用語集・メールのなりすまし対策
DKIM
DomainKeys Identified Mail
DKIM（DomainKeys Identified Mail）は、送信側がメールに電子署名を付け、受信側がDNS上の公開鍵で検証して署名ドメインと改ざんの有無を確かめる仕組みである。
別の呼び方 DKIM署名、電子署名による送信ドメイン認証
要点
- 意味 DKIM（DomainKeys Identified Mail）は、送信側がメールに電子署名を付け、受信側がDNS上の公開鍵で検証して署名ドメインと改ざんの有無を確かめる仕組みです。
- 中小企業にとって DKIMは転送などで経路が変わっても検証できるため、SPFだけでは失敗しがちなメールでも送信ドメインを確かめやすくなる。
- このサイトでは 攻撃手法 2 種、グループ 1 組のページと関わります。下の一覧から、記録のどこに関わるかを読めます。
中小企業にとっての意味
DKIMは転送などで経路が変わっても検証できるため、SPFだけでは失敗しがちなメールでも送信ドメインを確かめやすくなる。
クラウドのメールサービスや配信サービスごとに署名の設定が要り、設定漏れがあるとDMARCの判定で正規のメールが失敗扱いになる。
まず自社が使うメールサービスでDKIM署名を有効にし、署名ドメインを自社ドメインにそろえるところから始めるとよい。
よくある誤解
- 誤解DKIMの署名が付いていれば、メールの中身は信用できる
- 実際DKIMは署名したドメインがそのメールに責任を持つことを示すだけで、本文の内容が正しいことを保証するものではない。
- 誤解DKIMの署名ドメインは差出人のドメインと必ず同じである
- 実際DKIMは署名者の身元とメールの作成者を切り分けて扱う仕組みであり、両者が一致しているかは別にDMARCで確かめる。
このサイトの手口と事例との関係
関係は、それぞれのページに収録した記録の範囲で書いています。
- 攻撃手法フィッシング
実在する組織を装うメールに対し、DKIMは自社ドメインの署名が正しいかを受信側が確かめる材料になる。
- 攻撃手法ビジネスメール詐欺
記録は取引先や経営幹部を装う文面を挙げており、DKIMは署名ドメインを確かめるだけで、文面の内容が正しいかまでは判断しない。
- ハッカーグループKimsuky
記録にある正規ドメインを装った偽装メールは、DKIMの結果をDMARCで差出人ドメインと照らし合わせる運用の大切さを示す。
出典
- RFC 6376 DomainKeys Identified Mail (DKIM) Signatures IETF・2011-09
- 電子メールとWebサイトにおける対策（国民のためのサイバーセキュリティサイト） 総務省
- RFC 9989 Domain-Based Message Authentication, Reporting, and Conformance (DMARC) IETF・2026-05
最終確認日 （2026年10月24日）
監修 平原尚樹（株式会社BlueAI 代表取締役CEO、ソフトウェアエンジニア、Google Cloud Architect）