メールスプーフィングとフィッシングの違い
スプーフィングは手口（メッセージの送信者アドレスの偽装）であり、フィッシングは誰かをだまして認証情報、お金、データを渡させる目的です。ほとんどのフィッシングは説得力を持たせるためにスプーフィングを使うため、SPF、DKIM、DMARCでスプーフィングを止めることは、フィッシング犯の最も効果的な道具を取り除くことになります。
このガイドは、メールスプーフィングに関する完全ガイドの一部です。関連記事：メールスプーフィングを防ぐ方法とドメインスプーフィング。
スプーフィングとフィッシングはしばしば同じ意味で使われますが、両者は異なるものを指します。スプーフィングは手口、つまりメッセージの送信者を偽装することです。フィッシングは目的、つまり誰かをだまして認証情報、お金、データを渡させることです。ほとんどのフィッシングメールは説得力を持たせるためにスプーフィングを使いますが、両者は同じではなく、この違いを見分けることで、どの防御策が実際に役立つのかが分かります。
核心的な違い
| スプーフィング | フィッシング | |
|---|---|---|
| それは何か | 送信者IDの偽装 | 被害者をだまして行動させること |
| 性質 | 手口・手法 | 攻撃・ソーシャルエンジニアリングの目的 |
| 例 | ceo@yourcompany.com から届いたように見えるメール | そのメールが財務担当者に至急の送金を求めること |
| 主な防御策 | SPF、DKIM、DMARC（認証） | 認証に加えてユーザー教育と監視 |
簡単に言えば、スプーフィングはメッセージが誰から送られたかについてどのように嘘をつくかであり、フィッシングはなぜ、つまり読み手をだますためです。フィッシングメールはほぼ必ず信頼される送信者を偽装して標的の警戒心を緩めます。だからこそ、スプーフィングを止めることはフィッシング犯の道具箱から最も効果的な道具を取り除くことになるのです。
両者はどのように連携するか
典型的なビジネスメール詐欺攻撃は、この2つを連鎖させます。
- スプーフィング — 攻撃者は
Fromフィールドに信頼されるドメインや名前を偽装し、メッセージを正当に見せかけます。 - フィッシング — 本文で圧力（「今日この請求書を支払ってください」「パスワードをリセットしてください」）をかけ、被害者に行動させます。
最初の連鎖を断ち切れば、2番目が成功することはめったにありません。受信者が偽装されたメッセージを即座に拒否すれば（あなたのドメインがDMARCを適用しているため）、フィッシングの試みは決して受信トレイに届きません。
それぞれの防御策が止めるもの
- SPF、DKIM、DMARCはドメインスプーフィングを止めます。攻撃者があなたの正確なドメインを偽装するのを防ぐため、あなたになりすますことに頼るフィッシングは失敗します。メールスプーフィングを防ぐ方法で説明されているとおりにこれらを公開し、AutoSPFでSPFレコードを10ルックアップの上限内で有効に保ちましょう。
- ユーザーの意識と監視は、認証では捉えられないフィッシング、すなわち攻撃者があなたのドメインをまったく偽装していない表示名スプーフィングやそっくりドメインを捕捉します。これらには、DNSレコードだけでなく、訓練された受信者と多層的な保護が必要です。
よくある質問
メールスプーフィングはフィッシングと同じですか？
いいえ。スプーフィングはメッセージの送信者アドレスを偽装する手口であり、フィッシングは誰かをだまして情報やお金を明かさせる目的です。ほとんどのフィッシングは信頼できそうに見せるためにスプーフィングを使いますが、スプーフィングはスパムやマルウェアの配信にも使われることがあり、すべてのフィッシングメッセージがドメインを偽装しているわけではありません。
スプーフィングを止めればフィッシングは止まりますか？
最も説得力のある種類のフィッシングは止まります。SPF、DKIM、DMARCが攻撃者による正確なドメインの偽装をブロックすれば、あなたの組織になりすますフィッシングは配信前に拒否されます。そっくりドメインや偽の表示名を使うフィッシングは、あなたのドメインを偽装しないため、依然としてユーザーの意識が必要です。
スプーフィングとフィッシングでは、どちらがより危険ですか？
両者は同じ攻撃の表裏です。スプーフィングはフィッシングメッセージを信じられるものにし、フィッシングが実際の損失を引き起こします。両方に対して防御すること、つまりスプーフィングを止める認証レコードに加え、すり抜けてくるものを捕捉する訓練と監視が、リスクを減らすものです。
スプーフィングを利用したフィッシングを防ぐレコードは何ですか？
SPF、DKIM、DMARCです。SPFはあなたの送信サーバーを認可し、DKIMはメッセージに署名し、p=reject に設定されたDMARCは、あなたのドメインを偽装しながら認証に失敗するメールを拒否するよう受信者に指示します。これにより、ほとんどのフィッシングが頼るスプーフィングを断ち切ります。