なりすましメールを見分ける9つの方法を解説！被害に遭わないためにすべきこと

2024年3月4日

デジタル時代の今、メールは私たちのコミュニケーションにおいて欠かせないツールとなっています。しかし、その便利さの裏側で、この便利なメールを利用した「なりすまし」による詐欺被害も増え続けています。

被害にあわないためにも、疑わしいメールは開封しないようにしたいものですが、そのためには、必要なメールと悪質なメールを見分ける必要があります。では、なりすましメールかどうか判別するにはどうしたらよいのでしょうか。この記事では、なりすましメールを見分ける方法を9つ紹介します。

また、自分が送ったメールがなりすましメールや迷惑メールと判定されると、重要なメールが届かないことによるトラブルや機会損失が発生するリスクもあります。そのため、送信者目線での対策方法も伝授します。

なりすましメールとは

「なりすましメール」は、悪意ある第三者が有名な企業・団体の名前を無断で使用し、相手を安心させメールを開封させる手法です。

メールを開いたパソコンにマルウェアを感染させるなどしてさまざまな情報を盗み出します。また、情報を盗み取るために作られた偽サイトに誘導するURLを添付し、アクセスさせて口座情報などの重要な個人情報を入力させる手口も主流です。

ここからは、なりすましメールの仕組みと、実際の手法について詳しくみていきましょう。

なりすましメールの仕組み

なりすましメールには2つのパターンがあります。1つは、実在する企業のメールアドレスやURLによく似た文字列を使用する手口です。信頼のある企業や団体などから送られたメールにみせかけ開封させます。

もう1つは、メール送信の仕組みを悪用し送信者を偽装する方法です。偽装を見抜くことが難しく、メールの仕組みを理解していてもだまされてしまうことがあります。

なりすましメールの仕組みを、封筒と便箋を使用し手紙（メール）を送る郵便の流れに例えて解説しましょう。

手紙（メール）を送る際、封筒と便箋の両方に受取人の住所氏名、差出人の住所氏名を記入したとします。しかし、実際に手紙を配達する郵便局員は中身の便箋に記された情報については確認しません。封筒に書かれている住所氏名が正しければ相手に手紙（メール）が届きます。

メールでは、この封筒に書かれている情報がエンベロープ情報です。便箋に記載された情報がヘッダー情報になります。

メールは、エンベロープの情報を元に、配信・転送します。つまり、メールのエンベロープ情報さえ正しければ正常にメールが配信されるのです。

なりすましメールの手法

なりすましメールは、上記で紹介したメールの仕組みを悪用し配信しています。エンベロープ情報には正しい情報を記入し、ヘッダー情報やメール本文に有名企業などの名をかたり、なりすますのです。

これは、メール送受信の時に使用されるプロトコル（SMTP）に起因します。SMTPプロトコルには、エンベロープ情報以外の送信者の情報を好きなように設定できる機能があります。また、このエンベロープ情報とヘッダー情報、メール本文の内容との不一致を確認する機能はありません。

そのため、悪意のある第三者がこの特性を悪用し、なりすましメールを配信しているのです。

なりすましメールの見分け方

メールの仕組みを理解していても、なりすましメールを完全に防ぐことは難しい問題です。

被害にあわないためには、なりすましメールかどうか、見分ける知識も必要になります。ここからは、なりすましメールの見分け方を紹介しましょう。

差出人メールアドレスや記載URLをチェックする

疑わしいメールが送られてきた時は、差出人のメールアドレスやメール本文に記載されているURLなどのチェックが必要です。公式サイトがあればアクセスし、使用されているメールアドレスやURLを比較することで、信頼できる内容か確認ができます。

なりすましメールは巧妙に偽装されているものが多いため、アドレスやURLに使用されている英数文字を一文字ずつしっかりと確認していきましょう。

おかしな日本語でないかチェックする

海外の悪徳業者による、なりすましメールも横行しています。「日本企業からのメールなのに英語が多用されている」「表現や言い回しに違和感を覚える」など不自然な点がある場合、なりすましメールのおそれがあり危険です。外国語から、翻訳ソフトなどを利用し日本語に変換したものがメールに貼り付けられている可能性があります。

