AIで自然になった偽メールに、社員の目だけで立ち向かわない｜DMARCと送金確認ルールの整え方

「取引先から届いたメールの日本語が、あまりにも自然で、偽物だとは思わなかった」。生成AIが身近になったいま、こうした状況は誰にでも起こり得るものになっています。総務省は2025年9月、電気通信事業者に対してフィッシングメール対策の強化を要請しました。その報道資料では、生成AIを用いて自然な日本語を大量に生成できるようになり、これまで以上に精巧なフィッシングメールの送付が容易になっている、という認識が示されています。

これまで多くの会社では、「怪しいメールは日本語がおかしいから分かる」「社員研修で見分け方を教えている」という考え方で、なりすましメールに向き合ってきました。不自然な敬語や、機械翻訳のような言い回しが目印になっていた時期は、確かにありました。しかし、文面の違和感という目印が薄れてきた以上、「社員一人ひとりが見抜くこと」だけに頼る対策は、以前より心もとないものになっています。注意深い社員であっても、忙しい月末に、普段のやり取りとそっくりな文面で振込先の変更を頼まれれば、判断を誤ることはあります。それは個人の能力の問題ではなく、仕組みの問題だと考えたほうが、対策を前に進めやすくなります。

この記事では、中小企業の経営者や総務担当の方、そして会社のドメインやWebサイトを管理しているWeb担当者の方に向けて、「見抜く力」に頼りすぎない、なりすましメール対策の考え方を整理します。柱は三つです。一つ目は、自社のドメインを勝手に名乗らせないための技術的な設定（SPF・DKIM・DMARC）。二つ目は、送金や振込先の変更を頼まれたときの確認ルール。三つ目は、「少しおかしい」と感じた社員が、すぐに報告できる社内の体制です。

メールの設定というと、Microsoft 365への切り替え手順のように、MXレコードやSPFを正しく書き換える作業を思い浮かべる方も多いと思います。今回はその一歩先の話として、「自社を名乗る偽メールを、受け取る側で止めてもらう」ための設定と、技術だけでは防げない部分を補う運用ルールを中心に扱います。

私はフリーランスのWebディレクター兼エンジニアとして、Webサイトの制作や運用に関わる中で、ドメインやDNS、メールの設定に触れる機会が多くあります。その立場から、専門用語をできるだけ噛み砕きながら、総務省や警察庁、IPA、GoogleやYahooが公開している一次情報に沿って解説します。読み終えたときに、「自社では何から確認すればよいか」が具体的に分かる状態を目指します。

生成AIで変わった偽メール：「日本語の違和感」で見抜きにくくなった理由

文面の自然さは、もう目印になりにくい

なりすましメールの見分け方として、長く使われてきたのが「日本語の不自然さ」です。おかしな敬語、句読点の位置の違和感、日本では使わない言い回し。こうした特徴は、海外から送られてくる詐欺メールを見分けるための、分かりやすい目印でした。しかし、冒頭で触れた総務省の要請文が示すように、生成AIによって自然な日本語の文章を大量に作ることが容易になっています。取引先の担当者らしい丁寧な文面や、社長らしい簡潔な指示メールを、違和感なく作れてしまう環境になったということです。

警察庁の令和7年におけるサイバー空間をめぐる脅威の情勢等についてでも、大手ECサイトを装ったフィッシングサイトを作る際に、生成AIを悪用して改修を行っていた被疑者を検挙した事例が紹介されています。偽メールの文面だけでなく、誘導先の偽サイトづくりにも、AIが使われ始めていることが分かります。

ビジネスメール詐欺は「文面」より「状況」で仕掛けてくる

会社にとって特に注意が必要なのが、ビジネスメール詐欺（BEC）と呼ばれる手口です。警察庁のビジネスメール詐欺の解説ページでは、取引先や自社の経営者になりすまして偽のメールを送り、攻撃者が用意した口座へお金を振り込ませる詐欺として説明されています。一度海外に送金してしまうと、回収は非常に困難だとされています。

IPAのビジネスメール詐欺 FAQによると、攻撃者がメールのやり取りを盗み見たうえで、ちょうど請求のタイミングに合わせて振込先の変更を依頼してくる手口や、フリーメールで取ったアドレスの「表示名」だけを取引先の名前に細工する手口が見られます。また、違和感をメールで確認しようとすると、攻撃者がうそで取り繕ってくることもあると注意を促しています。つまり、文面の自然さだけでなく、「タイミング」や「やり取りの流れ」まで本物らしく作り込まれることがあるのです。

