フィッシングメールは DMARC だけではなくならない 今だからこそ見直したい SPF の設定不備

　実在する組織や人物を騙って個人情報を盗み出したり、金銭的被害を与えるフィッシングメール被害の高止まりが続いている。モバイル通信事業者はこの戦いの最前線に立ち、多方面で被害を食い止めようと取り組んでいる。

　JPAAWG General Meeting 2025 の「モバイルキャリアパネルセッション前半戦 / 通信事業者の迷惑メール対策状況」では、ソフトバンク、NTTドコモ、楽天モバイル、KDDI のモバイルキャリア4社の担当者が勢揃いし、最近のトレンドや成果、そして今後注力すべき課題について、日々の奮闘から得られた知見を紹介した。

● DMARC 導入は、メールドメインという「自社ブランド」保護の必須条件に
　ソフトバンクの熊沢明生氏は、フィッシングの報告件数、被害額がともに高止まりの傾向にあり、その大半が、実在するメールアドレスへのなりすましによるものである実態を説明した。その上で、「メールドメインはもはや自社ブランドです。今 DMARC が必要とされている理由は、自社ブランドの保護に尽きると思っています」と述べ、DMARCの導入はもちろん、ポリシーを「reject」に設定し、厳密に運用してほしいとあらためて呼び掛けた。

　ソフトバンクではフィルタリングなどを用いてなりすましメールや迷惑メールを排除している。実にメール全体の約 6 割がコンテンツフィルタによって迷惑メールと判定されているが、今も昔も判定精度の向上が大きな課題だという。

　「フォルスポジティブをなくしつつ、フォルスネガティブもなくす両輪でなければ精度向上には当たりません。しかし、チューニングして片方を減らすと片方が増えるといった、天秤のような状況がこの数年続いています」（熊沢氏）

　熊沢氏がこのように考えるのは、正規の、本当に必要なワンタイムパスワード用のメールや定型的な短文メールが「迷惑メール」と判定されるケースが発生しているからだ。

　「最近、Amazon SES のように手軽にメールを送信できるツールが増えてきましたが、こうしたところから送信されるメールが迷惑メールと判断されるパターンが見受けられます」（熊沢氏）

　対策として、まず送信側で適切に設定を行い、コンテンツについても HTML 形式であればタグの不整合をなくすといった配慮が必要だという。もちろん事業者側でも、DMARC に加え、ドメインレピュテーションや AI フィルタといった技術を駆使して、精度向上に取り組んでいきたいという。

　ただ「現時点ではまだ、AI フィルタは既存のコンテンツフィルタの精度に及ばないところがあります。これをいかに向上させていくか、そのための教師データをどう用意するか、さらに、大量の受信メールを素早く評価するためにどのような設備が必要かなど検討すべきことが多い」（熊沢氏）というのが実情だという。

　とはいえ、取り組みの手を緩めるわけにはいかない。紹介した手段に加え、アカウントの不正利用を防ぐために SMTP Auth における認証をパスワード以外の方法で強化するなどの施策を講じながら、「迷惑メールを送信させないことに加え、受信側でも判定精度を上げていく努力を継続し、両輪で対策を進めていきたいと思います」と述べてセッションを終了した。

● 共用メールサーバでの不適切な SPF 設定が DMARC の信頼を揺るがす？
　続いて NTTドコモの正見健一朗氏が登壇し、昨今の迷惑メール対策で得られた効果を紹介した。

　NTTドコモは 2025 年 1 月から、DMARC に対応していない、あるいは DMARC での送信ドメイン認証に失敗したメールに対して「なりすましメールの可能性がある」と警告を表示する取り組みを開始した。「ハレーションが起こるかと懸念していましたが、国内の事業者が積極的に DMARC の導入を行ったため、ほぼ問題なくサービスをスタートできています」と正見氏は振り返った。

　2025 年 9 月を例に取ると、同氏の手元に届いたフィッシングメールの 95 ％に警告が表示される結果となっており、利用者にとって、なりすましを見分けやすくなったと評価している。また、ドコモメールでは全ての利用者において、DMARC のポリシーを quarantine に設定しているメールはきちんと隔離されるようになった。

　これを踏まえて正見氏は「まだまだ reject には抵抗があり、DMARC のポリシーを none のままにしているドメインが多く見られます。しかし実際には quarantine でも効果があります。none にするぐらいなら quarantine に設定していただきたいと思います」と呼び掛けた。

　一方で、懸念されるなりすまし事例が見つかったことも報告した。2024 年には Microsoft 365 の環境を悪用して、なりすましメールでありながら DMARC をパスしてしまう「EchoSpoofing」と呼ばれる手法が報告されたことがある。正見氏が発見したのはこれに似た、DMARC を支える SPF を悪用したフィッシングメールだ。

