「うちみたいな小さい会社の名前を、わざわざ偽物のメールに使う人なんていませんよ」僕もそう思っていたんです。
メールの配送まわりというのは、普段こちらから触りにいく場所ではありません。何か起きたときに開ける、という付き合い方をしていました。
その何かが、7月に起きたんですよね。お客様にお送りしたご案内が、1通だけ届かなかったんです。
それで僕が中を開けにいったら、うちの会社の名前を騙るメールが3週間で5通も出ていたことが分かったんです。
7月21日から、順を追って書きます。
予約のご案内メールが、1通だけ届かなかった
届いた2通と、届かなかった1通
うちでは電話相談を事前予約でお受けしています。お申し込みをいただくと確認のメールが出て、当日はオンラインの接続先をメールでお送りする流れです。
7月21日、その当日分のご案内が届いていない、というお問い合わせをいただきました。
お客様に受信箱を見ていただいたら、様子がはっきり分かりました。同じうちのアドレスから出た予約確認のメール2通は、ちゃんと受信箱に入っているんです。届いていないのは、接続先をお知らせした1通だけでした。
つまり経路そのものは通っているんですよね。特定の1通だけが、どこかで黙って捨てられていたわけです。
調べたら、うちのドメインは名乗るだけの状態でした
メールが本物かどうかを確かめる仕掛けは、3つあります。僕がうちの設定を開いてみたら、そのうち1つしか入っていませんでした。
順に、封筒でたとえてお話ししますね。
1つ目は、差出人の住所が本物かどうかの照合です。「この住所から出したメールは、この配達所を通ります」という名簿を、あらかじめ公開しておく仕組みです。これはうちにも入っていました。
2つ目は封蝋です。メールに電子的な印を押しておいて、受け取った側がその印を照合します。中身が途中でいじられていないことも、これで分かるんですね。うちには入っていませんでした。
3つ目は、その2つが合わなかったときの取扱説明書です。名簿にも載っていない、封蝋も無い。そういうメールを、受け取った側にどう扱ってほしいのか。捨ててくれ、と自分から表明しておく仕組みです。これも、うちには入っていませんでした。
そうなんです。うちは名簿に名前を載せただけで、封蝋も取扱説明書も無いまま、何年もメールを出していたんです。
受け取る側から見たら怪しい、という理屈
受け取る側の立場になってみると、この状態はなかなか厳しいんですよね。
封蝋が無いということは、本人が書いた証拠が無いということです。証拠の無い手紙に、知らない接続先のリンクが1本だけ入っている。これ、迷惑メールの見た目とほとんど同じじゃありませんか。
しかも僕がいちばん困ったのは、捨てられたことを誰も教えてくれないところでした。エラーで返ってくるなら気づけますよね。黙って消されると、送った側は届いたつもりのままなんです。
これではいけない、ってことで、その日のうちに封蝋を有効にしました。あわせて取扱説明書のほうも入れたんですが、こちらは「捨ててくれ」ではなく、いちばん弱い設定にしています。何も処分しなくていい、ただ記録だけ送ってくれ、という設定です。
いきなり捨てる設定にすると、正規のメールまで巻き込む可能性がありますからね。まずは様子を見る、という判断です。
設定した4日後に、他人の影が写っていた
7月25日、最初の記録に知らない会社のサーバーが1台
取扱説明書を置くと、受け取り側から集計レポートが届くようになります。
うちの名前で届いたメールが何通あって、封蝋の照合が通ったのが何通で、通らなかったのが何通か。これを毎日、送ってくれます。うちの場合はGoogleのほかに、携帯会社やレンタルサーバー会社からも届いていました。
ただ、このレポートが人間の読む形になっていないんですよね。記号だらけのファイルが、圧縮されて添付されてくるだけです。
なので僕は、解凍もせずにそのままAIに渡しました。7月25日、届いた第1号の中身はこうでした。
うちの正規のサーバーから1通。封蝋も名簿の照合も通っていて、問題なしです。
もう1通、米国の貸しサーバーから出ていました。差出人はうちの名前になっているのに、押されていた封蝋は無関係の別の会社のものだったんです。当然、照合は通りません。
うちの名前を騙ったメールが、この日1通出ていたということですね。
8月9日、3週間分をまとめて集計しました
第1号を見た時点では、たまたま1通紛れ込んだのかとも思いました。1日分では何も言えませんからね。
そこで僕は、レポートが溜まるのを待ちました。そして8月9日、7月20日から8月8日までの15レポート分をまとめて集計しました。
このとき、AIへの渡し方も変えました。それまでは僕が添付ファイルを保存して渡していたんですが、メールボックスから直接読み取って集計するところまで任せました。今回使ったのはClaudeのOpus 5です。
出てきた数字がこれです。
うちの名前で届いたメールは、全部で92通。そのうち87通は照合が通って、5通は通りませんでした。率にすると94.6パーセントですね。
偽メール5通、送り元は全部同じ会社の貸しサーバー
僕は通らなかった5通を、1件ずつ見ていきました。
送り元は4つのアドレスに分かれていたんですが、持ち主を調べたら全部同じでした。米国の大手が貸している、時間貸しのサーバーです。借りるのに数分もかからない類のものですね。
日付は7月22日、23日、24日、27日、28日。1日1通ずつです。7月29日から8月8日までのレポートには、1通も出ていませんでした。
