自社の名前で偽メールを送られる前に　なりすまし対策の設定は3つだけ

2026年10月29日、「【重要】お客様の個人情報流出に関する緊急のお知らせとお詫び」という件名の偽メールが出回っていると報じられました。差出人の欄には実在する会社のメールアドレスが表示されていましたが、送ったのはその会社ではありませんでした（Real Sound テック 2026年10月29日）。差出人の表示は、仕組みの上では簡単に偽装できます。

「うちの名前で、同じことをされたらどうしよう」。そう思っても、SPF や DMARC という言葉が並ぶと、何から手をつけていいか分からなくなります。この記事は、その迷いをなくすために書きました。

先に答えを言います。自社の名前で偽メールを送られないための設定は、会社のドメインの DNS（ドメインの設定をまとめた場所）に入れる 3 つだけです。①SPF（このドメインのメールを送ってよいサーバーの一覧）、②DKIM（メールに付ける電子署名）、③DMARC（①②に通らないメールをどう扱ってほしいかの指定）。言葉を覚える必要はありません。3 つがそろっているかを、制作会社かサーバー会社に 1 通で確かめてもらえば大丈夫です。

なぜドメインの設定で偽メールが止まるのか

偽メールを止めるのは、受け取る側のメールサービスです。受け取る側は、届いたメールが本当にそのドメインから来たかを、ドメインの DNS に書かれた 3 つの設定で照合します。

3 つが無いドメインは、照合のしようがありません。受け取る側は、偽物でもそのまま受信箱に入れてしまいます。逆に 3 つがそろっていれば、「このドメインの持ち主が許していないサーバーから来た。しかも持ち主は、こういうメールは受け取らないでと言っている」と判断でき、迷惑メールに回すか受け取りを断ります。

設定がどこまで進んでいるかは、大きな組織でもばらつきがあります。全国の銀行・信用金庫 386 機関の調査では、DMARC を入れているのは 60% でしたが、偽メールを隔離・拒否する設定まで進めていたのは約 27%、信用金庫では 12% でした（GMOブランドセキュリティ 2026年8月10日）。金融機関でもまだ途中です。今から始めても遅くありません。

1つ目　SPF　送ってよいサーバーの一覧

SPF は、「このドメインのメールを送ってよいのは、このサーバーだけです」とドメインの DNS に書いておく設定です。TXT レコード（DNS に書き込む文字の設定）として「v=spf1」から始まる 1 行を入れます。

会社のメールを Google Workspace で送っているなら、例えば「v=spf1 include:_spf.google.com -all」のような形になります。最後の「-all」は「一覧に無いサーバーからのメールは拒否」という意味です。ここが「+all」（誰でも送ってよい）になっていたり、何も書かれていなかったりすると、偽の送信元を止められません。

気をつける点は 2 つです。1 つは、SPF の行を 2 本以上に分けないこと。2 本あると、どちらも無効になります。もう 1 つは、自社のメールを送っている全部のサービスを一覧に入れることです。請求書の送信サービス、メール配信サービス、問い合わせフォームの自動返信など、会社のドメインで送っているものを書き出してから設定してもらいます。メールを送らないドメインには「v=spf1 -all」と入れておくと、偽メールに使われにくくなります。

2つ目　DKIM　メールに付ける電子署名

DKIM は、送るメール 1 通ずつに電子署名を付け、受け取る側が「途中で書き換えられていない、このドメインのメールだ」と確かめられるようにする設定です。

設定の場所は、使っているメールサービスの管理画面です。Google Workspace や Microsoft 365 の管理画面で DKIM を有効にすると、DNS に入れる TXT レコード（または CNAME レコード）が案内されます。それを DNS に追加すれば終わりです。

DKIM は、署名の名前（セレクター）が外からは分からないため、外からの診断では確かめにくい設定です。VibeGuard の診断でも、DKIM は対象にしていません。設定が済んだかは、自社から自分あてに 1 通送り、届いたメールのヘッダー（送信元や経路が書かれた部分）に「dkim=pass」と出ているかで確かめます。

3つ目　DMARC　通らないメールの扱いの指定

DMARC は、SPF や DKIM に通らないメールを、受け取る側にどう扱ってほしいかを指定する設定です。「_dmarc.（自社のドメイン）」に「v=DMARC1」から始まる TXT レコードを入れます。

扱いは 3 段階あります。「p=none」は見るだけで止めない、「p=quarantine」は迷惑メールに回す、「p=reject」は受け取らない、です。いきなり「p=reject」にすると、入れ忘れた送信元から送った自社の本物のメールまで届かなくなることがあります。そこで、次の順に進めます。

