2026年9月17日

会社のドメインが勝手に使われる「なりすまし送信」対策

「御社を名乗るメールが届きましたが、本物ですか？」——取引先からこう問い合わせが来たら、それは自社ドメインがなりすましに使われているサインです。

メールの差出人アドレスは、技術的に誰でも詐称できます。あなたの会社のドメインを名乗るメールを、まったく無関係な第三者が送れてしまうのです。今日は、その仕組みと対策を解説します。

差出人はなぜ詐称できるのか

メールの仕組みは、封筒に書く差出人と同じです。封筒には何を書いてもいい——それと同じで、送信時に名乗るアドレスは自由に設定できます。

受け取る側は、封筒に書かれた名前を信じるしかありません。だから、

ということが起こります。あなたの会社のサーバーが侵入されたわけではありません。 それでも、取引先から見れば「御社から詐欺メールが来た」ことになります。

3つ目は地味ですが深刻です。取引先に自社のメールが届かなくなります。

差出人の詐称を防ぐ仕組みが、標準化されています。すべてDNSにレコードを追加するだけで、メールの送り方自体は変わりません。

自社ドメインのメールを送る正規のサーバーのIPアドレスをDNSに書いておきます。受信側は、届いたメールの送信元が一覧にあるか照合します。

一覧にないサーバーから送られたメールは、なりすましと判定できます。

送信時にメールへ電子署名を付け、改ざんされていないことと本当にそのドメインから送られたことを証明します。

SPFとDKIMの照合に失敗したメールを、受信側にどう扱ってほしいかを指定します。

DMARCにはレポート機能もあり、「誰があなたのドメインを名乗って送信しているか」が分かります。これが非常に有用です。

いきなり p=reject にすると、正規のメールまで届かなくなる恐れがあります。順を追って進めてください。

- メール配信サービス、予約システム、勤怠システム、会計ソフトなど、メールを送る仕組みを全部洗い出す必要があります

3番目が最も手間がかかります。 「自社ドメインでメールを送っている仕組み」は、思っている以上に多いものです。

自社の設定がどうなっているかは、DNSを調べれば分かります。

何も設定されていない場合、あなたのドメインは誰でも名乗れる状態です。中小企業では、未設定のままというケースが少なくありません。

こうした場合は、まずDNSの管理権限を自社に取り戻すところから始める必要があります。ドメインは会社の資産です。管理権限の所在は、一度確認しておくことをおすすめします。

「そもそも今どうなっているか分からない」という段階でも構いません。BULLCOM Security では、SPF/DKIM/DMARCの現状診断と設定を承っています。DMARCレポートの読み方や、p=reject までの移行計画もご支援します。

「取引先からなりすましメールの連絡が来た」という緊急のご相談も、お気軽にご連絡ください。