なりすましメールとは、実在の企業・団体などを装って詐欺などの目的で送信されるEメールのことです。

メール本文内のリンクから詐欺サイトにアクセスさせて送金させたり、個人情報・アカウント情報・機密情報をだまし取ろうとしたりします。また、添付ファイルを開かせてEmotetやランサムウェアなどのマルウェア（悪意のあるプログラム）に感染させる手法も存在します。

みなさんも、大手ネットショップや金融機関、宅急便などの配送会社になりすました迷惑メールを受け取った経験があるのではないでしょうか？　あのようなフィッシング詐欺メールが、典型的ななりすましメールです。

なりすましメールは巧妙に偽装されているので、受信者側が気付かずに大金を振り込んだり、アカウント情報などをだまし取られたりする事件が続出しています。

なお、受信側として迷惑メール対策を進める方法については、以下のページで詳しく解説しています。

参考：会社の迷惑メール対策と、迷惑メールフィルターの効果を簡単に解説！

ビジネスメール詐欺（BEC、Business Email Compromise）とは、取引先の企業などになりすましたメールを送信して金銭や機密情報をだましとる手法のことです。

たとえば普段の取引先になりすまして、「振込先の口座が変更になりましたので、今後はこちらに料金を振り込んでください」などのメールを送信して、金銭をだましとるのが典型的な手口です。

過去には日本の大手航空会社において、偽の請求書をメールで送信されて、担当者が3.7億円もの金額を偽口座に送金してしまった事件も発生しています。

参考：JALが「信じ込んでしまった」手口とは、振り込め詐欺で3.8億円被害（日経クロステック）

標的型攻撃メールとは、特定の企業・団体にターゲットを絞ってメールを送信し、機密情報の流出やマルウェアの感染を狙う手法のことです。

標的型攻撃メールでは、取引のある企業・組織になりすまして、「先日送付した資料に誤りがありました。訂正した資料を添付して送付しますので、ご確認ください」などの内容が書かれたメールを送信します。

そこで受信側がメールに添付されたファイルを開くと、ランサムウェアなどのマルウェアに感染して、金銭や個人情報・機密情報をだまし取られるわけです。

2016年には日本国内の大手旅行代理店が、標的型攻撃メールの被害に遭い、793万人もの顧客情報が流出する事態になりました。

出典：標的型攻撃メールの被害事例｜手口の種類や最新事例・文面・見分け方を紹介（GMOインターネットグループ）

Emotetとは、主にメール経由で感染を広げているマルウェアの一種です。

Emotetの感染が企業を中心に拡大している理由は、以下の2点にあります。

ビジネスメール詐欺（BEC）・標的型攻撃メール・Emotetなど、現在は多様な手段でなりすましメールが送信されています。

なりすましメールの代表例であるフィッシング詐欺の報告件数は、2019年が5万件程度だったのに対して、2023年には120万件にまで膨れ上がりました。わずか4年間でフィッシング詐欺は20倍以上にまで増加しているわけです。

出典：詐欺の報告件数が4年で20倍に急増した理由の1つは意外にも……（ASCII.jp）

近年でなりすましメールの件数は爆発的に増加していますので、自社も被害に遭わないように十分注意しなければなりません。

「詐欺メール・迷惑メールでなりすまされる会社・団体は、公官庁・地方自治体や大手ネットショップ、大手運送会社とかでしょ？　ウチの会社は小さいし有名でもないから、なりすまされることなんてないよ」と考えている方もいるかもしれません。

しかしEmotetの脅威が存在する現代においては、どんな小さな会社であってもなりすましの被害を受ける可能性が常に存在します。

先述したとおり、Emotetは感染者のアドレス帳内のメールデータを盗み取って、その中に登録されている者の名前・メールアドレスを騙ってメールを送りつけてくることもあります。

つまり、自社がEmotetに感染しなくても、過去にメールのやり取りをしたことのある人がEmotetに感染すれば、自分たちの会社・団体の名前を騙った詐欺メール・迷惑メールが顧客や取引先に送られかねないのです。

ここまで説明してきたように、なりすましメールの脅威は深刻さを年々増しています。

それに対抗するため、Gmailなどのサービスではメール送信のガイドラインを大幅に強化しました。

このガイドラインに違反した場合、送信したメールがエラー扱いになったり、受信拒否されたりする可能性があります。

※なお、以下のガイドラインは個人間のメールのやり取りではなく、企業や団体から不特定多数へ送信される商用メールを対象にするとされています。

たとえばGmailのガイドラインには以下のような項目が掲げられています。

また、1日に5000通以上のメールをGmail宛てに送信している企業には、「SPF・DKIM・DMARCをすべて設定すること」などの、より厳しい制約が課されます。

※なお、SSLについては以下のページで詳しく解説していますので、こちらもご覧ください。

参考：SSLとは？　意味や仕組み、企業ホームページ導入のメリットを簡単説明

自社へのなりすましメールを抑制する有効な手段のひとつが、送信ドメイン認証です。

送信ドメイン認証とは、正しい送信者からメールが送られたかどうかを受信者側が検証できるようにすることで、なりすましメールを防止する技術です。

人の目では判別が難しいなりすましメールも、送信ドメイン認証を設定すれば検証が可能になり、フィッシング詐欺やEmotetなどの被害を抑制できます。

また、Gmailなどのメールサービスにおいて、迷惑メール扱いや受信拒否される確率が低下するため、メールを送信したときの到達率アップにもつながるでしょう。

以上のように、送信ドメイン認証は自社へのなりすましを防止し、メールの到達率もアップする有益なセキュリティ対策なのです。

主要な送信ドメイン認証に、SPF・DKIM・DMARCの3つがあります。

それぞれの特徴を初心者にもわかりやすく紹介します。

※なお、ドメインとはインターネット上の住所のようなもので、メールのやり取りやホームページのURLなどに利用されています。「tarou-yamada@ds-brand.jp」というメールアドレスがあるとき、@の後ろの「ds-brand.jp」の部分がドメインになります。

ドメインについて詳しく知りたい方は、以下のページをご覧ください。

参考：ドメインとは？　その意味と企業ホームページとの関係を簡単に解説！

ここまで、なりすましメールの被害や送信ドメイン認証（SPF・DKIM・DMARC）について解説してきました。

今後も、ビジネスメール詐欺（BEC）・標的型攻撃メール・Emotetなどの多様な手法で、なりすましメールの数は増大していくと思われます。

Emotetなどで入手したメールアドレス・社名を利用して、手当たり次第に迷惑メール・詐欺メールをばらまく手法が横行しているため、大企業のみならず中小企業や小さな団体であっても、自社になりすまされるリスクが急激に増加しています。

また、送信ドメイン認証に対応していないとGmailなどのメールサービスでは、迷惑メール判定されたり受信拒否されたりするリスクが高まっているので、お客様や取引先・求職者に情報を届けられなくなってしまいます。

今後もGmailなどのガイドラインは厳しくなっていくことが予想されていますので、早急に送信ドメイン認証を導入するよう、検討してみてください。

なお、弊社のCMS（ホームページを簡単に作成・運営できるシステム）・おりこうブログでは、SPF・DMARCなどの送信ドメイン認証に対応したメールアドレスをお客様に提供しております。

また、Gmailのガイドラインにも掲げられている、メールの送受信のSSL（TLS）対応が可能なプランもご用意しています。

メールの送信ドメイン認証対応にあわせて、ホームページを開設・リニューアルしたいという方は、ぜひ以下から詳細をご覧ください。