「見抜く」から「仕組みで止める」へ

ここで大切なのは、社員教育が無意味になったわけではない、という点です。手口を知っていることは、今でも重要な備えです。ただ、教育だけを頼りにすると、「見抜けなかった人の責任」という話になりがちです。そうではなく、偽メールがそもそも届きにくくなる技術的な設定と、仮に届いても送金まで進まない確認ルールを、あらかじめ組み合わせておく。この考え方に切り替えることが、AI時代のなりすまし対策の出発点になります。

自社ドメインを名乗らせない：SPF・DKIM・DMARCの役割と始め方

三つの仕組みは「名札」と「印鑑」と「対応ルール」

なりすましメールには、取引先を装うものだけでなく、「自社のドメインを名乗って、自社の顧客や取引先に送られる」ものもあります。たとえば、info@example.co.jp という自社のアドレスを差出人に見せかけた偽メールが、顧客に届いてしまうケースです。これを受け取る側で見分けてもらうための仕組みが、SPF・DKIM・DMARCという三つの送信ドメイン認証技術です。

たとえるなら、SPFは「このドメインのメールは、この郵便局（サーバー）から出します」という届け出です。DKIMは、メール一通ごとに押す電子的な印鑑で、途中で書き換えられていないことを確かめられます。そしてDMARCは、「この二つの確認に通らないメールが自社を名乗って届いたら、どう扱ってほしいか」を、受け取る側に伝える対応ルールです。いずれも、ドメインのDNSに設定を書き込むことで有効になります。DNSそのものの仕組みは、DNSの基礎を解説した記事も参考にしてください。

GoogleとYahooが送信者に求めていること

この分野で大きな転機になったのが、Gmailと米Yahooの送信者向けガイドラインです。Googleのメール送信者のガイドラインでは、2024年2月1日以降、Gmailアカウントにメールを送るすべての送信者に、SPFまたはDKIMの設定を求めています。さらに、1日あたり5,000件を超えるメールを送る送信者には、SPFとDKIMの両方、DMARCの設定（ポリシーは none でもよい）、差出人のドメインとSPFまたはDKIMのドメインを一致させること（アライメント）を求めています。同じGoogleのよくある質問では、2025年11月から、要件を満たしていない送信元への措置を強めていることも案内されています。

YahooのSender Best Practicesでも、大量に送る送信者にSPFとDKIMの両方と、最低でも p=none のDMARCポリシーを求めています。あわせて、FAQでは、なりすましの問題を抱えているなら、p=quarantine や p=reject といった強いポリシーを設定すべきだとしています。

小さく始めて、段階的に強くする

DMARCは、最初から強いルールにする必要はありません。迷惑メール対策推進協議会の送信ドメイン認証技術 DMARC導入ガイドラインでは、まず p=none（何もしない・様子を見る）から始め、レポートで認証結果を確認しながら、p=quarantine（迷惑メール扱い）、p=reject（受け取り拒否）へと強度を上げていく進め方を勧めています。最初の設定は、たとえば次のような一行です。

_dmarc.example.co.jp. TXT "v=DMARC1; p=none; rua=mailto:dmarc-report@example.co.jp"

rua= は、受信側から集計レポートを受け取るアドレスです。レポートを見ることで、自社が使っている正規の送信元（メールサービス、ECの通知メール、メルマガ配信サービスなど）がきちんと認証に通っているかを確認できます。警察庁も、令和7年の不正アクセス行為の発生状況の中で、自社ドメインになりすましたフィッシングメールを防ぐため、DMARC・SPF・DKIMを計画的に導入し、DMARCは受信拒否を求めるポリシーで運用することを、アクセス管理者が講ずべき措置として挙げています。

送金・振込先変更の依頼は「メール以外」で確かめる

技術では防げない部分がある

SPF・DKIM・DMARCは、自社のドメインを勝手に名乗られることを防ぐうえで有効です。ただし、取引先のドメインによく似た別のドメイン（example-co.jp のような紛らわしいもの）から送られてくるメールや、取引先のメールアカウントそのものが乗っ取られて送られてくるメールは、認証に通ってしまうことがあります。IPAのビジネスメール詐欺の事例集にも、取引先担当者のメールアカウントが乗っ取られ、正規のアドレスから口座変更を求めるメールが届いた事例が掲載されています。だからこそ、お金が動く場面には、技術とは別の「確認ルール」が欠かせません。

