自社の名前で偽メールを送らせない DMARCの始め方

なぜ今 DMARC なのか

フィッシング対策協議会の9月の報告では、サポート詐欺に誘うメールが急増していました。協議会は、受信者の会社のドメインを差出人に使う「なりすまし」が多いと伝えています。協議会の調査用アドレスに届いたフィッシングメールのうち、実在するサービスのドメインを差出人に使ったものは約37.8%でした。

自社の名前を使った偽メールは、取引先や顧客をだますことにも使われます。IPA の「情報セキュリティ10大脅威 2026」でも、組織向けの10位に「ビジネスメール詐欺」が入っています。

DMARC とは

DMARC は、届いたメールが本当にそのドメインから送られたものかを受信側が確かめ、確かめられなかったときの扱いを送信側が決めておく仕組みです。扱いは3段階あります。none は記録だけで、偽メールも届きます。quarantine は迷惑メールフォルダーに入れます。reject は受け取りを拒みます。

警察庁は9月の「サイバー警察局便り」で、設定が none のまま放置されていないかを確かめるよう呼びかけました。10月の号では、サービスを提供する事業者に DMARC を入れて受信拒否に設定するよう求めています。協議会も、reject へ移す計画を立てるようすすめています。

4つの手順で進める

1つ目は、今の設定を見ることです。DMARC のレコードがあるか、あればどの段階かを確かめます。

2つ目は、自社ドメインでメールを送っているものを洗い出すことです。社員のメールだけでなく、請求書の発行、メールマガジンの配信、予約の通知など、外部のサービスから自社ドメインで送っているものがよくあります。これらが SPF と DKIM（正規の送信元であることを示す設定）に対応していないと、DMARC を強めたときに自社の正規のメールまで届かなくなります。

3つ目は、none で始めてレポートを読むことです。DMARC には、自社ドメインを名乗るメールの送信状況を受け取る機能があります。知らない送信元から大量に送られていればなりすましの可能性があり、自社の配信サービスが漏れていれば設定の追加が必要です。警察庁もこの順番をすすめています。

4つ目は、正規のメールがそろったら quarantine、次に reject へ進めることです。一度に進めず、段階ごとに数週間ずつ様子を見ると安全です。

任せきりにしない

メールの設定は、ホームページの制作会社やプロバイダーに任せていることが多い分野です。設定を頼むときは、どの段階まで進めたか、レポートを誰が見るのかを必ず決めておきます。none のまま何年も止まっていると、警察庁が注意を促すとおり、誰でも自社を名乗れる状態とほとんど変わらないからです。