なりすましメールとは、実在する企業・取引先・社員などを装い、送信者を偽って送られるメールのことです。受信者に本物だと信じさせ、添付ファイルを開かせたり、偽サイトで認証情報を入力させたり、送金させたりすることが目的です。
なお「なりすましメール」は攻撃手口を指す言葉で、製品やサービスの名前ではありません。そのため「使い方」や「料金」は存在しません。本記事では、検索している人が実際に知りたいであろう「手口」「防ぎ方」「対策にかかるもの」を整理します。
なりすましメールとは：2つの手口
なりすましメールは、大きく2種類に分けられます。
1つ目は送信元の偽装です。メールの仕組みでは差出人欄（From）を送信者が自由に書けるため、実在の企業ドメインや社員名を名乗ったメールを、第三者のサーバーから送れてしまいます。似た綴りのドメインを取得して使う方法や、表示名だけを偽る方法もこの種類に含まれます。
2つ目は正規アカウントの乗っ取りです。パスワード漏えいなどで本物のメールアカウントに不正ログインし、そこから送信します。送信元は本物なので、後述する送信ドメイン認証では検知できません。受信者が見抜くのが最も難しい手口です。
実際の事例：日経の社員アカウントから約9000件
当サイトで取り上げた事例では、日経の社員アカウントからなりすましメールが約9000件送信されました（ITmedia NEWS報道）。原因としてMicrosoft 365への不正ログインが疑われており、2つ目の「乗っ取り型」にあたります。侵入経路、メールの内容、情報流出の有無は、報道の見出し段階では明らかになっていません。
また、ニチレイはサイバー攻撃により、取引先の役職員6849件を含む約5万件の個人情報漏えいを確認したと9月18日の第7報で公表しました。発表時点で不正利用は確認されていません。以下は一般論としての推測ですが、取引先の氏名や所属のような情報は、なりすましメールの宛先や文面を本物らしく見せる材料になりえます。
エンジニア向け：仕組みで防ぐ方法（SPF・DKIM・DMARC）
送信元の偽装には、送信ドメイン認証で対抗します。
- SPF：そのドメインのメールを送ってよいサーバーをDNSに公開し、受信側が照合する - DKIM：送信メールに電子署名を付け、改ざんやドメイン詐称を検出する - DMARC：SPF・DKIMの結果とFromドメインの一致を確認し、失敗時に受信側へ「隔離」「拒否」などの扱いを指示する。集計レポートも受け取れる
ただし、これらは乗っ取り型には効きません。乗っ取り対策としては、多要素認証の導入、不審なログインの監視、短時間に大量送信したアカウントの検知が中心になります。日経の事例のように数千件規模の送信は、送信量の監視で早期に気づける可能性があります（一般論としての推測）。
企画・DX担当、投資家向け：費用と市場の見方
なりすましメールそのものに料金はありませんが、対策には費用がかかります。SPF・DKIM・DMARCの設定自体はDNSとメールサーバーの設定作業です。一方、DMARCレポートの分析サービス、メールセキュリティ製品、多要素認証の基盤などは有償の製品が多く、価格は製品や規模によって異なります。本記事では具体的な価格は扱いません。
「誰が作っているか」「競合は何か」という問いも、攻撃手口であるなりすましメールには当てはまりません。見るべきなのは対策側の市場、つまりメールセキュリティ、認証基盤、DMARC運用支援などの領域です。正規アカウントの乗っ取りが実害につながっている事例があることから、送信元の偽装を防ぐ対策と、アカウントの保護・監視の両方が求められていると言えます。
