）は、送信ドメイン認証の基本的な仕組みの一つです。これは「このドメインから送られるメールは、特定のIPアドレスを持つサーバーからのみ送信されます」という宣言を、インターネット上の住所録のような役割を持つDNS（Domain Name System）に登録する技術です。メールを受信するサーバーは、そのメールの送信元IPアドレスが、送信元のドメインがDNSに登録している許可済みのIPアドレスリストに含まれているかを確認します。

たとえるなら、手紙の差出人が「自分の住所はここです」と公に宣言し、郵便局がその宣言通りの場所から手紙が出されたかをチェックするようなものです。しかし、SPFにはメール転送時に認証が失敗しやすいという限界もあります。これは、メールが転送される過程で送信元のIPアドレスが変わってしまうことが原因で、SPFだけでは完全ななりすまし対策とは言えません。

DMARCは、これまで解説したSPFとDKIMの認証結果を統合し、さらに強力ななりすまし対策を実現するフレームワークです。DMARCの最大の特徴は、自社ドメインを悪用したなりすましメールに対して、送信者自身が「どのように扱ってほしいか」というポリシーを受信側に宣言できる点にあります。

DMARCの主な役割は大きく二つあります。一つ目は、SPFまたはDKIMの認証に失敗したメールについて、「何もしない（監視モード：p=none）」「隔離する（迷惑メールフォルダに入れる：p=quarantine）」「拒否する（受信しない：p=reject）」というポリシーを送信者が設定できることです。これにより、自社ドメインを偽装したメールが、受信者の元に届くのを効果的に防ぐことができます。
二つ目は、認証結果をレポートとして送信者にフィードバックする機能です。DMARCレポートはXML形式で送られてきますが、これを解析することで、自社ドメインを名乗って送られたメールが「どこから、どのくらい、認証に成功したのか、失敗したのか」といった詳細な情報を把握できます。この情報は、自社ドメインの悪用状況を可視化し、SPFやDKIMの設定が適切であるかを確認し、さらに改善するための貴重なデータとなります。

DMARCは、なりすましメール対策として強力な技術ですが、導入やその後の運用にはいくつかの課題が伴います。

DMARC導入の最初の、そして多くの場合最も困難なステップの一つが、自社ドメインからメールを送信しているすべての「送信元」を正確に把握する棚卸し作業です。メールサーバーはもちろんのこと、マーケティングオートメーションツール、顧客管理システム（CRM）、人事システム、さらには外部委託しているサービスプロバイダーのシステムなど、企業活動においては多種多様なシステムからメールが送信されています。これらをすべて洗い出し、DMARCの認証対象とするのは想像以上に手間がかかる作業です。

特に、情報システム部門が把握していない「シャドーIT」の存在も少なくありません。各部署が独自に契約・利用しているクラウドサービスなどからのメール送信元が特定できない場合、そのメールがDMARCの認証に失敗し、最終的には正規のメールが受信者に届かなくなってしまうリスクがあります。

SPFは「このドメインからのメールは、このIPアドレスを持つサーバーから送られます」という宣言をDNSに登録する仕組みですが、企業が利用するメール送信サービスが増えれば増えるほど、このレコードに記述すべき情報が複雑になります。特に、複数のクラウドサービスやメール配信システムを利用している場合、それぞれのサービスのIPアドレスやホスト名を正しく含める必要があります。

また、SPFレコードには「DNSルックアップ回数が10回まで」という技術的な上限があります。この上限を超えて多くの送信元を記述しようとすると、SPF認証が正常に機能しなくなり、正規のメールが認証に失敗する原因となります。この制約を回避するためには、サブドメインの利用や、特定のサービスからの送信を別のドメインに切り出すなど、高度な設計と専門知識が求められ、多くの担当者様にとって悩みの種となっています。

DMARCレポートには、どのIPアドレスから、どのくらいのメールが送信され、SPFやDKIMの認証が成功したか失敗したかといった膨大な情報が含まれていますが、これを読み解くにはDMARCの仕組みやメールヘッダの構造に関する深い理解が不可欠です。専門のツールを利用しない場合、手動での分析は時間がかかり、日々の運用負荷を著しく増大させる要因となってしまいます。

