ある日、自分の会社ドメインを名乗る不審なメールが、自分宛に届いた。まず落ち着いて大丈夫です。これは多くの場合“侵入”ではなく“差出人の詐称”です。見分け方と、止め方を防御目線で解説します（攻撃の作り方は扱いません）。
Gmailなどの個人アドレスで受け取った方へ
この記事は独自ドメインを運営している側向けです。GmailやキャリアメールなどのアドレスにFrom＝自分のアドレスの迷惑メール・脅迫メールが届いた方は、自分のアドレスから迷惑メールが届いた——乗っ取りか見分ける3か所 をご覧ください。
まず安心：なりすまし ≠ 乗っ取り
一番大事な誤解ポイントです。メールの封筒の「差出人」は、送る側が自由に書けます。だからあなたのドメイン名を勝手に書いた郵便物が1通届いただけで、家に侵入されたわけではない、というのが基本の構図です。
ただし例外として、本当にメールアカウントが乗っ取られているケースもゼロではありません。その区別こそ、ヘッダを読めば分かります。
ヘッダで「侵害」か「詐称」かを見分ける
メールには本文の裏に「ヘッダ」という配送記録が付いています（Gmailなら「メッセージのソースを表示」で読めます）。見るべき項目はこの5つです。
| ヘッダ | 見るポイント | こう読む |
|---|---|---|
| Authentication-Results | spf= / dkim= / dmarc= の結果 | dmarc=fail なら「正規の認証が通っていない＝詐称の可能性大」 |
| Received（複数連なる） | 一番下＝最初の発信元 | 自分の契約サーバー以外から出ていれば「外部からの詐称」 |
| Return-Path（封筒の差出人） | 見えているFromと一致するか | 食い違い＝詐称のサイン |
| Reply-To（返信先） | 返信がどこへ飛ぶか | Fromは社内風なのに返信先が無関係な外部 → 返信させて情報を取る手口 |
| X-Mailer（送信ソフト名） | まともな名前か | 意味不明なランダム文字列＝自動スパムツールの特徴 |
とくに見落としがちなのが Reply-To です。Fromは社内の同僚そっくりでも、返信するとまったく別の外部アドレスに届きます。そこへ言われるまま機密や連絡先（チャットのQRコード等）を返信させ、連絡経路を乗っ取るのが狙いです。Fromの見た目だけで信用しないことが、人間側の最大の防御です（→ フィッシングとは）。
なぜ受信箱まで届いてしまうのか
詐称メールが迷惑メールにすらならず届くのは、受信側に偽のメールを拒否する根拠が無いからです。
DMARCの方針が無い
あなたのドメインに DMARC ポリシーが設定されていないと、受信側はFromの詐称を検知できても強制的に拒否できない。これが受信箱まで届く最大の主因。
SPFが拒否しない設定（~all）になっている
SPFの末尾が ~all（ソフトフェイル＝「怪しいが拒否はしない」）だと、受信側は拒否する根拠が足りない。
転送がSPFを壊す
受信したメールを別アドレスへ転送すると、SPFは転送元サーバー基準で“pass”に見えるのに、Fromは別ドメインのまま。この食い違いを最終的に判定するのがDMARC。
ここで効いてくるのが DKIM署名です。SPFは転送で壊れますが、DKIM署名は転送されても有効なままです。拒否(reject)まで上げても正規メールを誤って拒否しないために必要なのがDKIMで、これが対策でDKIMを先に整える理由です。
直し方：SPF → DKIM → DMARC を段階的に
仕組みの詳細は SPF / DKIM / DMARC とは に譲り、ここでは安全な順序だけ説明します。最も大事なのは「いきなり拒否にしない」ことです。
SPF を1本だけ正しく
DKIM 署名を有効化（先に済ませる）
DMARC は p=none（監視のみ）から
p=none ＋レポート受信で、正規メールが拒否されないかを1〜2週間観察する。段階的に reject まで上げる
p=quarantine → p=reject へ。最終的に「詐称は受信側で拒否」を達成して初めて、今回のようなメールが相手の受信箱に届く前に拒否される。足りない設定はドメインごとに違う
複数ドメインを点検すると、足りない設定が正反対になりがちです。理由は、送信の仕組みが違うと、サービスが自動で設定してくれる範囲も違うからです。
メール配信サービス型
- 例：取引メールを外部の配信サービスから送る構成
- DKIM / DMARC は初期設定で自動で入りやすい
- 一方で SPF だけは自分でDNSに追記が必要 → そこが抜けがち
ホスティング標準型
- 例：レンタルサーバーから直接送る構成
- SPF は最初から入っていることが多い
- 一方で DKIM は手動でON・DMARCは自分で発行 → その2つが抜けがち
どちらも「3つ揃っていない」点では同じで、足りないものが逆なだけです。自分のドメインがどのパターンかを知るのが第一歩です。
当サイトの視点：設定しただけでは止まらない。点検して初めて効く
当サイトは、メール認証は「設定して終わり」ではなく点検して初めて効くと考えます。自分のドメインは SPF / DKIM / DMARC チェッカー や サイト総合セキュリティ診断 で現状を一度に確認できます。
設定値ひとつとっても注意点があります。たとえば失敗レポートの送信先(ruf)が無いのに fo を付けても、仕様上無視されるだけで意味がありません。レビューで初めて気づくこうした「無害だが無意味な設定」は珍しくありません。
そして最も重要なのは、偽装メールを受信側に拒否させること（DMARC）と、人が偽のメールに返信しないことの2つです。検知や設定の前に、仕組みで止める設計を置くのが当サイトの基本姿勢です。