最近の迷惑メールの傾向と対策｜中小企業ソリューション｜法人

2025年4月7日

実在の企業を装った巧妙なフィッシング詐欺が増えています。金融機関やショッピングサイト、携帯電話会社、運送会社をかたるメールが多く、リンクをクリックすると偽サイトに誘導される危険があります。本コラムでは、実際に出回っている実物の迷惑メール、なりすましメールから見分けるコツを探ります。

はじめに
全体の傾向～送信者の偽装と実在するメールアドレスでの送信
なりすましメール簡単チェックポイント
なりすましメール詳細チェックポイントは3つ
まとめ
セキュリティ強化に効果的なソリューション3選！
今すぐ読みたいおすすめ情報

はじめに

総務省が発表している「電気通信事業者10社の全受信メール数と迷惑メール数の割合」によると2024年1～3月期の迷惑メールの実数は、1日当たりのメール総数391,083万通に対して140,628万通となっており、メール全体の約36.0%を占めています。
これだけでもかなりの数の迷惑メールが出回っていますが、実は2019年の同期間はメール総数484,981万通に対して204,802万通で、その割合は約42.2%でした。
つまり、ここ5年間で迷惑メールの割合は6.2%減少しています。これはメール以外の通信手段が増えてきたのと、セキュリティ安心パックやSKYSEA Client Viewのようなソリューションを活用したセキュリティ対策が進んできたためと考えられます。

一方で、迷惑メールそのものは巧妙化してきています。
以前は英文で書かれたものや日本語でも文章がおかしいものもなど、一目見てそれとわかるものが多くありましたが、最近ではよく確かめないと本物と見分けがつかないものも多く存在しています。本物のメールから文面をコピーしてきていることもあるようです。
それでは最近の傾向を見ていきましょう。

全体の傾向～送信者の偽装と実在するメールアドレスでの送信

最近多くみられるのが、送信者の偽装、なりすましメールです。これらは利用中のサービスなどの案内を装い、フィッシングサイトへ誘導したり、ウイルスをダウンロードさせたりすることを目的としているものです。
なりすましメール自体は古典的な手法であり、ある程度対策が行われてきました。しかし最近では、送信元、送信アドレス両方に実在する企業やサービスのメールアドレスを利用する傾向にあり、対策をすり抜けてくるケースも見られます。

なりすまし送信元としては、銀行やクレジットカード会社、バーコード決済サービス、輸送・配送業者、通信販売企業、インターネットサービス、公的機関など多様です。懸賞の当選などを装うメールも散見されます。
受信側のセキュリティをすり抜けるために送信元のメールアドレスに実在する企業やサービスのドメインが利用させることが多く、送信元の名称とメールアドレスのドメイン名が一致していないケースがほとんどです。

国税庁になりすましたメール例。
電話番号は実際の国税庁の番号が記載されています。

なりすましメール簡単チェックポイント

迷惑メールかどうかを判断するにあたり、簡単な方法は送信元の名称とメールアドレスのドメイン名を見ることです。

下記の例では通販サイトからのメールになっていますが、送信メールアドレスはまったく別の企業のものになっています。
また、リンクURLもまったく別のドメインが利用されています。

以前にもご紹介しましたが、こういったメールはメール受信時間と対応期限の間が数日以内や数時間以内など、短いのが特徴です。

※
上記は実際にあったスパムメールの一例であり、あくまで例として挙げています。各社の状況を個別に指摘するものではありません。

こちらはご自身が利用しているプロバイダーになりすました例です。
リンクはボタン形式にし、ひと目見ただけでは分からないように工作していますが、リンクURLを見てみるとやはり全く別のドメインになっています。
また、よく見るとメールアドレスの記載はあるものの、プロバイダー名の記載がないなど、全体的に不自然です。

なりすましメール詳細チェックポイントは3つ

最近Gmailなどの一部のサービスへの送信がエラーになってしまうということがあります。これはメールサービス提供者がなりすまし対策を強化していることに起因していることが多いようです。

なりすましかどうかを判断する詳細ポイントは、以下の3つの項目のチェックが有効です。

SPF（Sender Policy Framework）レコード
メールに記載された送信元のドメインと送信時に利用されたサーバーが正しく定義されているか確認することができます。他のサーバーから送信されている場合はなりすましの可能性があるため、近年は利用が強く推奨されています。
DKIM（DomainKeys Identified Mail）レコード
送信時に電子署名を付けることで、メールが改ざんされていないことを示す仕組みです。
DMARC（Domain-based Message Authentication, Reporting, and Conformance）レコード
SPFやDKIMで認証されなかった場合にどう処理するかを送信者が設定できる技術です。

これらは、本来は専門知識が必要な部分ですが、ポイントを押さえておけば比較的簡単にチェックできます。
基本的にはメールソフトでメールのソースやヘッダー情報を確認します。

例1：Gmailの場合
メールの詳細画面で「メッセージのソースを表示」を選択します。

「元のメッセージ」のページでSPF、DKIM、DMARCがそれぞれ「PASS」になっていればなりすましメールの可能性は低いです。

例2：Outlookの場合
メールのプロパティを開き、「インターネットヘッダー」を確認します。SPF、DKIM、DMARCがそれぞれ「PASS」になっていればなりすましメールの可能性は低いです。

例3：スマートフォンの場合
スマートフォンの場合、SPF、DKIM、DMARCを調べるには機種やOS、アプリケーションによって情報が確認できる場合とできない場合があります。それぞれの機種でご確認ください。
こちらのサンプルではSPF、DKIM、DMARCすべてがNGとなり、なすましメールの可能性が高いと判断できます。

まとめ

最近の傾向としては、企業やサービスを偽装してフィッシングサイトに誘導するなりすまし型が多いようです。利用の覚えがないサービスやよく利用しているがいつもと少し違うという場合は、なりすましを疑ってみてください。GUARDIANWALL Mailセキュリティのようなメールセキュリティの専用システムの導入も効果的です。

なお、必ずしもSPF、DKIM、DMARCすべてが「PASS」でなくて問題はありません。送信側の設定によってはこのうちひとつだけPASSというケースも見られます。（Gmail宛てに送信したメールがエラーになる場合は、SPFの設定を見直すと解消することが多いようです）
また、すべて「PASS」でもスパムメールの可能性もあります。覚えのないメールの開封は十分ご注意ください。