　SPF では、特定のドメインから送信されるメールの送信元 IP アドレスを、DNS の SPF レコードに記述しておき、届いたメールの送信元 IP アドレスがリストと一致しなければ Fail と判定する仕組みだ。

　だがこの事例では、とある共有メールサービスからのなりすましメールが SPF をパスしてしまっていた。攻撃者は何食わぬ顔で共用メールサーバを契約して踏み台にし、SPF をパスしてなりすましメールをばらまいていたのだ。

　共有メールサーバ事業者が顧客向けに公表している SPF の設定例が一因だという。「何が問題かというと、例に記された SPF で宣言されている IP アドレスの範囲が非常に広いんです。ほとんどの IP アドレスが通ってしまうのではないか、というぐらいの広さです」（正見氏）

　今回発見された手法は、こうした状態につけ込んだものだ。しかも「攻撃者にとっては、DNS を見れば、どの会社がこうした環境を採用しているかがわかり、簡単になりすませます。その上、同様の設定をしているドメインに対し、同じような手口でなりすましに成功できます。移行コストも安いため、彼らにとっては『お手軽セット』であり、脅威を感じています」と正見氏は述べた。

　現在の DMARC の仕組みでは、DKIM がなくても SPF 認証さえ通れば、DMARC 全体として「パス」と判定される。このため、DMARC のポリシーを quarantine や reject といった厳しいものに設定していても、SPF さえパスできれば DMARC もパスとなり、フィッシングメールが通過してしまうことになる。

　「本来ならば、DMARC におけるパスは、『これはなりすましメールではない』という意味を持っているはずです。しかし、このように SPF をかいくぐるケースが出てくると、パスの持つ意味が変わってしまいます。本物のメールと思われ、かえって逆効果となる恐れもあるでしょう」（正見氏）

　歴史を振り返ると、SPF は、元々はなりすましメール対策というよりも、迷惑メールではないことを示して受信側に受け取ってもらう仕組みとしての性質を持っていた。「なりすまし防止というよりも、相手に届かせるために SPF を記述しているケースがまだ残っているように思います」（正見氏）

　従って、パスの信頼度をいかに保っていくかがポイントであると正見氏は述べ、そのために「誰でも DMARC をパスしてしまう +all や exists の記述はもちろん、SPF の include に心当たりのあるものをすべて記述する広すぎる宣言などもやめ、最小限に絞ってほしいと思います」と呼び掛けた。

　この数年でせっかく DMARC の効果が実感され始めているだけに、重要な要素である SPF が悪用されてはもったいない。正見氏は、運用者側で適切な宣言・設定へ修正していくとともに、共用メールサーバに届いた時点で、送信者認証や DMARC によってなりすましメールをはじくといった形で共用メールサービスを提供している事業者とも連携しながら、なりすましを撲滅していきたいと述べ、講演を終えた。

● メールを正しく届けるために不可欠な、一貫性あるウォームアップ
　楽天モバイルの卯野文寛氏は、DDoS 攻撃対策や WAF、アクセスコントロールリストやセキュリティグループに基づく制御、そしてSPF、DKIM、DMARC を活用した「楽メール」の多層的な防御体制を紹介した。加えて、セキュリティゲートウェイを用いたコンテンツフィルタリングや URL 検証も行うことで、脅威の検出・排除に努めているという。

　「最後発だからこそセキュリティにはシビアに取り組んでおり、基本的に『Fail するものは Reject する』という対応を取っています」（卯野氏）

　一方、楽メールから送信されるメールが正しく相手に届くための施策も実施している。

　一つは、スパマーが用いる踏み台の監視・分析だ。「楽メール.jp というドメインがブラックリストに入り、レピュテーションが下がってしまう事態を避けるよう監視しています」（卯野氏）

　また、新しい IP アドレスやドメインからいきなり大量のメールを送信すると、スパム業者によるものと判定されてブロックされる場合がある。そんな事態を避けるため、SPF や DKIM、DMARC といった認証関連の設定はもちろん、4 週間から 8 週間といった時間をかけて段階的に送信メール数を増やしていくことで配信正当性の評価を高める「ウォームアップ」に努めていることも紹介した。

　卯野氏は「せっかくウォームアップしても、こうしたベストプラクティスに含まれるステップをスキップしたり、一週間以上中断すると、再びレピュテーションが下がってしまいます。継続した、一貫性を持った対応が必要となります」とし、続けていくことの重要性を強調した。

