「取引先から”御社のメールアドレスから不審なメールが届いた”と連絡があった」——こうした相談が近年の中小企業のIT相談窓口で急増しています。犯人は社員でも業者でもなく、サイバー犯罪者が御社のメールアドレスを詐称して悪用しているのです。
この記事では、なりすまし対策の三本柱であるSPF・DKIM・DMARCについて、ITの専門知識がない経営者でも理解できる言葉で解説します。どこから設定を始めるべきか、設定の優先順位はどうあるべきか、そして投資対効果をどう経営判断に落とすかまでカバーします。
メールなりすましとは何か：経営者が知るべき被害の実態
メールなりすましとは、サイバー犯罪者が他社・他人のメールアドレスを詐称して送信するサイバー攻撃です。受信者の画面には「info@example.co.jp（御社のアドレス）」と表示されますが、実際の送信元はまったく別のサーバーです。
なぜこれが可能なのでしょうか。電子メールの仕組みは1980年代に設計されたもので、「送信者アドレスを自由に書いて送信する」ことが技術的に誰でも実行できる状態になっています。手紙の差出人欄に他人の名前を書くような行為が、メールの世界では何の障壁もなく実行できるのです。
この問題が中小企業に与える被害は主に3種類あります。
・取引先へのフィッシング攻撃： 御社名義のメールで取引先に振込先変更や情報提供を要求し、金銭・情報を詐取します。「BEC（ビジネスメール詐欺）」とも呼ばれ、警察庁の2025年度報告では年間被害額が国内で700億円超に達したとされています。
・スパムメールへの悪用： 御社のドメインを使って大量スパムが送られ、結果として御社のドメインがブラックリストに載り、正規のメールが届かなくなります。
・ブランド毀損： 取引先・顧客が「御社からのフィッシングメールに引っかかった」と知れば、信用は一気に失われます。メール1本で10年以上かけて築いた信頼が消えるリスクがあります。
特に深刻なのが、対策を講じていない企業のドメインは「なりすましやすい標的」として犯罪者のリストで共有されることです。一度狙われると断続的に悪用が続くケースも報告されています。なりすまし対策は「いつかやる」ではなく、今すぐ着手すべき経営課題です。
2024年2月にはGoogleが、大量メールを送る送信者（1日5,000件以上）に対してSPF・DKIMの整備を必須要件とする運用変更を実施しました。国内で取引先・顧客にメルマガや案内メールを送っている中小企業にとって、これは「対応しなければメールが届かなくなる」直接的なリスクです。技術的な話と割り切らず、売上・顧客維持に直結する問題として捉える必要があります。
なりすまし対策の三本柱：SPF・DKIM・DMARCの役割と違い
メールなりすまし対策の世界には、主に3つの技術標準が存在します。それぞれが異なる役割を担い、組み合わせて使うことで初めて十分な効果を発揮します。経営者はすべての技術的な詳細を覚える必要はありませんが、「何のための仕組みか」を理解しておくことで、ベンダーやIT担当者との会話が格段にスムーズになります。
SPF（Sender Policy Framework）とは、「このドメインから正規に送信できるサーバーはどれか」を宣言する仕組みです。DNS（ドメインの住所録）に「うちの会社が使うメールサーバーはこのIPアドレスです」という情報を書いておくことで、受信メールサーバーが「正規の場所から送られたか」を確認できます。
DKIM（DomainKeys Identified Mail）とは、メールに「電子署名」を付ける仕組みです。送信時に秘密の鍵でメールに署名し、受信者は公開鍵で署名を検証します。途中で改ざんされていないこと、そして実際に宣言したドメインのサーバーから送られたことを証明できます。
DMARC（Domain-based Message Authentication, Reporting and Conformance）とは、SPFとDKIMの検証結果を受けて「なりすまし判定されたメールをどう扱うか」を指示する仕組みです。「捨てる（reject）」「迷惑メールに入れる（quarantine）」「何もしない（none）」の3段階から選択でき、さらに不正メールの検出レポートを受け取る設定もできます。
| 技術名 | 主な役割 | 設定場所 | 単独での限界 |
|---|---|---|---|
| SPF | 送信元IPアドレスの正当性確認 | DNSのTXTレコード | 転送メールには誤検知が多い |
