📧

なりすましメールとメール認証の仕組み：SPF / DKIM / DMARC の違いと「reject」の意味

に公開
SPF
email
DKIM
DMARC
なりすまし
tech

✅ SPF / DKIM / DMARC の違いと「reject」の意味

〜なりすましメールの裏側とメールセキュリティの限界〜

🔰 はじめに

「DMARCレポートが毎日届くけど、これは攻撃？問題？何をすればいいの？」

そんな疑問を持つ人に向けて、この記事では「SPF / DKIM / DMARC」の仕組みと、softfail や fail、reject の違い、そしてなりすましメールとメールセキュリティの限界について分かりやすく解説します。

✉️ なりすましメールの一例（フィクション）

From: support@example.com
送信元IP: 113.192.18.205

判定結果:
  - SPF: softfail
  - DKIM: fail
  - DMARC: reject

これは一見すると legitimate（正規）なメールに見えますが、実際にはなりすましメールです。

🔐 認証と評価の3ステップ

以下の図は、受信サーバーがメールをどのように判定しているかを示したものです。

[メール受信]
     ↓
──────────────────────────────
 ① SPFチェック（送信元IP）
 → 許可されたIPか？
 → 否 → softfail / fail
     ↓
──────────────────────────────
 ② DKIMチェック（署名確認）
 → 署名が一致するか？
 → 否 → fail
     ↓
──────────────────────────────
 ③ DMARCポリシー評価
 → SPFかDKIMのどちらかpass & ドメイン一致？
 → 否 → p=reject なら reject（拒否）

🧠 判定用語まとめ

判定 意味 説明
softfail SPF失敗（緩い） 「許可されてないが断定できない」
fail SPF/DKIM完全失敗 署名やIPが完全に不一致
reject DMARCポリシーにより拒否 メールは受信拒否される

🛡️ なりすましは「ブロック成功」であっても…

DMARCレポートが届くのは、「なりすましメールが拒否された」成功の証拠です。
あなたの設定（p=reject）が正常に働いています。

しかし…

⚠️ セキュリティの限界

現実には、以下のような盲点があります：

  • 🔸 DMARCを処理しない受信サーバーも存在します
    　→ そういったサーバーでは、なりすましメールが届いてしまう可能性があります。

  • 🔸 なりすまし送信元にはエラーメール（バウンス）が返る
    　→ それでもなりすましが継続されるケースがほとんどです。

  • 🔸 現在のメールセキュリティは“防衛”であり、“防御（阻止）”ではありません。
    　→ 攻撃を「止める」のではなく、「入れないようにする」仕組みです。
    　→ つまり、攻撃そのものは発生し続けます。

✅ まとめ

  • SPF・DKIMは認証技術、DMARCはそれに基づいた評価ポリシーです
  • softfail や fail は認証失敗のサイン
  • reject はDMARCがブロックに成功したという意味
  • それでも完全防御にはなっておらず、セキュリティには限界があります

📘 おわりに

もしあなたがDMARCレポートを見て、

「またなりすまし？」「自分が狙われている？」と不安になったら、

それは正常な反応です。

ただし、あなたが p=reject を設定していて、SPFとDKIMが機能しているなら、
今の時点では「守れている状態」です。

必要であれば、攻撃の傾向をまとめてISP通報するという対応も有効です。
守られているとはいえ、なりすまされているというのは不安なので、
私は７月のレポートをまとめたところで、通報をしようと考えています。

その際はまた、報告しますね。

Discussion