--- title: "メールスプーフィング：仕組みと止め方 | AutoSPF" description: "メールスプーフィングとは何か、攻撃者がどのように送信者アドレスを偽装するか、その種類（ドメイン、表示名、そっくり）、そしてSPF、DKIM、DMARCがそれをどう止めるか。完全ガイド。" image: "https://autospf.com/images/og-default.png" canonical: "https://autospf.com/ja/email-spoofing/" --- # メールスプーフィング メールスプーフィングとは、メールの送信者アドレスを偽装し、実際には送っていない人物から届いたかのように見せかけることです。従来のSMTPプロトコルは、\`From\` 行でドメインを使用する権限を誰が持っているかを検証しなかったため、攻撃者は自分のサーバーから送るメールにあなたのドメインを載せることができます。そして、適切なDNSレ **メールスプーフィング**とは、メールの送信者アドレスを偽装し、実際には送っていない人物から届いたかのように見せかける手口です。従来のSMTPプロトコルは、`From` 行でドメインを使用する権限を誰が持っているかを検証しなかったため、攻撃者は_自分の_サーバーから送るメールに_あなたの_ドメインを載せることができます。そして、適切なDNSレコードが整っていなければ、受信サーバーにはそれを確実に見抜く手段がありません。スプーフィングは、フィッシング、ビジネスメール詐欺（BEC）、請求書詐欺の大半を支える仕組みであり、その防御策こそ本サイトの土台となっている3つのDNSレコード、すなわち **SPF、DKIM、DMARC** です。 ## メールスプーフィングの仕組み すべてのメールには、実は_2つ_の送信者IDが載っています。**エンベロープ送信者**（SMTPのやり取りで使われる `MAIL FROM` アドレス）と、**ヘッダーFrom**（メールクライアントが表示する分かりやすいアドレス）です。攻撃者はこの2つのギャップを突きます。 1. 攻撃者はメールサーバーに接続し、通常のSMTPセッションを開始します。 2. メッセージのヘッダーで、`From` フィールドにあなたのドメインを単に_書き込む_だけです。`billing@yourcompany.com` と入力するのを止めるものは何もありません。 3. 受信サーバーはそのメッセージを配信します。あなたのドメインが認証レコードを公開していなければ、受信者には信頼できそうな送信者が見えるだけで、何の警告も表示されません。 スプーフィング攻撃では、何も「ハッキング」されていません。パスワードが盗まれるわけでも、サーバーが侵害されるわけでもありません。攻撃者は、ドメインがデフォルトでは**どのサーバーが自分に代わって送信を許可されているか**を宣言していないという事実を悪用しているのです。その宣言こそが、まさにSPF、DKIM、DMARCが提供するものです。 ## メールスプーフィングの主な種類 スプーフィングにはいくつかの明確な形態があり、それぞれに特有の兆候と対策があります。 - **[ドメインスプーフィング](/ja/email-spoofing/domain-spoofing/)** — 攻撃者が `From` アドレスにあなたの正確なドメインを偽装します。これはSPF、DKIM、DMARCが直接防ぐものです。 - **[表示名スプーフィング](/ja/email-spoofing/display-name-spoofing/)** — 表示される名前は「あなたのCEO」となっているのに、その裏にある本当のアドレスは無料のウェブメールアカウントです。送信ドメインが実際には攻撃者のものなので、DMARC単独ではこれをブロックできません。 - **類似・そっくりドメイン** — `yourcompany-support.com` や `yourcompanny.com` といった、攻撃者が実際に所有し認証できるドメインからメッセージが届きます。これらを打ち破るには、SPFだけでなく監視とユーザーの意識が必要です。 - **エコー・返信チェーンスプーフィング** — 攻撃者は実際に以前送信されたスレッドを再利用し、偽装した返信を正当に見せかけます。 どの種類に直面しているかを知ることで、認証レコードだけで完全に止められるのか、それとも[保護ツールと監視](/ja/email-spoofing/email-spoofing-protection/)も必要なのかが分かります。 ## SPF、DKIM、DMARCがスプーフィングを止める仕組み この3つのレコードは、すべての受信メッセージに対する多層的なチェックとして機能します。 - **SPF** は、あなたのドメインのメール送信を許可されたIPアドレスのリストを公開します。受信者は、送信サーバーがそのリストに含まれているかどうかを確認します。[SPFチェッカー](/ja/tools/spf-checker/)で自分のレコードを構築・監査しましょう。 - **DKIM** は、メッセージが改ざんされておらず、本当にあなたのドメインから届いたことを証明する暗号署名を追加します。 - **DMARC** は、SPFとDKIMを表示される `From` アドレスに紐付け（アライメント）、メッセージが失敗したときに受信者が取るべき対応（`none`、`quarantine`、`reject`）を指示します。 `-all` のSPFポリシーと `p=reject` のDMARCポリシーとともに公開すれば、攻撃者がドメインを偽装したメールを受信トレイに届けることは事実上不可能になります。[メールスプーフィングを防ぐ方法](/ja/email-spoofing/how-to-prevent-email-spoofing/)に関する詳しい解説では、公開すべき正確なレコードを取り上げています。 ## 落とし穴：SPFだけでは不十分であり、しかも静かに壊れる SPFの公開は最初の一歩ですが、SPFには**10回のDNSルックアップ**という厳しい上限があり、認可するESP、CRM、マーケティングツールのすべてがそれを消費していきます。上限を超えるとSPFは `PermError` を返し、_レコード全体が無効化_されます。その時点で正当なメールが失敗し始め、さらに悪いことに、スプーフィング対策の保護が静かに機能しなくなります。これこそ[AutoSPF](/)が解決する問題です。AutoSPFはSPFレコードを自動的にフラット化し、上限内に保つため、送信スタックが変化してもスプーフィングを止める認証が健全に保たれます。DKIMと `p=reject` のDMARCポリシーと組み合わせれば、ドメインスプーフィングは単純に機能しなくなります。 その根底にあるレコードに詳しくないですか？まずは[SPFレコードの作成方法](/how-to-create-an-spf-record/)と[SPFレコード構文リファレンス](/spf-record-format/)から始め、自分のレコードが[10ルックアップの上限](/spf-too-many-dns-lookups/)内に収まっていることを確認しましょう。 ## よくある質問 ### メールスプーフィングとは何ですか？ メールスプーフィングとは、メールの送信者アドレスを偽装し、実際には送っていない人物やドメインから届いたかのように見せかけることです。これは基本的なSMTPが `From` アドレスを検証しないという事実に依存しており、フィッシングやビジネスメール詐欺の主要な手口となっています。SPF、DKIM、DMARCは、受信者がこれを検出して拒否できるようにするDNSレコードです。 ### SPFはメールスプーフィングを止めますか？ SPFは、どのサーバーがドメインの送信を許可されているかを受信者に伝えることで、攻撃者があなたの正確なドメインを偽装するのを止めます。ただし、それはDKIMおよび `quarantine` か `reject` に設定されたDMARCポリシーと組み合わせた場合、そしてSPFレコードが10ルックアップの上限内で有効に保たれている場合に限ります。SPF単独、あるいは壊れたSPFレコードは、スプーフィング犯が悪用する隙を残します。 ### メールスプーフィングは完全に防げますか？ ドメインスプーフィング（あなたの正確なドメインの偽装）は、SPF、DKIM、そして `p=reject` のDMARCポリシーで事実上排除できます。表示名スプーフィングやそっくりドメインのスプーフィングは、DNSレコードだけではブロックできません（攻撃者はあなたのドメインを使っていないため）。そのため、これらには受信者の意識と監視も必要です。 ### メールスプーフィングはフィッシングと同じですか？ いいえ。スプーフィングは_手口_（送信者アドレスの偽装）であり、フィッシングは_目的_（誰かをだまして情報やお金を差し出させること）です。ほとんどのフィッシングはスプーフィングを使いますが、すべてがそうではありません。詳しい違いについては[メールスプーフィングとフィッシングの違い](/ja/email-spoofing/spoofing-vs-phishing/)をご覧ください。 ### 自分のドメインがスプーフィングされているかどうかは、どうすれば分かりますか？ 兆候としては、送った覚えのないメールに対するバウンスメッセージ（バックスキャッター）、あなたのドメインからの不審なメールを受信者が報告してくること、そして最も確実なものとして、認識のないIPから認証に失敗しているメールを示すDMARC集計レポートがあります。DMARC（`p=none` であっても）を公開すると、そのレポート機能が有効になります。 Rated 5/5 on G2 · Trusted since 2018 ## Trusted by 50,000+ domains ### "AutoSPF Flattens SPF Records Seamlessly & Keeps Changes Logged - I am quite pleased with the product" > It does what it promises to do, and does it very well. I appreciate that it keeps a log of changes made, which prevents many mistakes. A client's SPF record would have way too many lookups, but AutoSPF makes that problem go away. The length of the SPF record is typically not the issue; it's the amount of lookups in the record that are. AutoSPF "flattens" the record, automatically expanding the defined lookups to IP addresses or ranges. And it auto-updates the record when the un-flattened lookups change. PJ Peter J. President · Small-Business (50 or fewer emp.) ### "Helped us go beyond capacity" > AutoSPF did exactly as described, it helped us get past our 10 lookup limit. Afterwards, we hit another limit regarding overall capacity and when contacted, they quickly provided us with a new solution to eliminate capacity issues entirely going forward, so now we can add as many SPF records as needed. They also provided us with a personalized support video explaining their new method in its entirety using our instance as the example. VU Verified User Financial Services · Mid-Market (51-1000 emp.) ### "Great service and great support" > AutoSPF was easy to initially set up on our own and a great cost effective entry into spf flattening. Needed our first support assistance today and got great response including a video demonstrating the issue I was trying to solve, a quick fix, and more detailed followup. GF Greg F. Mid-Market (51-1000 emp.) [Read our reviews on G2 ](https://www.g2.com/products/autospf/reviews) ```json {"@context":"https://schema.org","@type":"Organization","@id":"https://www.wikidata.org/wiki/Q138897474","name":"AutoSPF","url":"https://autospf.com","logo":{"@type":"ImageObject","url":"https://autospf.com/images/autospf-logo.png"},"description":"Automatic SPF flattening and email authentication management. Resolve SPF lookup limits, flatten SPF records, and maintain email deliverability across all your domains.","parentOrganization":{"@type":"Organization","@id":"https://www.wikidata.org/wiki/Q138883901","name":"DuoCircle LLC","url":"https://www.duocircle.com","sameAs":["https://www.wikidata.org/wiki/Q138883901","https://www.crunchbase.com/organization/duocircle-llc","https://www.linkedin.com/company/duocircle","https://github.com/duocircle"],"subOrganization":[{"@type":"Organization","@id":"https://www.wikidata.org/wiki/Q138898167","name":"DMARC