用語集・メールのなりすまし対策
DMARC
Domain-based Message Authentication, Reporting, and Conformance
DMARC（Domain-based Message Authentication, Reporting, and Conformance）は、SPFとDKIMの結果を差出人ドメインと照合し、失敗時の扱いをドメインの持ち主が宣言する仕組みである。
別の呼び方 ディーマーク、DMARCポリシー、DMARCレポート
要点
- 意味 DMARC（Domain-based Message Authentication, Reporting, and Conformance）は、SPFとDKIMの結果を差出人ドメインと照合し、失敗時の扱いをドメインの持ち主が宣言する仕組みです。
- 中小企業にとって DMARCがないか方針が何もしない設定のままだと、自社ドメインを名乗る偽メールが取引先や顧客にそのまま届きうる。
- このサイトでは 攻撃手法 3 種、グループ 1 組のページと関わります。下の一覧から、記録のどこに関わるかを読めます。
中小企業にとっての意味
DMARCがないか方針が何もしない設定のままだと、自社ドメインを名乗る偽メールが取引先や顧客にそのまま届きうる。
受信側から届く集計レポートを見れば、自社ドメインがどこから送られているかを把握でき、設定漏れも見つけやすい。
まず監視の設定で公開してレポートを確かめ、正規の送信元をそろえてから隔離や拒否の方針へ進めるのが現実的である。
よくある誤解
- 誤解DMARCのレコードを置けば、なりすましメールは届かなくなる
- 実際方針が何もしない設定（p=none）では、受信側は認証に失敗したメールにも何も対処しない。米FBIなどは隔離（quarantine）か拒否（reject）への変更を勧めている。
- 誤解メールを送っていないドメインにはDMARCは要らない
- 実際送信しないドメインも詐称に使われうる。総務省、警察庁、経済産業省はクレジットカード会社等に対し、利用者向けに公開している全てのドメインに、メールを送らないドメインも含めてDMARCを導入するよう要請している。
このサイトの手口と事例との関係
関係は、それぞれのページに収録した記録の範囲で書いています。
- 攻撃手法フィッシング
実在する組織を装ったメールで偽サイトへ誘導する手口であり、DMARCは自社ドメインを名乗る偽メールを受信側で隔離や拒否させる仕組みに当たる。
- 攻撃手法ビジネスメール詐欺
記録は本物とよく似たドメインを使う手口も挙げており、DMARCは自社ドメインそのものの詐称には効くが、似た別ドメインには効かない。
- 攻撃手法標的型攻撃メール
取引先などを装った標的型攻撃メールのうち、差出人に正規ドメインを詐称するものはDMARCで受信側が見分ける手がかりになる。
- ハッカーグループKimsuky
記録はDMARCの設定不備を悪用して正規ドメインを装った偽装メールを送ったと挙げており、DMARCの方針を強める対策に直接当たる。
出典
- RFC 9989 Domain-Based Message Authentication, Reporting, and Conformance (DMARC) IETF・2026-05
- RFC 7489 Domain-based Message Authentication, Reporting, and Conformance (DMARC) IETF・2015-03
- クレジットカード会社等に対するフィッシング対策強化の要請 総務省・2023-02-01
- North Korean Actors Exploit Weak DMARC Security Policies to Mask Spearphishing Efforts FBI / 米国務省 / NSA・2024-05-02
最終確認日 （2026年10月24日）
監修 平原尚樹（株式会社BlueAI 代表取締役CEO、ソフトウェアエンジニア、Google Cloud Architect）