用語集・メールのなりすまし対策
SPF
Sender Policy Framework
SPF（Sender Policy Framework）は、ドメインの持ち主がそのドメインでメールを送ってよいサーバーをDNSで公開し、受信側が確かめられるようにする仕組みである。
別の呼び方 SPFレコード
要点
- 意味 SPF（Sender Policy Framework）は、ドメインの持ち主がそのドメインでメールを送ってよいサーバーをDNSで公開し、受信側が確かめられるようにする仕組みです。
- 中小企業にとって 自社ドメインにSPFがないと、受信側は自社を名乗る偽メールと本物を見分ける手がかりを持てない。
- このサイトでは 攻撃手法 2 種、グループ 1 組のページと関わります。下の一覧から、記録のどこに関わるかを読めます。
中小企業にとっての意味
自社ドメインにSPFがないと、受信側は自社を名乗る偽メールと本物を見分ける手がかりを持てない。
メール配信サービスや複合機など送信元を増やしたのに記録を直さないと、正規のメールまで認証に失敗する。
まず自社が使う送信元を棚卸しし、DNSにSPFを公開してDKIMとDMARCへ進むのが現実的な順番である。
よくある誤解
- 誤解SPFを設定すれば、自社を名乗るなりすましメールはすべて防げる
- 実際SPFが確かめるのはメール配送時の送信元情報（MAIL FROMとHELO）であり、受信者の画面に出る差出人（From）そのものではない。表示上の差出人との一致はDMARCで確かめる。
- 誤解SPFは一度設定すれば見直さなくてよい
- 実際SPFはそのドメインで送信してよいサーバーを宣言する記録なので、送信元を追加や変更したら記録も直さないと正規のメールが認証に失敗する。
このサイトの手口と事例との関係
関係は、それぞれのページに収録した記録の範囲で書いています。
- 攻撃手法フィッシング
実在する組織を装ったメールで偽サイトへ誘導する手口であり、SPFは自社ドメインを名乗る送信元が正規かどうかを受信側が確かめる手がかりになる。
- 攻撃手法ビジネスメール詐欺
記録は本物とよく似たドメインを使う手口も挙げており、SPFは自社ドメインそのものの詐称には効くが、似た別ドメインまでは見分けられない点に注意が要る。
- ハッカーグループKimsuky
記録にあるDMARC設定の不備を突いた偽装メールは、SPFとDKIMの結果をDMARCで差出人と結び付けて運用しないと防ぎにくいことを示す例である。
出典
- RFC 7208 Sender Policy Framework (SPF) for Authorizing Use of Domains in Email, Version 1 IETF・2014-04
- 電子メールとWebサイトにおける対策（国民のためのサイバーセキュリティサイト） 総務省
- RFC 9989 Domain-Based Message Authentication, Reporting, and Conformance (DMARC) IETF・2026-05
最終確認日 （2026年10月24日）
監修 平原尚樹（株式会社BlueAI 代表取締役CEO、ソフトウェアエンジニア、Google Cloud Architect）