Report","url":"https://dmarcreport.com"},{"@type":"Organization","@id":"https://www.wikidata.org/wiki/Q138897474","name":"AutoSPF","url":"https://autospf.com"},{"@type":"Organization","@id":"https://www.wikidata.org/wiki/Q138897912","name":"Phish Protection","url":"https://www.phishprotection.com"}]},"sameAs":["https://www.wikidata.org/wiki/Q138897474","https://www.linkedin.com/company/autospf","https://x.com/autospf01","https://www.facebook.com/autospf","https://github.com/duocircle","https://www.g2.com/products/autospf/reviews"],"aggregateRating":{"@type":"AggregateRating","ratingValue":"5.0","reviewCount":"21","bestRating":"5","worstRating":"1","url":"https://www.g2.com/products/autospf/reviews"},"contactPoint":{"@type":"ContactPoint","contactType":"customer support","url":"https://autospf.com/contact-us/"},"knowsAbout":["SPF Record Flattening","Sender Policy Framework","Email Authentication","DNS Management","DMARC","DKIM","Email Deliverability","SPF Lookup Limits"]} ``` ```json {"@context":"https://schema.org","@type":"WebSite","name":"AutoSPF","url":"https://autospf.com","description":"Automatic SPF flattening and email authentication management. Resolve SPF lookup limits, flatten SPF records, and maintain email deliverability across all your domains.","publisher":{"@type":"Organization","name":"AutoSPF","url":"https://autospf.com","logo":{"@type":"ImageObject","url":"https://autospf.com/images/autospf-logo.png"},"description":"Automatic SPF flattening and email authentication management. Resolve SPF lookup limits, flatten SPF records, and maintain email deliverability across all your domains.","parentOrganization":{"@type":"Organization","@id":"https://www.wikidata.org/wiki/Q138883901","name":"DuoCircle LLC","url":"https://www.duocircle.com","sameAs":["https://www.wikidata.org/wiki/Q138883901","https://www.crunchbase.com/organization/duocircle-llc","https://www.linkedin.com/company/duocircle","https://github.com/duocircle"],"subOrganization":[{"@type":"Organization","@id":"https://www.wikidata.org/wiki/Q138898167","name":"DMARC Report","url":"https://dmarcreport.com"},{"@type":"Organization","@id":"https://www.wikidata.org/wiki/Q138897474","name":"AutoSPF","url":"https://autospf.com"},{"@type":"Organization","@id":"https://www.wikidata.org/wiki/Q138897912","name":"Phish Protection","url":"https://www.phishprotection.com"}]}}} ``` ```json {"@context":"https://schema.org","@type":"FAQPage","mainEntity":[{"@type":"Question","name":"メールスプーフィングとは何ですか？","acceptedAnswer":{"@type":"Answer","text":"メールスプーフィングとは、メールの送信者アドレスを偽装し、実際には送っていない人物やドメインから届いたかのように見せかけることです。これは基本的なSMTPが `From` アドレスを検証しないという事実に依存しており、フィッシングやビジネスメール詐欺の主要な手口となっています。SPF、DKIM、DMARCは、受信者がこれを検出して拒否できるようにするDNSレコードです。"}},{"@type":"Question","name":"SPFはメールスプーフィングを止めますか？","acceptedAnswer":{"@type":"Answer","text":"SPFは、どのサーバーがドメインの送信を許可されているかを受信者に伝えることで、攻撃者があなたの正確なドメインを偽装するのを止めます。ただし、それはDKIMおよび `quarantine` か `reject` に設定されたDMARCポリシーと組み合わせた場合、そしてSPFレコードが10ルックアップの上限内で有効に保たれている場合に限ります。SPF単独、あるいは壊れたSPFレコードは、スプーフィング犯が悪用する隙を残します。"}},{"@type":"Question","name":"メールスプーフィングは完全に防げますか？","acceptedAnswer":{"@type":"Answer","text":"ドメインスプーフィング（あなたの正確なドメインの偽装）は、SPF、DKIM、そして `p=reject` のDMARCポリシーで事実上排除できます。表示名スプーフィングやそっくりドメインのスプーフィングは、DNSレコードだけではブロックできません（攻撃者はあなたのドメインを使っていないため）。