また、不正アクセスの対応、アカウント停止の対策を理由に、架空のURLへ誘導を急がせるような文面にも注意しましょう。安易にURLへアクセスすることは避け、差出人へ返信以外の方法で問い合わせるなどして実際にトラブルが発生しているか確認する対応が安全策です。

リンクやファイルを開かない

メール本文に張り付けられたリンクや添付ファイルは、安易に開かないようにしましょう。

リンクや添付ファイルを開くだけで、ウイルス感染や機密情報のろうえいといった問題につながるおそれがあります。疑わしいメール本文のURLや添付ファイルにはアクセスせずに、送信元に内容を問い合わせるなどの対策をすると安全でしょう。

メールソースをチェックする

メールソースをチェックするのも有効です。メールソースの「Return-Path」「Received」を確認してみましょう。ここには、メールが届かなかった場合に返送する宛先が記されています。

しかし、記載のあるメールアドレスで判定するのは危険です。この部分は書き換えることが可能なため、詐称したアドレスの場合があります。注目すべきは、アドレスの次に書かれているIPアドレスです。IPアドレスは詐称できません。IPアドレスを公式サイトなどで確認し、なりすましメールを防止しましょう。

送信ドメイン認証をチェックする

なりすましメール対策には、送信ドメイン認証技術の利用が効果的です。この技術を活用することで、なりすましメールの識別が可能になります。

送信ドメイン認証の一つ、SPF（Sender Policy Framework）は、メール送信元のIPアドレスが詐称されていないかを検査するものです。その他にもDKIM（DomainKeys Identified Mail）やDMARC（Domain-based Message Authentication、Reporting and Conformance）などの送信ドメイン認証技術があります。

DKIMは送信元から送られたメールが詐称されていないか（なりすましやメール内容の改ざんなどがないか）を電子署名に基づいて検知できます。

DMARCは、SPFやDKIMの認証に失敗した時のアクションを指示する技術です。届いたメールに対して「隔離（隔離フォルダへ移動）」「拒否（受信させない）」など、個別に設定できます。SPFやDKIMを単体で使用するよりも柔軟なセキュリティ対策が実現できるでしょう。

なりすましメールへの対処法

なりすましメールだと判別できた場合、どのように対処したらよいのでしょうか。ここからは、なりすましメールへの対処法を紹介します。

迷惑メールフィルター機能を活用する

迷惑メールフィルター機能は、疑わしいメールを自動的にブロックする機能です。

ただし、このフィルター機能には欠点もあり、問題のないメールもまれになりすましメールと判定してしまうことがあります。自動的に別アドレスに転送される設定をしているメールや、本文のない空メールなども対象です。迷惑メールと誤判定されたメールを受信するためには、個別にフィルターの解除が必要になります。

二段階認証を設定する

銀行や各種Webサービスなどで使用されている二段階認証ですが、なりすましメールによる情報流出後の被害を抑える手段として効果的なシステムです。

メールアドレスとパスワードが流出したとしても二段階認証が設定されていれば各サービスのログインに追加の認証が必要になるため、それ以上不正なアクセスができなくなります。万が一の備えとして、セキュリティを強化したい方におすすめの設定です。

複雑なパスワードを設定する

二段階認証を有効にしたうえで、複雑なパスワードを設定するのも実効性のある対策でしょう。名前や誕生日をもとにした単純なパスワードを使っていると、たとえパスワードが流失していなかったとしても、それ以外の流失した情報から予測されて簡単に突破されてしまいます。解読されにくいパスワード設定は、セキュリティ向上のため、不可欠です。

例えば、数字や記号、大文字小文字を織り交ぜるだけでも複雑化されます。また、パスワードの併用を避ける、仕事とプライベートでパスワードを使い分けるなどの方法もおすすめです。