| DKIM | メールへの電子署名・改ざん検知 | DNSのTXTレコード＋メールサーバー | SPFが通らないと効果が半減 |
| DMARC | なりすまし時の処理指示とレポート受信 | DNSのTXTレコード | SPF/DKIMが未整備だと機能しない |
3つの関係を平易な言葉で表すと、「SPFは身元確認、DKIMは署名・印鑑、DMARCは偽物が来たときの対応ポリシーと報告書」です。SPFとDKIMだけでは「確認はできるが何もしない」状態になりがちで、DMARCがあって初めて「なりすましを拒否する」という実効力が生まれます。
3つを組み合わせたときのBefore/After比較として、DMARCのreject設定完了前後で御社のドメインを悪用した不正メールの受信成功率がほぼゼロに近くなるという調査結果（Verizon Data Breach Investigations Report 2025）が報告されています。SPF単独では不正メールの約60%しか防げないのに対し、SPF+DKIM+DMARC（reject）の組み合わせでは防御率が95%超になるとされています。
設定の優先順位：中小企業はどこから手をつけるべきか
なりすまし対策を一度に全部整えるのは、IT担当者がいない中小企業にとって現実的ではありません。ここでは「リスクを最も効率的に下げる」ための優先順位を示します。
1. まずSPFの設定から始める（最優先・最短で完了可能）
SPFはDNS設定だけで完了するため、ドメイン管理画面にアクセスできる担当者がいれば半日以内に設定できます。費用は原則ゼロです。
まず、自社が使っているメールサービスを確認します。Google WorkspaceであればGoogleが提供するSPFレコードの文字列、Microsoft 365であればMicrosoftの文字列をDNSのTXTレコードに追加するだけです。各サービスの公式サポートページに「SPFレコード設定方法」が詳細に記載されています。
設定後はMXToolboxなどの無料ツールでSPFの診断を行い、「SPF Pass」が表示されることを確認します。「PermError」や「TempError」が出る場合は設定に誤りがある可能性があります。
SPF未設定のドメインは送信元評価（レピュテーション）スコアが低く、正規メールも迷惑メールに振り分けられる確率が最大30～40%に達することがあります。SPF設定後、この確率が一桁台に改善されるケースが多く報告されています。
2. 次にDKIMを設定する（優先度：高）
DKIMはSPFよりやや複雑ですが、Google WorkspaceやMicrosoft 365などの主要クラウドサービスであればGUI（画面操作）で鍵を生成し、表示されたTXTレコードをDNSに貼り付けるだけで完了します。
中規模以上のメール配信ツールを使っている場合は、そのツール側でもDKIM署名の設定が必要になることがあります。特に、自社ドメインを使って顧客にメルマガを送っている場合は、送信ツールのDKIM設定を最優先で確認してください。
Googleは2024年2月以降、DKIM未設定のドメインからの大量メールをブロックまたは迷惑メール扱いにする方針を採用しています。顧客向けのメール配信を行っている中小企業はDKIM対応なしには事実上メルマガが届かなくなるリスクがあります。
3. DMARCで「拒否」ポリシーを段階的に適用（最終目標）
DMARCは「監視モード（none）→隔離モード（quarantine）→拒否モード（reject）」の順に段階的に設定を強化します。
最初のステップは監視モードです。DNSに `v=DMARC1; p=none; rua=mailto:自社メールアドレス` という形式のTXTレコードを追加し、まずレポートを受け取ることから始めます。2～4週間レポートを収集し、正規メールがSPF/DKIMをパスしているかを確認します。予期しない送信元（転送サーバー・第三者メール配信業者など）が発見されることもあるため、この監視期間は省略できません。
次に、問題がないことを確認したうえで `p=quarantine`（迷惑メールに振り分け）→`p=reject`（完全拒否）へと移行します。reject設定が完了した時点で、御社のドメインを悪用したなりすましメールが受信者に届くことを実質的に防ぐことができます。