DMARCポリシーには「none（監視のみ）」「quarantine（隔離）」「reject（拒否）」の3段階がありますが、多くの企業が最終目標である「reject」までポリシーを強化することをためらう心理的な障壁に直面します。これは、「もしDMARCの設定ミスで正規のメールをブロックしてしまったら」という強い懸念があるためです。正規のメールが取引先や顧客に届かなくなることは、ビジネス機会の損失や信頼関係の毀損に直結するため、大きなリスクと捉えられます。

この恐怖心から、多くの企業はポリシーを「none」の監視モードのまま放置してしまったり、あるいは影響が限定的な「quarantine」で妥協してしまったりする傾向にあります。結果として、なりすましメールを完全にブロックするというDMARC本来の目的を達成できず、形骸化した対策に留まってしまうというジレンマに陥りがちです。

企業がDMARCを安全かつ効果的に導入・運用するための具体的なロードマップを、3つのステップに分けて解説します。

DMARC導入の最初のステップは、前述した通り「自社ドメインからメールを送信しているすべてのIPアドレスやサービスを正確に把握すること」です。
この作業を効率的に進めるために、まずはDMARCポリシーを「p=none」（監視モード）で設定し、レポートを受信することをおすすめします。DMARCレポートは、自社ドメインを騙ってメールが送信された状況だけでなく、正規の送信元からのメールがどのように認証されているかの情報も提供してくれます。手作業での棚卸しに比べて網羅性が高く、効率的に現状を可視化できます。

この監視モードでは、既存のメールフローに一切影響を与えることなく、安全にDMARCのデータを収集できます。この期間は、レポート収集に専念し、自社ドメインからのメール送信状況や、なりすましメールの有無などを詳細に把握することが重要です。
DMARC監視モードでの運用を開始すると、指定したメールアドレスにDMARCレポートが届くようになります。このレポートをもとに「認証に失敗しているが、正規の送信元であると思われるメール」を特定し、その原因を調査してSPFやDKIMの対応箇所を見いだす作業が、このステップの核となります。

Step 1で可視化された正規の送信元に対して、SPFレコードとDKIMレコードを正しく設定していく段階です。Microsoft 365、Google Workspace、Salesforceなど、利用している各サービスのマニュアルを参照しながら、それぞれの送信元が正しく認証されるよう設定を行います。
この段階でSPFとDKIMの設定を正確に行うことは、DMARCのポリシーを強化する上で重要です。正規のメールが認証に失敗すると、DMARCのポリシー強化後に迷惑メールと判断されたり、最悪の場合は受信拒否されたりするリスクがあるからです。すべての正規のメールがSPFとDKIMの認証をパスできるよう、慎重かつ正確な設定を心がけましょう。

正規のメールの認証成功率が十分に高まり、DMARCレポートの分析結果から問題がないと判断できたらいよいよDMARCポリシーを段階的に強化していきます。
まず、ポリシーを「p=quarantine」（隔離）に設定します。これにより、DMARC認証に失敗したメールは受信者側の迷惑メールフォルダに振り分けられるようになります。影響範囲を限定しながら様子を見ることで、万が一正規のメールが隔離された場合でも、致命的な問題に発展する前に発見・修正が可能です。その後も細かく様子を見つつ、最終的な「reject」へとポリシーを引き上げていくようにしましょう。

DMARCによる厳格ななりすまし対策を進めた企業にとって、その努力をさらにブランド価値の向上に繋げられる仕組みが「BIMI」です。BIMIは単なるセキュリティ強化だけでなく、マーケティング効果も期待できる技術であり、企業の信頼性を目に見える形で高めます。また、VMCの取得では商標もチェックされることから、「類似ドメイン（Look-alike Domain）」の悪用防止効果も期待できます。

BIMIを導入する上で最も重要な前提条件は、DMARCポリシーが「p=quarantine（隔離）」または「p=reject（拒否）」に設定されていることです。これは、BIMIが悪意あるなりすましメールからブランドロゴが不正に利用されることを防ぐため、厳格な認証が実施されているドメインに限定してロゴ表示を許可しているためです。
DMARCのポリシーを「quarantine」または「reject」まで引き上げることは、企業がセキュリティ対策に真摯に取り組んでいることの証でもあります。