メール送信者が気を付けるべきこと

なりすましメールの問題は、受信者だけでなくメール送信者にとっても重要です。

自分では、なりすましメールを送っていないと思っていても、実際はキャリアのセキュリティなどによって迷惑メールだと判定されている可能性があります。

そうなると重要なメールであっても「メールが届かない」ということが起きてしまいます。

メール送信内容の対策

なりすましや迷惑メールだと判定されないためには以下のようなことに注意しましょう。メールのセキュリティは年々強化されていますので、以前は届いていたメールが急に届かなくなることも考えられます。

安全性が確認できていないURLを貼らない
短縮URLを使用しない
アフィリエイトURLを貼らない
煽り文句はなるべく使用しない
メール本文で過度な装飾は避ける
受信者が求めている情報を提供する

その他にも対策すべきことや迷惑メールについての詳細は以下の記事で解説していますので参考にしてください。

迷惑メール対策におすすめのメール配信システム

SMTPやAPIなどでシステム連携をしてメール配信をする場合はブラストエンジンを利用するのがおすすめです。メール配信に問題が生じた際に、「いつ、どのメールアドレスで、どのような原因のエラーが起きたのか」をすぐに確認できるため、再配信などの対応が迅速に可能となります。

メルマガなどの一斉送信を行う場合は、ブラストメールなどのメール配信システムを利用すれば、配信エラーとなる無効なメールアドレスを自動的に除外して配信を行うことが可能です。大量のメールをクリーンに送信するのであれば、メール配信システムの利用は欠かせません。

API連携・SMTPリレーサービス「ブラストエンジン(blastengine)」の活用

ブラストエンジンは、SMTPリレーサーバーを使用して、簡単に大量のメールを高速配信することが可能です。さらに、メールサーバーを必要とせず、API経由でメールを送信する仕組みも提供しています。

ブラストエンジンは、サーバーの運用やメンテナンスを行っているため、常に高いIPレピュテーションを維持しながら、安全にメールを送ることができます。

以下のような課題がある場合は、ブラストエンジンの利用を検討してみることをおすすめします。

自社のIPアドレスやドメインがブラックリストに登録されていて、メールが届かない場合
国内キャリアにメールが届かず、対応方法がわからない場合
自社でメールサーバーを管理・運用したくない場合

また、ブラストエンジンは各メールプロバイダーや携帯キャリアのドメインに最適化されており、大規模なネットワークを経由してメール配信を行うことで、日本国内での到達率を圧倒的に高めています。

利用料金は月額3,000円からとコストパフォーマンスにも優れており、メールだけでなく、日本語での電話サポートにも対応しています。

メールアドレスの入力のみで無料トライアルが可能ですので、まずは気軽にお試しください。

ブラストエンジンを無料で試してみる >

シェア1位のメール配信システム「ブラストメール」の活用

ブラストメールは、13年連続で顧客導入シェア1位を獲得している信頼性の高いメール配信システムです。ブラストエンジンとは異なり、メルマガなどのメール一斉送信に利用することができます。

このメール配信システムの特徴は、使いやすさとコストパフォーマンスの高さです。さまざまな業種や官公庁でも利用されており、定番のメール配信システムとして広く知られています。

迷惑メール対策機能はもちろん、セグメント配信や効果測定、HTMLメールエディタなど、基本的な機能がすべて揃っています。最も安いプランでも、月額4,000円以下で導入することができます。

シンプルで安価なため、初めてメール配信システムを利用してみたい方にもおすすめです。無料トライアルも用意されているので、まずは試してみることをお勧めします。

ブラストメールを無料で試してみる >

まとめ

今回の記事では、なりすましメールを見分ける方法を紹介しました。まずは、疑わしいメールに記載されているURLや添付ファイルは開かず、送信元に確認することを習慣づけることからはじめてみてはいかがでしょうか。また、なりすましメールの対処法として迷惑メールフィルター機能の活用、OSの定期的なアップデートなども効果的です。より確実に、なりすましメールを識別するためには、送信ドメイン認証技術の活用も検討してみてください。

Blog一覧