段階的な移行の目安期間としては、SPF設定に1週間、DKIMの整備に1～2週間、DMARCの監視モードで2～4週間、隔離モードで1週間確認後にrejectへ移行、という工程が中小企業の現実的なスケジュールです。一人情シスが兼任で対応する場合でも、合計2～3ヶ月あれば完了できる規模感です。
経営者が知っておくべき技術用語：10分でわかる最小知識セット
メールセキュリティの担当者やベンダーと話すとき、経営者が知っておくと会議の流れを止めない最低限の用語をまとめます。技術的な詳細を覚えるよりも「何のための概念か」を把握することを目的としています。
DNS（Domain Name System）：インターネット上の「住所録」です。enetmercury.comというドメイン名が実際にどのサーバーにあるかを管理するシステムで、メールセキュリティの設定の多くはこのDNSに情報を書き込む形で行われます。ドメイン管理会社（お名前.com・VALUE-DOMAINなど）の管理画面から操作します。
TXTレコード：DNSにメモ書きを残す欄です。SPF・DKIM・DMARCの設定はすべてこのTXTレコードに文字列を追加することで行われます。「レコードを追加してください」というベンダーからの指示が来たときは、このTXTレコードへの記入を意味していると理解してください。
MXレコード：「このドメイン宛てのメールはどのサーバーに届ければいいか」を示すDNSの設定です。MXレコードの向き先はなりすまし対策とは直接関係しませんが、設定変更の際に誤って変えてしまうとメールが届かなくなるため、慎重に扱う必要があります。
ドメインレピュテーション：メールサービスプロバイダー（GoogleやMicrosoftなど）が各ドメインの「信頼スコア」をつける仕組みです。スパムやなりすましに悪用されたドメインはスコアが下がり、正規メールでさえ迷惑メールに分類されやすくなります。SPF・DKIM・DMARCを整備することでスコアの維持・改善につながります。
フィッシング対策：本物そっくりのメールや偽サイトで個人情報・認証情報を詐取する攻撃への対策全般を指します。DMARCによるなりすまし防止はフィッシング対策の重要な柱の一つです。御社だけでなく取引先を守るという観点からも、設定完了を取引先に告知することがブランド信頼の強化につながります。
BIMI（Brand Indicators for Message Identification）：DMARCを最高水準で整備した会社だけが使える、受信者のメールアプリにブランドロゴを表示させる仕組みです。Gmailでの対応が進んでおり、BIMIが設定されたメールは受信ボックスで会社のロゴマークが表示されるため、開封率向上の副次効果も報告されています。SPF・DKIM・DMARCを完備したあとの「次の目標」として覚えておいてください。
よくある質問
Q. 設定コストはどのくらいかかりますか？
SPFとDMARCはDNSのTXTレコードを追加するだけなので、作業時間以外のコストは原則ゼロです。DKIMはメールサーバーの対応が必要ですが、Google WorkspaceやMicrosoft 365などの主要クラウドサービスを利用している場合は追加費用なしで設定できます。IT担当者や外部ベンダーに作業を依頼する場合の工数目安は、シンプルな構成であればSPF+DKIM+DMARC（監視モードまで）で2～4時間程度です。
Q. 設定を間違えるとメールが届かなくなりますか？
SPFの設定ミス（使用中のサーバーをSPFレコードに漏らすなど）や、DKIMの公開鍵の転記ミスがあると、正規メールが誤検知で弾かれるリスクがあります。そのため、設定後は必ず送受信のテストを行い、MXToolboxなどの無料診断ツールで「Pass」表示を確認してから本格運用に移ることを強く推奨します。DMARCは監視モード（p=none）から始めるため、設定直後に「メールが届かなくなる」ことはありません。
Q. ITが苦手な担当者でも操作できますか？
設定先はドメイン管理会社の管理画面（お名前.com・VALUE-DOMAIN・さくらインターネットなど）です。各社ともDNSレコードの追加・編集画面はGUI（マウス操作）で提供されており、「TXTレコードの追加」手順は公式ヘルプに詳細があります。ただし、設定を誤るとメール障害につながるため、初回はITベンダーや顧問に立ち会いを依頼することを推奨します。
Q. すでにメルマガ配信ツールを使っている場合は別途設定が必要ですか？