● 単に DMARC さえパスすれば OK とはいかない、これからも続くフィッシングとの戦い
　モバイル事業者セッションのトリには、KDDI の中島直規氏が登場した。中島氏はまず「いよいよ日本が危ない」と指摘した。これまで日本語のフィッシングメールには不自然な言葉遣いが含まれることが多く、利用者がある程度見抜くことができた。しかしこれも生成 AI の登場によって変化した。日本語は非常に流ちょうとなり、しかもメールの数自体も急増している。

　もちろん、KDDI を含むモバイル事業者も手をこまねいていたわけではない。過去 20 年あまりにわたって、SPF、迷惑メールのフィルタリング、そして DKIM や DMARC の導入といったさまざまな対策を積み重ねてきた。さらに 2025 年 9 月の総務省の要請を受け、いっそうの対策強化に取り組み始めた段階だ。

　そうした中、中島氏が注目している対策が BIMI だ。BIMI に対応すれば、DMARC でパスしたメールには、送信者があらかじめ登録したブランドロゴが表示されるようになる。「VMC証明書の発行や登録商標の申請など、BIMI に対応するには時間も手間もかかりますが、自社のブランドを守りたいと考える事業者にとっては、それを補ってあまりあるほどのメリットがあります」（中島氏）

　現に、BIMI に対応することで正規のメールが非常にわかりやすくなり、開封率が高まるというデータがある。加えて「我々の観測では、BIMI に対応した事業者をかたるフィッシングメールは、今のところほとんど観測されていません」と中島氏は説明し、まずは DMARC ポリシーを quarantine よりも厳しい reject で運用し、その上で BIMI に対応することで、ドメイン、ひいてはブランドを守ってほしいと呼び掛けた。

　一方、NTTドコモの正見氏が言及していた範囲の広すぎる SPF レコードや、大規模なクラウド基盤から送信される迷惑メールのリスクについて、中島氏もまた実感しているという。「大規模な基盤は SPF の範囲も非常に広く、正規の使い方をしている方もたくさんいるため、よい隠れ蓑になってしまっています。我々通信事業者としては、たくさんの利用者の方にきちんと受信させなければならない使命があり、ジレンマが存在します」（中島氏）

　なお、セッション後の質疑応答において、JPAAWG 会長の櫻庭秀次氏も、「私の調査でも、SPF のレコードがルーズになっている状況が見受けられ、パスの信頼性が落ちていると感じています」とコメントしている。さまざまなアプローチが考えられるものの、DKIM の導入が一つの対策になるという。

　中島氏は、この数年で DMARC の普及率は高まってきているものの、「DMARC が普及すればフィッシングメールはなくなるかというと、答えはもちろんノーです」とも述べた。

　フィッシングメールの中には、実在する有名ブランドをかたるものもあれば、正規のドメインをかたることなく、タイプミスのような文字列や、一見して判別しにくい ”紛らわしい文字列” を使ってユーザーをだますものも多い。騙っていないがために DMARC をパスし、メーラーによっては DMARC 認証をパスしたことを示すマークを表示するため、却って正しい送信元のメールであるかのように誤認する後押しをしてしまう、という逆効果をもたらす恐れもある。この点に留意し、「DMARC さえパスしていれば OK ではないという時代が来ており、注意が必要です」とした。

　中島氏の見るところ、攻撃者は、+all や不適切な exists のように SPF 設定に不備があるドメインを常に探索し、見つかればすかさず悪用して堂々と SPF をパスしてフィッシングメールを送信している。このため「このご時世にまだ SPF の話か、と思われるかもしれませんが、あらためてその重要性を認識していただければと思います」という。

　今後は総務省の要請も背景に、AI フィルタをはじめとする新たな技術を取り入れつつさらに対策を推進していく方針だ。ただ「やはり、受信サーバから見て怪しい振る舞いをする送信者のメールをどう扱うべきかがポイントだと感じています」と中島氏は述べ、正しくないメールを正しくフェイルさせ、日本の利用者をフィッシングメールから守るために、SPF や逆引きホストなどを正しく設定し、適切にメンテナンスしていってほしいとした。

　そしてモバイルキャリア業界全体で、正しいメールを送るために守るべき項目やすべきではないことをまとめた指針作りを進める方針だ。こういった総力体制で、「一緒に迷惑メール対策を進めていきたい」と中島氏は述べ、セッションを締めくくった。

　ちなみに「通信事業者の迷惑メール対策状況」は、今回ご紹介した前半戦に引き続き、後半戦として、SMSフィッシング（スミッシング）対策についても、4 キャリアによるパネルセッションが行われた。

元の記事を読む