なりすましメールの対策は、メールで届くものとお問い合わせフォームから届くものを分けて考えると整理できます。前者は SPF・DKIM・DMARC という技術で機械的に検証できますが、後者はその仕組みがそもそも働きません。
この記事は、社名を騙る問い合わせや営業を受け取る側 — 中小企業の問い合わせ窓口・Web 担当・情シスの方に向けて書いています。私たちは自社サイトを含む複数の実サイトに Hajik を設置して運用し、実際のフォームデータを分析しています。その現場で見えたことを中心にまとめます。
メールソフトに直接届くなりすましは、送信元ドメインを DNS で検証する仕組み(送信ドメイン認証)で相当数を機械的にはじけます。一方、自社サイトのフォームから「株式会社◯◯の△△と申します」と名乗って送られてくるものは、後述するとおりその対象外です。この線引きをしないと、DMARC を設定したのに問い合わせ窓口のなりすましが減らない、という状態になります。
なりすましの手口を4つの型で分類する
見抜き方は手口によって変わるため、まず型に分けて把握するのが近道です。
| 型 | 見え方 | 検証できるか |
|---|---|---|
| 1. 差出人アドレスの偽装 | From が実在企業のドメインそのもの | メールならSPF/DKIM/DMARCで検証可 |
| 2. 表示名だけ実在企業 | 表示名は「◯◯株式会社」、アドレスは無関係なドメイン | 目視・受信側フィルタで検知しやすい |
| 3. 似せたドメイン | rn と m、ハイフン追加など1文字違い | 認証は通る。人の目とドメイン照合が要る |
| 4. フリーメールで法人を名乗る | 署名は立派だが gmail 等から送信 | 検証手段なし。中身で判断するしかない |
型1と型2はメール経路の技術で扱えます。型3と型4、そしてフォーム経由の名乗りは、技術的な認証では判定できません。ここが対策の分かれ目です。受信箱に届いた1通を目で見て判断する手順は迷惑メールの見分け方にまとめています。
なお型3・型4を悪用した金銭被害の代表例が、IPA が注意喚起しているビジネスメール詐欺(BEC)です。IPA は BEC を、偽の電子メールを組織に送りつけて従業員を騙し、攻撃者の用意した口座へ送金させる手口だと説明しています(IPA ビジネスメール詐欺(BEC)対策特設ページ)。技術的な偽装だけでなく、人の判断を突く点が共通しています。
SPF・DKIM・DMARC を1行ずつ理解する
送信ドメイン認証は3つで1組で、どれか単体では意味が薄いという性質があります。ここでは役割の違いだけを押さえます。実際の設定の順番やDMARCレポートの読み方はSPF・DKIM・DMARCの違いと設定する順番で扱っています。
SPF は「このドメインのメールは、この IP アドレスのサーバーから出す」と DNS に宣言する仕組みです。ただし仕様上、SPF が検査するのは封筒に相当する MAIL FROM(と HELO)であって、受信者の画面に見える From: ヘッダではありません(RFC 7208)。SPF 単体では表示上のなりすましを止められないのはこのためです。
DKIM はメールに電子署名を付け、受信側が DNS 上の公開鍵で検証する仕組みです。DKIM が主張するのは「この署名ドメインがこのメールの送信に責任を負う」ことだけで、仕様は内容がスパムかどうかについては何も述べていません(RFC 6376)。
DMARC は、SPF または DKIM の認証が通ったドメインと、受信者が見る From: のドメインが揃っている(アライメントしている)かを確認し、揃わなかった場合の扱い(none / quarantine / reject)をドメイン所有者が宣言する仕組みです。DMARC は 2026年5月に RFC 9989 として標準化され、従来の RFC 7489 は廃止されました(RFC 9989)。つまり SPF/DKIM を「表示上の差出人」と結びつける役割が DMARC で、これがあって初めて型1のなりすましを受信側が機械的に拒否できます。
普及状況は道半ばです。総務省『令和7年版 情報通信白書』によれば、JP ドメインの導入率は 2024年9月末時点で SPF 88.4%、DMARC 32.6% です(送信ドメイン認証技術の導入状況)。総務省は法的な留意点をまとめた資料も公開しています(迷惑メール対策 — 送信ドメイン認証技術等の導入に関する法的解釈について)。ここに書いたのは一般的な情報であり法的助言ではありません。個別の判断は専門家にご相談ください。
フォーム経由には、送信ドメイン認証が構造的に効かない
お問い合わせフォームからの送信はメールではないため、SPF・DKIM・DMARC の検証対象になりません。
流れを分解すると理由がはっきりします。訪問者がフォームを送信すると、届くのは HTTP のリクエストです。そこから通知メールを作って送信するのは、あなたの会社のサーバー(またはフォームサービス)です。つまり送信ドメイン認証が認証しているのは 自社が自社宛てに送ったメール であり、フォームに書かれた「株式会社◯◯」という名乗りは誰も検証していません。DMARC を reject にしても、この経路のなりすましは 1 件も減りません。
したがってフォーム側では、認証ではなく 記入内容どうしの食い違い(フィールド整合性) を見る発想に切り替える必要があります。
フィールド整合性 — 食い違いは「疑う」であって「弾く」ではない
フォーム経由で見るべきは、名乗りと他の記入項目が矛盾していないかです。
