「DMARCの設定が必要だと聞いたが、よく分からない」「DMARC対応は聞いたことあるけど、必要性についてあまり理解していない」――そんな企業の担当者さまも多いのではないでしょうか。
近年、なりすましメールが依然として企業に深刻な被害をもたらす中、Gmail、Yahoo!、Outlookといった主要メールプロバイダは一斉に送信者要件を強化しました。これにより、DMARCをはじめとするメール認証は「推奨」から「必須」へとフェーズが変わりました。
本記事では、なりすましメールの最新動向と、なぜ今DMARC対応が急務なのか、その必然性を分かりやすく解説します。
目次
― 前提：なりすましは“迷惑メール”ではなく「ブランド毀損」に繋がる
「迷惑メールなんて昔からあるものだから、無視しておけばいい」と考えていませんか？ 実は、近年のなりすましメールは、単なる迷惑メールの枠を超え、深刻な「ブランド毀損」を引き起こす要因となっています。
ブランド毀損について
自社の名前を騙ったメールが顧客や取引先に送られた場合、どのようなことが起きるでしょうか。本物そっくりに偽造された請求書による「顧客の誤送金」、フィッシングサイトへの誘導による「認証情報の窃取」など、直接的な金銭・データ被害が発生します。その結果として、「あの会社からのメールは危険だ」というレッテルを貼られ、取引先への信用失墜という取り返しのつかないブランド毀損へと直結します。
なりすましメール攻撃により「攻撃者が得する理由」
なぜ、なりすましメールは減らないのでしょうか。それは攻撃者にとって「極めてコストパフォーマンスが良い手法」だからです。システムの脆弱性を突くような高度なハッキングと比べ、メールの送信元（Fromアドレス）を偽装することは技術的に容易です。実装コストが低いにもかかわらず、人の心理的な隙を突くことで高い成功率を誇るため、攻撃者にとって最も魅力的で再現性の高い手口であり続けているのです。
また、AIの発足により、以前怪しいメールと気づけたメール文面も現在では、非常に自然な文面を簡単に作成できるようになりました。
― 2024年以降に変わったこと：受信側が“努力目標”をやめた
なりすましの脅威が高まる中、2024年を境にメール送信の常識が大きく変わりました。一言で言えば、受信側（メールプロバイダ）がセキュリティ要件を「努力目標」から「絶対条件」へと引き上げたのです。
Gmail：一括送信者の要件（認証・DMARC等）を明文化
Googleは2024年初頭よりガイドラインを見直し、1日5,000件以上のメールを送信する一括送信者に対して「DMARCの導入」を明確に義務付けました。また、5,000件未満であってもSPFまたはDKIMのいずれかの設定が必須化されており、これに違反した場合、メールがスパム判定されるだけでなく、最悪の場合はGmail宛に一切届かなくなってしまいます。
Yahoo：認証＋ユーザー保護の要件をセットで要求
米Yahooや日本のYahoo! JAPAN（LINEヤフー）もGoogleと歩調を合わせ、強力な送信者要件を発表しました。SPF/DKIM/DMARCの認証はもちろんのこと、ユーザーが簡単に配信停止できる仕組み（ワンクリックでの購読解除）の実装など、認証とユーザー保護をセットで求めています。受信者を守るためのガイドラインは、業界全体で急速に厳格化しています。
Outlook：要件未達が“拒否（届かない）”につながるケースが出る
MicrosoftのOutlook（Office 365など）も例外ではありません。メール認証が適切に行われていないドメインからのメールは、ブロックリストとして登録され、スパムフィルタによって厳しく弾かれる傾向が強まっています。つまり、今まで普通に届いていた業務連絡やメルマガが、ある日突然「要件未達」を理由に届かなくなるという事態が、すでに現実のものとして起きているのです。
― 「SPF/DKIM」だけでは危ない理由
「うちの会社は昔からSPFもDKIMも設定しているから大丈夫」と安心している方は要注意です。実は、それだけではなりすまし対策として不十分なのです。
SPF/DKIMは“部品”、DMARCは“運用ルール”
SPF（送信元IPの認証）とDKIM（電子署名による改ざん検知）は、いわばメールの安全性を証明するための「部品」です。しかし、認証に失敗したメール（なりすましメール）を「受信側でどう処理してほしいか」を指示する仕組みがありません。その指示を出す「運用ルール」こそが、DMARCです。DMARCがあって初めて、SPF/DKIMという部品が真価を発揮します。
FromなりすましはSPF/DKIM単体では潰し切れない
最も厄介なのは、メールソフト上でユーザーの目に触れる「ヘッダFrom」のなりすましです。実は、SPFやDKIMはシステムの裏側にあるドメインを認証するものであり、ユーザーが見る「ヘッダFrom」と一致していなくても認証を通過できてしまう弱点がありました。DMARCは、この「ヘッダFrom」のドメインが正しく認証されているか（アライメント）を厳格にチェックするため、DMARCなしではなりすましを完全に潰し切ることはできません。
