認証を偽装する詐欺メールが急増──DMARCをすり抜ける手口の実態

フィッシング手口の変化：なりすましから自前ドメインへ

これまでフィッシングメールの多くは、Amazon や Apple といった実在企業のドメインを無断で使用する「なりすまし送信」でした。しかし2025年9月に総務省が大手通信事業者に DMARC（ディーマーク）の導入を要請したことで、攻撃者の戦略が大きく変わりました。

実在企業のドメインを名乗ると、DMARCの厳しいポリシーに引っかかり、メールが受信拒否される可能性が高まります。そこで攻撃者は「独自ドメイン」を取得し、正当な認証を通すように工作し始めたのです。

「認証済み」が信頼の証でなくなった理由

攻撃者が自分で取得したドメインに対して、SPF やDKIM といった正規の送信ドメイン認証を正しく設定すれば、DMARC の検査に合格します。2025年12月時点では、独自ドメインからのフィッシングメールのうち DMARC に合格するのは約17.8%でしたが、2026年7月に約94.7%、8月に約94.2%、9月に約98.9%と急伸しました。

重要な点は、DMARC が判定するのは「メールが正しく認証されたか」だけで、「送り手が信頼できるか」は対象外だということです。詐欺師が用意したドメインであっても、その所有者として正しく認証されれば合格します。つまり、受信者が「認証済みだから安全」と判断することは、もはや通用しなくなっています。

攻撃者が使う細かい手口

調査によると、攻撃者は単に認証を通すだけでなく、複数の戦術を組み合わせています。

親ドメインの悪用 Amazon から Amazon Pay といった関連サービスのドメインの一部を名乗り、受信者の警戒心を下げる手口が報告されています。

SPF のみの合格 DMARC に失敗しても、SPF だけは合格させてメール配送をすり抜けようとするケースです。

受信者自身のドメイン悪用 サポート詐欺（パソコンのウイルス感染画面を表示させて電話をかけさせる手口）では、受信者のメールアドレスを装って送信し、信頼度を上げようとします。

見分けるポイント：差出人欄だけに頼らない

詐欺メールを見分けるためには、以下の点に注意してください。

英字とキリル文字の判別 アルファベットの「a」をキリル文字の「а」に置き換えるなど、人間の目には見分けにくい文字列が使われます。怪しいと感じたら、ドメインをコピーして検索エンジンで確認しましょう。

ブランドロゴの表示確認 認証済みメールであっても、送信元のロゴが表示されているか確認してください。BIMI（ブランド識別情報表示）という仕組みで、正規企業のロゴが表示されます。Gmail、Apple iCloud メール、au メールなどが対応しています。

添付ファイルとリンクの確認 不要な添付ファイルやリンク、パスワード入力画面へのリンクは特に疑いましょう。

公式サイトから直接確認 メール内のリンクを経由せず、公式サイトを直接アクセスするか、公式の電話番号に直接問い合わせることが確実です。

企業と受信者が一緒に作る防線

メール認証技術の進化と攻撃の巧妙化は、いたちごっこの関係にあります。今後の対策には、複数の技術と行動が必要です。

企業がすべきこと DMARC ポリシーを「受信拒否」に設定し、偽のドメインからのメールが確実に受信拒否されるようにします。あわせて BIMI に対応し、ロゴで正規メールであることを証明します。

受信サービスがすべきこと 企業の DMARC ポリシーに従ってメール配送を判定し、認証に失敗したものは受信拒否や隔離します。

受信者がすべきこと パスワードマネージャーやパスキー（パスワード代わりに指紋などで認証する仕組み）を使い、偽の入力画面に情報を入力しない習慣をつけます。

相談窓口

フィッシングメールを受け取った場合、以下に報告できます。

• フィッシング対策協議会: 受けた報告から調査・対応が行われます
• 国民生活センター: 詐欺被害の相談窓口（電話：188）
• 警察庁サイバー犯罪対策プロジェクト: 不正アクセスなど犯罪的な被害の報告
• IPA（情報処理推進機構）: 情報セキュリティ上の相談窓口

フィッシング詐欺は、技術と人間の判断の両面で対抗する必要があります。一人一人が警戒心を高く持つことが、全体的な防御力につながっています。