そのため、これらには受信者の意識と監視も必要です。"}},{"@type":"Question","name":"メールスプーフィングはフィッシングと同じですか？","acceptedAnswer":{"@type":"Answer","text":"いいえ。スプーフィングは*手口*（送信者アドレスの偽装）であり、フィッシングは*目的*（誰かをだまして情報やお金を差し出させること）です。ほとんどのフィッシングはスプーフィングを使いますが、すべてがそうではありません。詳しい違いについては[メールスプーフィングとフィッシングの違い](/ja/email-spoofing/spoofing-vs-phishing/)をご覧ください。"}},{"@type":"Question","name":"自分のドメインがスプーフィングされているかどうかは、どうすれば分かりますか？","acceptedAnswer":{"@type":"Answer","text":"兆候としては、送った覚えのないメールに対するバウンスメッセージ（バックスキャッター）、あなたのドメインからの不審なメールを受信者が報告してくること、そして最も確実なものとして、認識のないIPから認証に失敗しているメールを示すDMARC集計レポートがあります。DMARC（`p=none` であっても）を公開すると、そのレポート機能が有効になります。"}}]} ``` ```json {"@context":"https://schema.org","@type":"BreadcrumbList","itemListElement":[{"@type":"ListItem","position":1,"name":"Home","item":"https://autospf.com/"},{"@type":"ListItem","position":2,"name":"メールスプーフィング","item":"https://autospf.com/ja/email-spoofing/"}]} ``` ```json {"@context":"https://schema.org","@type":"Product","name":"AutoSPF","url":"https://autospf.com","aggregateRating":{"@type":"AggregateRating","ratingValue":5,"reviewCount":21,"bestRating":5,"worstRating":1},"review":[{"@type":"Review","reviewRating":{"@type":"Rating","ratingValue":5,"bestRating":5},"author":{"@type":"Person","name":"Peter J.","jobTitle":"President"},"datePublished":"2026-03-10","reviewBody":"It does what it promises to do, and does it very well. I appreciate that it keeps a log of changes made, which prevents many mistakes. A client's SPF record would have way too many lookups, but AutoSPF makes that problem go away. The length of the SPF record is typically not the issue; it's the amount of lookups in the record that are. AutoSPF \"flattens\" the record, automatically expanding the defined lookups to IP addresses or ranges. And it auto-updates the record when the un-flattened lookups change.","name":"AutoSPF Flattens SPF Records Seamlessly & Keeps Changes Logged - I am quite pleased with the product","publisher":{"@type":"Organization","name":"G2","url":"https://www.g2.com"}},{"@type":"Review","reviewRating":{"@type":"Rating","ratingValue":5,"bestRating":5},"author":{"@type":"Person","name":"Verified User","jobTitle":"Financial Services"},"datePublished":"2025-07-31","reviewBody":"AutoSPF did exactly as described, it helped us get past our 10 lookup limit. Afterwards, we hit another limit regarding overall capacity and when contacted, they quickly provided us with a new solution to eliminate capacity issues entirely going forward, so now we can add as many SPF records as needed. They also provided us with a personalized support video explaining their new method in its entirety using our instance as the example.","name":"Helped us go beyond capacity","publisher":{"@type":"Organization","name":"G2","url":"https://www.g2.com"}},{"@type":"Review","reviewRating":{"@type":"Rating","ratingValue":5,"bestRating":5},"author":{"@type":"Person","name":"Greg F."},"datePublished":"2023-07-26","reviewBody":"AutoSPF was easy to initially set up on our own and a great cost effective entry into spf flattening. Needed our first support assistance today and got great response including a video demonstrating the issue I was trying to solve, a quick fix, and more detailed followup.","name":"Great service and great support","publisher":{"@type":"Organization","name":"G2","url":"https://www.g2.com"}}]} ```