| 照合する組み合わせ | 食い違いの例 |
|---|---|
| 会社名 × メールドメイン | 実在企業名なのに無関係な独自ドメイン |
| 会社名 × 記載 URL | 本文の URL が名乗った企業のサイトと別 |
| 電話の市外局番 × 所在地 | 記載住所と番号の地域が噛み合わない |
| 名乗り × 本文の具体性 | 取引実績を主張するのに固有名詞がゼロ |
ここで最も大事な注意点を書きます。食い違い = なりすまし、ではありません。 個人事業主や小規模事業者がフリーメールを使うのはごく普通ですし、代理店が顧客に代わって送ることも、携帯番号しか書かないことも日常的にあります。これらを機械的に弾くと、本物の見込み客を落とします。私たちが判定設計で最優先にしているのは「営業を見逃すのは許容、本物をブロックするのは不可」という一点で、迷ったら本物扱いに倒します。フィールド整合性は ブロックの根拠ではなく、担当者が見る優先度を決めるラベル として使うのが正解です。
実データが示す「なりすまし未満」の大量発生
私たちが分析した実フォームデータで最も多かったのは、明確な詐称ではなく「会社名も担当者名も実在しそうなのに、内容が完全な定型文」というものでした。
対象は、Hajik が分析した、美容商社(国内最大手・上場)の実フォームデータで、3種類のフォーム合計 1,894 件・約20か月分です。簡易的な分類では、問い合わせフォームで営業(確度高)12.9%・本物らしい 54.9%・判定困難 32.2%、汎用フォームでは営業が合計 56.2%、採用フォームでは 65.8%(中途採用フォームに限ると 73.1%)が人材サービスの営業でした。業種・規模・フォームの性格によって比率は大きく変わるため、あくまで一社・一時点のサンプルとしてお読みください。
特徴的なのは、これらがすべて reCAPTCHA v3 を通過した送信だったことです。明らかなボットはほぼ除去されていました。つまり残っていたのは人間が書いた文章であり、ボット判定の技術は正しく仕事をしています(役割が違うだけです。詳しくはreCAPTCHA との違い)。
そして本物の問い合わせは、しばしば「この商品の在庫はありますか」程度の一行です。短いから怪しい、という判定は本物を落とします。 判断材料になるのは長さではなく、そのサイトでしか成立しない固有名詞(型番・店舗名・納期)が入っているかどうかでした。フォーム営業の全体像はフォーム営業とは、仕分けの運用手順は仕分けワークフロー、全体の対策は問い合わせフォームの営業メール対策の実務ガイドにまとめています。
Hajik での扱い方
Hajik は、フォーム送信の瞬間に内容を判定し、営業らしきものにラベルを付けて担当者に渡す日本語特化のサービスです。導入はサイトに script タグを1行で、WordPress プラグインも DNS 変更もフォームの改修も不要です。効果としては 99%+ を遮断し、残る約1%は人が判断する前提で設計しています。
保管については、フォームの内容をブラウザ内で暗号化してから保存する E2EE を採用しており、保管データを Hajik 側で復号することはできません。ただし AI 判定のために、判定の瞬間だけ内容をそのまま AI に渡します(マスクすると本物の申込が誤判定されるためです)。その際、クレジットカード番号・マイナンバー・銀行口座・パスポート番号・健康情報の5種はブラウザ内で除去します。この設計の詳細はセキュリティに掲載しています。
よくある質問
DMARC を reject にすれば、社名を騙る問い合わせは止まりますか
止まりません。DMARC が守るのはメール経路であり、フォーム送信は HTTP なので対象外です。ただし自社ドメインを騙った請求書メールなどには有効なので、両方やる価値があります。
フリーメールからの問い合わせはブロックすべきですか
推奨しません。個人事業主や小規模事業者の正当な問い合わせが大量に落ちます。ブロックではなく「要確認」として残し、人が最終判断できる形にしてください。
会社名の入力を必須にすれば、なりすましは減りますか
送信の手間はわずかに増えますが、名乗りは自己申告なので検証にはなりません。むしろ本物の個人客が離脱する副作用のほうが大きい場合があります。
同じ会社から繰り返し来る場合、社名でブラックリストに入れてよいですか
避けてください。実データでも同一送信元が1つのフォームに10件以上送っている例が複数ありましたが、同じ会社でも受け手の文脈によって営業か本物かは変わります。企業単位の絶対ルールは作らず、内容とパターンで判断するのが安全です。
まとめ:明日やること
- 自社ドメインの DNS に SPF・DKIM・DMARC が設定されているか確認する(未設定なら DMARC は
p=noneから始めて、レポートを見ながら段階的に上げる)。 - お問い合わせフォームは別問題だと社内で共有する。認証では守れない経路であることを、窓口担当と情シスの共通認識にする。
- 直近1か月の問い合わせを開き、会社名・メールドメイン・電話・URL の食い違いを目視で数える。何割が食い違っていたかが、対策の必要度そのものです。
- その際、食い違ったものを弾く運用にはしない。ラベルを付けて後で人が見る、という形に留める。
自社フォームの現状を確かめたい方は無料診断をご利用ください。実際の判定を試すなら、14日間の無料トライアルから始められます。
Hajik は、お問い合わせフォームに届く営業メールを選別する日本語特化の B2B SaaS です。運営は GrowGroup株式会社。script タグ1行で導入でき、保管は E2EE です。