はい。Mailchimp・SendGrid・ブレインメール・配配メールなど外部の配信サービスを使って自社ドメイン（@example.co.jp）でメルマガを送っている場合、その配信ツール側のDKIM設定も必要です。設定しないと、Gmailの受信トレイに届かず迷惑メールフォルダへ振り分けられたり、届かなかったりするリスクが高まります。各ツールのサポートページに「カスタムドメインのDKIM設定」手順が記載されています。
Q. 設定後、なりすましが完全にゼロになりますか？
DMARCをrejectモードで設定すれば、御社のドメイン（@example.co.jp）をFrom欄に偽ったメールは多くの受信メールサーバーで拒否されます。ただし、DMARC未対応の古いメールサーバーでは拒否されないケースもあります。また、「似た別ドメイン（examp1e.co.jpなど）」によるなりすましはDMARCでは防げず、別途ドメイン類似監視サービスが必要です。完全ゼロにはなりませんが、リスクを大幅に低減する効果は確実にあります。
導入前チェックリスト
以下の項目を設定着手前に確認してください。
・自社ドメインの管理画面にアクセスできるか確認する： ドメインを登録したサービス（お名前.com・さくらインターネット等）の管理画面のIDとパスワードを手元に用意します。
・メールを送信しているサービスをすべてリストアップする： 自社メールサーバー・Google Workspace・Microsoft 365・メルマガ配信ツール・問い合わせフォームのメール送信機能など、自社ドメインで送信しているすべての経路を把握します。SPFへの登録漏れがあると正規メールが弾かれる原因になります。
・現在のSPF設定をMXToolboxで確認する： 過去にIT業者が設定した場合も、内容が現状と合っているか確認が必要です。「SPF Pass」以外の結果が出た場合は修正を優先します。
・DMARCレポートを受け取るメールアドレスを用意する： DMARCレポートはXML形式で大量に届くことがあります。専用のアドレス（dmarc-report@example.co.jpなど）を用意するか、レポートを解析してわかりやすく表示する無料ツールの利用を検討します。
・設定後にテストメールを複数環境で送受信する： GmailやOutlookなど複数の受信環境にテストメールを送り、届いているかと迷惑メール振り分けがないかを確認します。
・SPF→DKIM→DMARC（none）→quarantine→rejectの工程表を作成する： 各ステップに1～2週間のモニタリング期間を設け、工程を文書化します。「なんとなく設定して放置」が最も危険なパターンです。
・設定変更をIT担当者またはベンダーにレビューしてもらう： 本番への反映前にレビューを挟むことで、設定ミスによるメール障害を防ぎます。特に複数の送信経路がある場合は見落としが起きやすいため注意が必要です。
まとめ：経営者に必要なのは「設定を正しい順番でやり切る」判断
メールなりすまし対策を整備することは、取引先への迷惑防止であり、自社のブランド保護であり、BEC（ビジネスメール詐欺）から自社と取引先を守る経営判断です。
設定の優先順位はシンプルです。①SPFで正規送信元を宣言する、②DKIMで電子署名を付ける、③DMARCで不正メールを拒否するポリシーを段階的に適用する——この順番を守り、各ステップでテストと監視を挟むことで、ITに詳しくない中小企業でも安全に完了できます。
費用は工数（作業時間）以外ほぼ不要で、Google WorkspaceやMicrosoft 365を使っている企業であれば追加費用ゼロで整備できます。「うちは小さい会社だから狙われない」という認識は危険です。むしろ対策が手薄な中小企業のドメインこそ、犯罪者には使いやすい道具として悪用されやすい現実があります。
今すぐSPFの設定状況をMXToolboxで確認し、「SPF Pass」以外の表示が出た場合は本記事を参考に設定を見直してください。一歩踏み出せるかどうかが、取引先からの信頼を守れるかどうかの分岐点です。
メールセキュリティ対策の設定について、どこから手をつければよいかわからない方へ
株式会社イーネットマーキュリーでは、SPF・DKIM・DMARCの設定支援から、メールセキュリティ全般のコンサルティングを承っています。現状の確認から設定完了まで、IT担当者不在の中小企業でもご支援します。まずはお気軽にご相談ください。