BIMIで自社のロゴを受信トレイに表示するためには、「VMC（Verified Mark Certificate：検証済みマーク証明書）」と呼ばれる電子証明書の取得が必要です。VMCは、企業が使用したいロゴが正当な商標登録を受けていることを公的に証明するもので、認証局と呼ばれる第三者機関から発行されます。
VMCを取得するには、まず表示したいロゴが国や地域で商標登録されている必要があります。次に、指定された認証局（DigiCert社など）に申請を行い、商標登録の証明や企業の実在性など、厳格な審査を通過する必要があります。この取得プロセスは、一般的なSSL/TLS証明書の取得よりも複雑で時間を要する場合がありますが、この手順を踏むことで、BIMIによるロゴ表示の信頼性が担保されます。

DMARCとBIMIの導入は、企業のメールセキュリティを飛躍的に向上させ、ブランドイメージを強化するための重要な投資です。

DMARCの導入および運用にかかる費用は、主に「DMARCレポート分析ツール」の利用料と、「導入支援・コンサルティング」の料金に分けられます。DMARCレポートを分かりやすく可視化し、分析を効率化するための専用ツールがよく使われていますが、これらのツールの年間利用料は分析対象となるメールの通数や必要な機能によって大きく異なり、数万円から数百万円と幅広い価格帯があります。
また、DMARCの導入プロセスは複雑なため、自社に専門人材がいない場合や、迅速かつ確実に導入を進めたい場合には、専門のコンサルティングサービスを利用するのが一般的です。コンサルティング料はプロジェクトの規模や期間によって変動しますが、初期設定からポリシー強化までのトータルサポートで数十万円から数百万円程度が目安となるでしょう。自社で運用リソースがある場合はツール利用料のみで対応可能ですが、人的リソースが不足している場合は、専門家への依頼も費用として考慮に入れる必要があります。

当社WOW WORLDではDMARCレポート支援サービスを提供しており、DMARCレポートの解析から対応策までをご提案しています。ツールを別途導入する必要はないため、低コストでご利用いただけます。

BIMIを導入する際に発生する主な費用は、VMC（Verified Mark Certificate：検証済みマーク証明書）の取得・更新費用です。
VMCの価格は、発行する認証局や証明書の有効期間によって異なりますが、年間で数万から数十万円程度が一般的な目安となります。また、表示したいロゴがまだ商標登録されていない場合は、まずその商標登録を行うための費用が別途必要になります。商標登録には、調査費用や出願費用、登録料などが発生し、これらを合わせると数十万円かかるケースもあります。

DMARCとBIMIへの投資は、セキュリティ対策だけでなく、ブランド価値やメールマーケティングの成果向上にもつながります。この投資対効果（ROI）は、「守りのROI」と「攻めのROI」の二つの側面から評価できます。

まず「守りのROI」として、DMARCを導入することで自社ブランドを悪用したなりすましメールをブロックし、金銭的被害や情報漏洩、ブランド毀損を未然に防ぐことができます。数千万円から億単位に上る可能性があるこうした被害を回避できることは、DMARC導入の費用をはるかに上回る価値があると言えるでしょう。

次に「攻めのROI」としては、BIMIによるマーケティング効果の向上が期待できます。DMARCによって保護され、BIMIでロゴが表示されたメールは、受信トレイで視覚的に目立ち、受信者からの信頼性が向上します。これによりメールの開封率やクリック率の改善につながり、マーケティング施策の効果を最大化できるでしょう。

この記事では、企業の信頼を根底から揺るがす「なりすましメール」の脅威に対し、DMARCとBIMIがいかに有効な解決策となるかを解説しました。なりすましメールは手口が巧妙化しており、技術的な対策が不可欠です。
その解決策となるのが「送信ドメイン認証」であり、特にDMARCはSPFとDKIMを統合し、自社ドメインのなりすましを可視化し、最終的にはブロックできる技術です。さらにその先には、セキュリティとマーケティング効果を両立できるBIMIがあります。
一方で、DMARCやBIMIの導入には専門知識が求められるため、自社だけで導入・運用することが難しいケースも少なくありません。当社では、「DMARCレポート支援サービス」と「BIMI導入支援サービス」を提供し、企業のなりすましメール対策をサポートしています。「DMARCの設定方法難しい」「レポートを受け取っているが何をすべきかわからない」「BIMIの設定方法を教えてほしい」などのお悩みがあればお気軽にご相談ください。

●こんなコラムも読まれています