悪い運用と、改善した運用

ここでは、よくある運用と、それを改善した運用を比べてみます。

警察庁のビジネスメール詐欺の解説ページでは、送金に関するメールを受け取ったら、電話やFAXなどメール以外の方法で確認すること、そしてメールに書かれた連絡先は偽装されている可能性があるため、名刺や自分のアドレス帳にある連絡先を使うことを勧めています。IPAのビジネスメール詐欺の対策でも、急な振込先や決済手段の変更があった場合に、取引先へメール以外の方法で確認するチェック体制を、社内規程として整えることが挙げられています。

ルールは「文書」にして、取引先にも伝える

確認ルールは、担当者の頭の中にあるだけでは機能しにくいものです。経理や総務の手順書に一文を加え、「振込先の変更はメールだけでは受け付けない」と明文化しておくと、急かされたときにも「社内の決まりなので」と落ち着いて確認できます。さらに、取引先にも「当社は振込先の変更をメールだけでお願いすることはありません」と伝えておけば、相手側が偽メールを受け取ったときの判断材料にもなります。

IPAのFAQでは、電話を悪用する手口があることにも触れ、通知された番号が偽装されている場合があるため、正規の連絡先を確認してかけ直すことを勧めています。確認の手段を一つに決めつけず、「こちらから、以前から知っている連絡先に連絡する」という原則を守ることが、手口の変化に左右されにくい確認ルールになります。

「おかしい」を言いやすくする：社内の報告体制と初動の決め方

一人が気付いた違和感を、会社全体の守りにする

偽メールに気付いた社員がいても、その情報が本人の中だけで止まってしまえば、別の社員が同じ手口でだまされる可能性は残ります。警察庁の解説ページでは、ある社員が不審点に気付いて被害を食い止めても、攻撃者は社内の他の社員を同じ手口でだまそうとするかもしれないとして、不審なメールや手口の情報を集約し、会社全体で共有する体制を整えることを勧めています。IPAのFAQでも、ビジネスメール詐欺かどうか分からない段階でも、少しでも違和感があれば適切な部門に報告するよう呼びかけています。

報告の窓口と、報告のしかたを決めておく

報告の体制は、大がかりなものでなくて構いません。中小企業であれば、次の三つを決めておくだけでも、動きやすさが変わります。

1. 報告先を一つに決める（総務の担当者、または経営者本人など）
2. 報告の方法を決める（社内チャットの専用チャンネル、内線など）
3. 報告するときに伝えることを決める（届いた日時、差出人、件名、何を求められたか）

大切なのは、「開いてしまった」「返信してしまった」という報告を、責めない文化をつくることです。叱られることを恐れて報告が遅れるほうが、被害は広がりやすくなります。「迷ったら、まず相談してください。空振りでも構いません」と、経営者自身が言葉にして伝えておくことが、何よりの後押しになります。

もし送金してしまったら、最初にやること

万が一送金してしまった場合の初動も、あらかじめ確認しておきましょう。警察庁の解説ページでは、速やかに送金元の銀行に連絡して送金のキャンセルや組戻しを依頼すること、攻撃者から届いたメールやメールヘッダの情報を保存すること、経緯を時系列にまとめること、最寄りの警察署に相談することが挙げられています。取引先にも偽メールが届いている可能性があるため、取引先への連絡も必要です。

また、IPAのFAQでは、攻撃者がメールを盗み見ている可能性があるとして、パソコンのウイルスチェックやメールアカウントのパスワード変更を行うこと、そして外部への転送設定や、普段見ないフォルダへの振り分け設定が勝手に追加されていないかを調べることを勧めています。こうした確認項目を、一枚のメモにまとめて総務の手元に置いておくだけでも、いざというときの動き出しが早くなります。中小企業向けの具体的な手順は、IPAの中小企業のためのセキュリティインシデント対応の手引きも参考になります。

現場でつまずきやすいポイント

自社のメールを送っている「すべての送信元」を把握していない

DMARCの設定で最もつまずきやすいのが、自社ドメインのメールを送っている送信元の洗い出しです。普段使っているメールサービスだけでなく、ECサイトの注文確認メール、予約システムの通知、メルマガ配信サービス、Webサイトの問い合わせフォーム、複合機のスキャン送信など、自社ドメインを名乗ってメールを送っている仕組みは意外に多くあります。これらのSPFやDKIMを整えないまま p=reject にすると、正規のメールまで受け取り拒否される可能性があります。p=none の段階でレポートを確認し、知らない送信元がないかを洗い出してから、ポリシーを強めていきましょう。