一方、うちの正規のサーバーから出た84通は、全部が照合を通っていました。不合格は1件もありません。
言い換えると、うちが出したメールは全部合格していて、落ちていたのは他人が勝手にうちの名前で出したものだけだったんです。
ひとつ正直に書いておくと、この数字には抜けがあります。うちからメールを出していない日は、そもそもレポートが来ないんですよね。3週間のうち何日かは、記録そのものがありません。その期間に出したメールが無かったからだと見ています。
レポートは受信箱に溜まっていませんでした
これは余談のようで、案外大事な話なんですよね。
3週間分を集計しようとしたとき、受信箱を見たらレポートは1通しかなかったんです。少なすぎますよね。
そこで箱を全部数えたら、こうなっていました。
- 受信箱に1通
- アーカイブに27通
- ブロック済みの箱に2通
携帯会社から届いていた分は、まとめてブロック済みの箱に振り分けられていました。機械が送ってくる添付ファイル付きのメールですから、迷惑メール扱いされやすいんでしょうね。
ちなみに、この30通と、さきほどの15レポートは数が合いません。同じ内容のレポートが、最大4通も重なって届いていたからです。重なりを外して数えると15になる、というだけの話ですね。
そうなんです。設定して安心していると、届いているのに一度も読まないまま消えていくんですよね。うちも、集計しようと思わなければ気づかないままでした。
記録するだけの設定から、隔離する設定へ
書き換えたのはDNSの1行だけ
8月9日、取扱説明書のほうを書き換えました。
設定できる強さは3段階あります。
- 何も処分せず、記録だけ送ってもらう
- 迷惑メール箱へ入れてくれ、と頼む
- そもそも受け取らないでくれ、と頼む
7月21日に入れたのは、いちばん弱い1段階目でした。これを2段階目に上げたわけです。
作業は、公開している設定の1行のうち、単語を1つ書き換えるだけです。料金もかかりません。拍子抜けしますよね。僕も、これで済むのかと思いました。
これで、うちの名前を騙るメールは、相手の受信箱に並ぶ前に迷惑メール箱へ落ちるようになります。最終的にどう扱うかは受け取った側が決めることなので、100パーセント止まると言い切ることはできません。それでも、こちらから何も言っていない状態とは、扱いがはっきり変わります。
正規のメールが巻き込まれないか、先に確かめたこと
僕が強くする前に確かめておいたことが、2つあります。
1つは、うちの正規のメールが全部合格しているかどうかです。3週間で84通、不合格はゼロでした。ここが1通でも落ちていたら、上げた瞬間にお客様へのメールが迷惑メール箱に入りますからね。
もう1つは、転送されているメールの扱いです。
僕が集計していて、見慣れないサーバーから3通出ているのに気づいたんですよね。封蝋はうちのもので、照合も通っています。ただ、通ってきた配達所が、うちの名簿に載っていないサーバーでした。
これは、うちが出したメールを誰かが別のアドレスへ転送したときに起きる形なんですね。封筒を開けずに別の配達所へ回すので、封蝋は生きたまま、経路だけが変わります。
大事なのは、この3通も照合を通っていたことでした。封蝋のほうで合格していれば、経路が変わっても弾かれません。だから設定を強くしても、転送で読んでいる方に届かなくなる心配はなかったんです。
封筒のたとえを、本当の名前に戻しておきます
ここまで封筒の話で通してきましたが、最後に本当の名前を書いておきますね。ご自分で調べるときも、業者さんに頼むときも、名前を知らないと話が始まりませんから。
- 名簿にあたるものが、SPF
- 封蝋にあたるものが、DKIM
- 取扱説明書にあたるものが、DMARC
うちが7月21日に足したのはDKIMとDMARCで、8月9日に強くしたのはDMARCのほうです。毎日届く集計レポートも、DMARCの働きですね。
ご自分の会社のドメインに何が入っているかは、ドメイン名を打ち込むだけで診断してくれる無料のサイトがいくつもあります。「ドメイン DMARC チェック」で探せば出てきますので、まずはそこで現状を見るのがいちばん早いです。
これで防げないもの
期待しすぎないように、効かない範囲もはっきり書いておきますね。
うちに毎日届く、無関係な会社を名乗った迷惑メール。あれには何の効果もありません。それは受け取る側の迷惑メールフィルタの仕事で、今回の設定は「うちの名前を使ったメール」にしか効かないんです。
効くのは、この3つです。
- 取引先やお客様に届く、うちを騙った偽メールを止められること
- 自分のアドレスを偽装して自分宛に来るスパムも、同じ仕組みで弾けること
- うちが出す正規のメールが、迷惑メール扱いされにくくなること
振り返ると、こういう3週間でした。7月21日にメールが1通届かず、その日に封蝋を付けて、25日に他人の影が1つ写り、8月9日に3週間分を集計して隔離まで上げました。かかった費用はゼロで、触ったのは公開設定の1行だけです。
自社のドメインでメールを出しているなら、いまこの瞬間に誰かがその名前を使っているかどうかは、同じやり方で無料で分かります。ご自身のドメインで何が起きているか調べてみたい方、届いたレポートの読み方が分からない方は、AI Team by MeisterSupport のLINEかお問い合わせフォームからお気軽にご相談ください。設定の1行から、一緒に見ていきます。