なりすましメールを見破る!本物と偽物を見分ける3つのチェック方法

企業から届いたメールなのに、どこか怪しいと感じたことはありませんか?詐欺師たちは、メールアドレスを偽装(スプーフィング)するために、実にさまざまな手口を使っています。

この記事では、本物のメールと偽のメールを見分けるための具体的な方法を3つ紹介します。

1. 「差出人」アドレスを確認する

偽メールの多くは、正規のメールアドレスに似せた「差出人」アドレスを使用しています。

例としてAppleを挙げましょう。Appleから届くメールの差出人は「noreply@apple.com」です。しかし詐欺師は、「noreply@appleinc.com」のような一見そっくりなアドレスを使って受信者を騙そうとします。

もう一つの手口は、有名企業の名前をわずかに変えて表記するものです。例えば、「Microsoft」の「r」と「n」を並べて「m」のように見せかけるといった具合です。

さらに悪質なケースでは、スプーフィングソフトなどを使って、差出人欄に正規のアドレスを表示させることさえあります。この場合、本物かどうかの判別はかなり難しくなります。見分けるポイントとしては、本文中のスペルミスや、不審なリンクの有無などが挙げられます。

2. 「返信先」アドレスを確認する

通常、メールを受け取ったら同じアドレスに返信しますよね。しかし、他人のメールアドレスを騙って偽メールを送る詐欺師には、その名前を使われた本人のメールアカウントへのアクセス権はありません。

そのため、返信を求める詐欺メールの場合、「返信先(Reply-To)」フィールドに、実際に送信してきたアドレスとは異なるアドレスが設定されていることがあります。

詐欺師はこの手法を使い、有名ブランドや企業、政府機関などの名前を騙ったメールで、あなたに読ませ・返信させようとするのです。

3. メールヘッダーを確認する

メールセキュリティ技術として主流なのは、「SPF」「DKIM」「DMARC」の3つです。これらの技術により、受信者はそのメールが本当に本人から送られたものか、それとも詐欺師によるものかを確認できます。

多くの大手サイトや企業はこれら3つのセキュリティ対策を適切に導入しており、メールクライアントが偽メールを検知・ブロックできるようになっています。ただし、一部の企業ではこれらの技術が使われていなかったり、適切に運用されていなかったりすることもある点には注意が必要です。

メールのセキュリティ状態を確認するには、不審なメールの右上にある三点リーダー(⋮)をクリックし、「元のメッセージを表示」(または同等の項目)を選択します。そこでは、各セキュリティチェックの結果と、メールが合格(pass)したか不合格(fail)したかを確認できます。

このステータスだけでメールの真偽を断定することはできませんが、判断材料としては十分有用です。「fail」や「softfail」という結果が表示された場合は、そのメールは疑ってかかるべきでしょう。

なぜ自分でメールを確認すべきなのか?

これほど多くのチェック機能やファイアウォール、多層的なセキュリティがあるのに、なぜスパムや偽メールが自動的に除外されないのか、不思議に思うかもしれません。その答えは、SPFに関する最近の調査にあります。調査対象となった約1億4,000万のドメインのうち、実に80%が最低限のセキュリティであるSPFレコードすら設定していなかったのです。

SPFレコードがなければ、メールアカウントはスパムを正確に振り分けることができません。だからこそ、重要なメールが迷惑メールフォルダに入ってしまったり、逆にスパムメールが受信トレイに届いてしまったりすることがあるのです。

また、単一のテストやサインだけで、メールが本物か怪しいかを断定することはできません。場合によっては、複数のチェックを組み合わせて初めて真偽を判断できることもあります。

怪しいメールは必ず確認を

不審なメールを受け取ったと感じたら、必ず上記のポイントを確認しましょう。ハッキング、詐欺、オンライン詐欺は年々増加しています。詐欺師は、ITリテラシーが低い人々をさまざまな手口で騙しているのです。

デジタル化が加速する今後、なりすましメールの数はさらに増えていくと考えられます。疑わしいと感じたら、必ず確認する習慣をつけましょう。