DMARCレポートが読めずに放置される

DMARCの集計レポートは、圧縮されたXML形式のファイルとして届きます。迷惑メール対策推進協議会のガイドラインでも、人の目で内容を確認するのは一般的に困難だとして、ツールや解析サービスの利用を検討すべきだとしています。レポートの宛先を設定したものの、誰も中身を見ていない、という状態はよく起こります。解析サービスを使うか、Web制作会社や保守の担当者に見てもらうなど、「誰が、どのくらいの頻度で確認するか」まで決めておくことが大切です。

SPFの書き方の誤りと、転送メールの扱い

SPFレコードは、書き方を誤ると正規のメールまで認証に失敗します。同じガイドラインでは、設定前にチェックサイト等で内容を確認することや、他社のサービスを include で指定している場合は、相手側の変更で影響を受けることがあるため定期的に確認することを勧めています。また、転送されたメールは認証に失敗しやすいことも知っておきたい点です。総務省は2026年9月、自省ドメインのメール認証対策を強化した際のお知らせで、メール転送サービスや自動転送を使っている場合、転送の仕組みによっては認証に失敗し、メールが受信できなくなる可能性があると案内しています。社内で自動転送を多用している場合は、ポリシーを強める前に影響を確認しておきましょう。

使っていないドメインを放置している

キャンペーン用に取ったドメインや、旧社名のドメインなど、メールを送っていないドメインも、なりすましに悪用される可能性があります。ガイドラインでは、メールに使わないドメインには、SPFで「すべて失敗」とする設定と、p=reject のDMARCレコード、そしてNull MXを設定する方法が示されています。

example.jp. MX 0 .
example.jp. TXT "v=spf1 -all"
_dmarc.example.jp. TXT "v=DMARC1; p=reject"

「認証に通った」＝「安全」と思い込む

最後に、受け取る側としての注意点です。同じガイドラインでは、フィッシングなどの迷惑メールの多くもDMARCなどの送信ドメイン認証に対応してきており、認証に通ったからといってなりすましではないとは限らない、と説明しています。認証は「そのドメインから送られた」ことを確かめる仕組みであり、「そのドメインが本物の取引先である」ことまでは保証しません。だからこそ、前のセクションで紹介した送金の確認ルールと、組み合わせて運用することが大切です。

まとめ：見抜く力より、仕組みで止める

生成AIによって、自然な日本語の偽メールを作ることは以前よりはるかに容易になりました。総務省の要請文や警察庁の報告にも、その変化がはっきりと表れています。こうした状況で、社員一人ひとりの「見抜く力」だけに頼るのは、守る側にとって負担の大きいやり方です。注意深い人でも、忙しいときや、本物そっくりのタイミングで届いたメールには、判断を誤ることがあります。

そこでこの記事では、三つの仕組みを組み合わせる考え方を紹介しました。一つ目は、SPF・DKIM・DMARCによって、自社のドメインを勝手に名乗らせないこと。p=none から始めてレポートを確認し、段階的にポリシーを強めていく進め方が、正規のメールを止めてしまう事故を避けながら守りを固めるうえで現実的です。二つ目は、送金や振込先の変更を、メール以外の手段で確かめる確認ルールです。確認には、メールに書かれた連絡先ではなく、以前から知っている連絡先を使います。三つ目は、違和感を気軽に報告できる社内の体制と、万が一のときの初動の手順です。

どれも、特別な製品を導入しなければできないものではありません。DMARCの設定はDNSに一行を加えるところから始められますし、確認ルールは手順書に一文を加えるところから始められます。大切なのは、「誰かが見抜いてくれるはず」という前提をやめて、見抜けなかった場合にも被害が広がりにくい流れを、あらかじめ用意しておくことです。

まずは、次の三つを確認してみてください。

1. 自社のドメインに、SPF・DKIM・DMARCのレコードが設定されているか（DNSの管理画面や、Web制作会社に確認できます）
2. 振込先の変更をメールだけで受け付けない、という決まりが、経理・総務の手順として文書になっているか
3. 怪しいメールを受け取ったとき、社員が誰に、どうやって報告すればよいかが決まっているか

一つでも「分からない」「決まっていない」項目があれば、そこが最初に見直すポイントです。なお、ドメインやDNSの管理画面にログインできる人が社内にいない場合は、担当者が退職した後のログイン情報の扱いを解説した記事もあわせてご覧ください。設定を変える以前に、「誰が設定を変えられるのか」を確認することが、対策の第一歩になる場合もあります。

「自社のドメインにDMARCが設定されているか分からない」「メールを送っている仕組みが多く、どこから手を付ければよいか迷っている」という企業の方は、ドメインとメール設定の現状確認からご相談を承っています。相談・お問い合わせからお気軽にご連絡ください。