― 多くの企業がハマる“認識ギャップ”
メール配信において、自社の現状を正しく把握できていない企業は少なくありません。そこには、恐ろしい「認識のギャップ」が存在します。
「届いている」＝「正しく認証されている」ではない
「取引先にメールが届いているから、うちの設定は完璧だ」というのは大きな誤解です。メールプロバイダは様々な要素をスコアリングして受信可否を決めており、認証が不完全でも「これまでの送信履歴が良いから」と一時的におまけで通してくれているだけかもしれません。基準がさらに厳格化されれば、明日にもメールが弾かれるリスクを孕んでいます。
反響がない＝問題がない、ではなく“まだ顕在化していない”
「なりすましの被害報告なんて来ていないし、問題ないだろう」と放置しているのも危険です。攻撃者は水面下であなたのドメインを悪用してスパムをばら撒いているかもしれません。被害報告がないのは、誰もあなたに教えてくれないか、あるいは単に「まだ問題が顕在化していない」だけなのです。
― 自社でのDMARC 導入が難しい理由
「必要性は分かった。じゃあ、自社の情シス部門で設定を追加しよう」と思うかもしれませんが、DMARCの導入・運用を自社だけで完結させるのは想像以上に困難です。
送信元が1つではない（社用メール＋MA＋SaaS通知＋海外基盤）
現代の企業活動において、自社ドメインからメールを送るシステムは一つではありません。社員が使うグループウェア（Google WorkspaceやMicrosoft 365）、マーケティング部門が使うMAツールやメルマガ配信システム、人事・経理系のSaaSから送られる通知メールなど、多岐にわたります。これらすべての送信元を漏れなく把握し、正しく認証設定を行うのは至難の業です。
情シスとマーケで目的が一致しない（到達率／ブランド／セキュリティ）
部署間で目的が異なることも壁になります。マーケティング部門は「とにかく顧客にメールを届けたい（メール到達率）」と考え、情シス部門は「セキュリティを担保したい」と考えます。両者の連携が取れていないままDMARCのポリシーを厳格化すると、マーケティング部門が使っているシステムのメールが一斉に届かなくなるという社内トラブルに発展しがちです。
“判断が必要な例外”が多すぎる（転送・委託送信・サブドメイン等）
さらに、メールの世界には「メーリングリストでの転送」や「関連会社への委託送信」、「無数に存在するサブドメイン」など、イレギュラーな構成が付き物です。SPFやDKIMが崩れるこれらの例外パターンにどう対応するか。BIMIやVMCといった最新のブランド証明技術を見据えた導入支援も含め、専門的な知見なしに全体最適を図ることは、まさに「例外地獄」への入り口となります。
― なりすましメール対策は、何から始めるべきか
自社で導入・運用するリスクを知り、不安を感じられたかもしれませんが、ご安心ください。正しくステップを踏めば、業務を止めることなく安全なメール環境を構築できます。
いきなりrejectではなく「現状把握→段階移行」
最も危険なのは、自社の送信状況を棚卸ししないまま、DMARCのポリシーをいきなり「reject（拒否）」に設定してしまうことです。「いま困ってないから」と十分な確認をせず強制適用すると、メールの到達率に影響します。正当な業務メールまで届かなくなり、ビジネスが完全に止まってしまう可能性もあります。DMARC導入の鉄則は、まずポリシーを「none（何もしない）」に設定してレポートを受信し、「自社ドメインがどこから、どのように送信されているか」の現状把握を行うこと。そこから段階的にポリシーを引き上げていくアプローチが必須です。
次回でSPF/DKIMを“ちゃんと”理解する理由
DMARCを正しく運用するためには、土台となるSPFとDKIMの仕組みを正確に理解しておくことが欠かせません。メールの到達率を最大化するためにも、「とりあえず設定した」という状態から脱却し、例外的なメールフローにも対応できる知識が必要です。
― まとめ
今回は、Gmailなどのガイドライン及び要件強化によってDMARCが必須となった背景と、自社対応に潜むリスクについて解説しました。「いま困っていない」からといって放置するのは、時限爆弾を抱えているようなものです。気づかないうちに仕様は変わり、放置すれば突然メールが届かなくなる、あるいは悪用される不安がつきまといます。限界を自覚し、専門的な知見を交えながら段階的に進めることで、安心・安全なメール環境を実現しましょう。
次回予告：
次回は、DMARCの土台となる「SPF/DKIMを“ちゃんと”理解する（前編）」をお届けします。
【まず現状を10秒で確認（DMARC/BIMI/VMC）】
貴社のドメインが現在どのような設定になっているか、まずは電子証明書・セキュリティのプロフェッショナルであるGMOが提供する簡単な診断ツールで現状を確認してみましょう。