1. 「v=DMARC1; p=none; rua=」で始まる行を入れ、「rua=」の後ろにDMARC レポート（届き方の集計）を受け取るメールアドレスを書いて、レポートを 2〜4 週間見る
2. 自社の本物のメールが全部通っていると分かったら、「p=quarantine」に上げる
3. しばらく問題が無ければ、「p=reject」に上げる

「p=none」のまま止まっている会社は少なくありません。先ほどの金融機関の調査で、DMARC は 60% が入れているのに、隔離・拒否まで進めたのが約 27% だったのは、最初の「p=none」で止まっている組織が多いからです。「p=none」は始まりにすぎず、偽メールを止めるのは「p=quarantine」からです。

3つの設定を確かめる表

DNS を自社で触ったことがなくても困りません。DNS を管理しているのは、多くの場合サーバー会社かドメインを取った会社、または制作会社です。次の 1 通を送れば、話が進みます。

「当社のドメインに、SPF・DKIM・DMARC の 3 つが設定されているかを確かめてください。DMARC が無いか p=none なら、レポートを見ながら p=quarantine まで上げたいので、手順と費用を教えてください。」

偽メールが出回ったときに慌てないために

設定がそろっていても、偽メールが 1 通も届かなくなるわけではありません。似たドメインを取って送ってくる手口もあるからです。だから、設定と一緒に、出回ったときの動き方も決めておきます。

私の著書の第5章で紹介したとおり、漏えいのニュースのあとには、お詫びや補償を装った偽メールがやってきます。会社がお詫びのメールを出すときは、メールの中のリンクから手続きをさせず、「公式サイトから確認してください」と書き、公式サイトにも同じ内容を載せておく。これだけで、お客様が偽物にだまされる危険を減らせます。

今日やること

1. 会社のドメインでメールを送っているサービスを全部書き出す（メールソフト・請求書の送信・メール配信・フォームの自動返信）
2. その一覧を付けて、制作会社かサーバー会社に「SPF・DKIM・DMARC の 3 つが設定されているか」を 1 通で聞く
3. 会社のドメインのメールアドレスで、無料診断を 1 回申し込み、サイト側の問題もあわせて見る

よくある質問

SPF・DKIM・DMARC は、うちのような小さな会社にも必要ですか？

必要です。偽メールは会社の大きさに関係なく、名前を使えるドメインなら狙われます。設定はドメインの DNS に数行足すだけで、費用もほとんどかかりません。メールを送らないドメインでも、SPF に「v=spf1 -all」と入れておくと、偽メールに使われにくくなります。

DMARC をいきなり「p=reject」にしてもいいですか？

おすすめしません。請求書の送信サービスやメール配信サービスなど、SPF や DKIM に入れ忘れた送信元があると、自社の本物のメールまで届かなくなります。まず「p=none」で 2〜4 週間、届いたレポートを見てから「p=quarantine」、最後に「p=reject」へ上げます。

設定が済んだかは、自分で確かめられますか？

自社から自分あてにメールを 1 通送り、届いたメールのヘッダーに「spf=pass」「dkim=pass」「dmarc=pass」と出ているかを見ます。ヘッダーの見方が分からなければ、制作会社に転送して見てもらってください。VibeGuard の有料プランの診断でも、SPF と DMARC の設定を確かめます。

もう自社の名前で偽メールが出回っていたら、どうすればいいですか？

まず自社のサイトのお知らせに「当社を装ったメールが出回っています。リンクを開かず削除してください」と載せます。あわせて、この記事の 3 つの設定がそろっているかを制作会社に確かめてもらいます。設定がそろうと、受け取る側で偽メールが止まりやすくなります。

VibeGuard の無料診断は、Web サイトの外から見える所（通信を暗号化する SSL 証明書・公開されたファイル・外部サービスとのつながり）を確かめます。メールの SPF と DMARC の設定は、有料プランの診断で確かめます。毎日のモニタリングまで任せたくなったら、料金のページでプランを見比べてください（2026年11月3日時点・スタンダードは月 5,000 円・税別）。最初にやることの全体は、何から手をつけるか分からない社長への記事にまとめています。

書いた人: 江藤正親（アンリミテッドアム株式会社 CEO）。セキュリティ診断サービス VibeGuard を運営。著書『情報漏洩・ランサムウェアから会社を守る　経営者が今すぐやること』。

出典

• Real Sound テック 2026年10月29日（「お詫び」を装う偽メールの手口と対処法）
• GMOブランドセキュリティ 2026年8月10日（金融機関386機関のDMARC導入率）
• 江藤正親『情報漏洩・ランサムウェアから会社を守る　経営者が今すぐやること』
• VibeGuard 無料診断（2026-11-03 確認）
• VibeGuard 料金（2026-11-03 確認）