そのメール、本当にAmazonから？ 迷惑メール6通で学ぶ、なりすましの仕組みと見分け方

最近、OCNの「迷惑メールブロックサービス」から届く隔離通知に目を通していて、少し驚いたことがありました。
差出人のドメインに yahoo.co.jp や amazon.co.jp、apple.com といった、実在する大手企業そのものの名前が並んでいたのです。

この記事では、なぜ差出人のドメインがそっくり偽装できてしまうのか、その仕組みと、自分で見分けるための具体的な手順を説明します。

OCNのメールアドレスを20年以上使い続け、その間フィッシングメールや迷惑メールを数え切れないほど受け取ってきた私が、今回実際に隔離された6通を実例に、初心者の方にもわかりやすく解説します。

一般的なパソコンのトラブルに比べての難しさは、「正しい知識がないと、見た目だけでは絶対に判別できない」という点でしょう。
逆に言えば、見るべき場所さえ決まっていれば判断はさほど難しくありません。

最低限のポイントを押さえれば落ち着いて対処できますので、ぜひ参考にしてみてください。

1. なぜ差出人のドメインは偽装できるのか

結論から申し上げると、メールの差出人欄は、封筒の裏に手書きする「差出人名」と同じです。
郵便局は、そこに書かれた名前が本人のものかどうかを検査しません。
誰でも「Amazonより」と書いた封筒を投函できてしまいます。

メールも仕組みはまったく同じで、送信する側が From 欄の文字列を自由に設定できます。
特別な技術は不要で、設定を書き換えるだけです。

さらにややこしいことに、メールには差出人が二種類あります。

・エンベロープFrom（封筒の裏書き）— 配送システムだけが見る
・ヘッダFrom（便箋の末尾の署名）— 受信者の画面に表示される

私たちが普段目にしているのは後者だけです。そして、この二つは一致していなくても配送されてしまいます。
ここになりすましの余地が生まれるわけです。

2. SPF・DKIM・DMARCは「防ぐ」のではなく「見破る」仕組み

この問題への対策として、現在は三つの技術が使われています。
名前だけ聞くと難しそうですが、郵便に置き換えると理解しやすくなります。

1. SPF — 差出郵便局の照合

Amazonが「当社の手紙はこの郵便局からしか出しません」という名簿を、誰でも見られる場所（DNS）に公開しておく仕組みです。
受信側は消印を見て、名簿と照合します。
ただしSPFが見ているのは封筒の差出人だけで、便箋の署名は見ていません。

2. DKIM — 偽造できない封蝋（シール）

便箋そのものに、秘密の印鑑で封蝋を押す仕組みです。
受信側は公開されている印影の見本と照合します。
中身が改ざんされていないことも同時に証明できるのが利点です。

3. DMARC — 上の二つを「画面に見える差出人」に結びつける

ここが要になります。
DMARCは、SPFかDKIMのどちらかが成功し、かつそのドメインが画面表示されるヘッダFromと一致していることを条件に合格を出します。
この一致のことを「アライメント」と呼びます。

つまりDMARCは、SPFとDKIMだけでは封筒と便箋がバラバラでも通ってしまう穴を、後からふさぐ役割を担っているのです。

ここで理解しておいていただきたいのは、これらはなりすましを未然に防ぐ仕組みではないという点です。
偽メール自体は届いてしまい、代わりに \\\[dmarc fail] という判定結果が付いて隔離されます。
警備員ではなく、検査官だとお考えください。

3. 実例6通を分解してみる

では、実際に隔離された6通を見ていきます。危険度の高い順に並べ替えました。

|件名|実際の差出人|手口|
|-|-|-|
|容量が90%を超えています|…@a◯◯◯◯◯.co.jp|実在企業のサーバーを踏み台|
|Amazon 配送状況の確認|info@amazon.co.jp|大手ブランドの直接詐称|
|Apple Music+ 体験終了|info@apple.com|同上|
|登録者だけの特別価格|xzm…@yahoo.co.jp|表示名にアドレスを偽装|
|LINE友だち追加でクーポン|shj…@gmail.com|同上（表示はyahoo）|
|返金手続きの再開確認|moc.ymxpnt.vrestsil@…|文字列の表示反転|

最も危険なのは、実は地味な一通

注目していただきたいのは一行目です。
表示は「helen.ocn.ne.jp メールシステム」となっていますが、実際のアドレスはこうなっていました。

helen.ocn.ne.jp-helpdesk-Message\\\_notification-service-…
-m\\\_k◯◯◯◯◯.helen.ocn.ne.jp@a◯◯◯◯◯.co.jp

@より前を長々と引き延ばし、helen.ocn.ne.jp-helpdesk-… と書くことでドメインに見せかけています。
しかし本当のドメインは末尾の、まったく無関係の実在企業のものです（被害者側の企業と思われるため伏せ字にしました）。

そしてこの一通だけ、\\\[dmarc fail] が付いていませんでした。攻撃者がその企業のサーバーを乗っ取るなどして、そのドメインの正規の資格で送信しているためです。
名乗りに嘘がないので、検査官であるDMARCは素通りさせてしまいます。

さらに局所部に私自身のアドレスがそのまま埋め込まれている点も見逃せません。無差別のばらまきではなく、アドレスを把握したうえで個別に生成されたものです。
狙いは偽のログイン画面へ誘導し、OCNのメールパスワードを盗むことでしょう。

表示を逆さまにする手口

「返金手続きの再開確認」の差出人は、こう表示されていました。

moc.ymxpnt.vrestsil@vrestsil
      ↓ 逆から読む
listserv@listserv.tnpxmy.com

Unicodeの制御文字を使い、文字を右から左に表示させています。
文字列で判定するフィルタを回避し、同時に人間の目視判断も狂わせる狙いです。

表示名の「Amanoz」も、Amazonを崩したものと思われます（この点は推測です）。

もっとも、表示が明らかに不自然であること自体が、最もわかりやすい赤信号とも言えます。

本物そっくりの二通

Amazonとappleの二通は、表示名もアドレスも本物と完全に同一です。
目視ではまず判別できません。

それでも偽物と断定できるのは、\\\[dmarc fail] が付いているからです。
両社ともDMARCを厳格に運用しており、正規のメールなら必ず合格します。

なお、Appleの件は「Apple Music+」という存在しないサービス名を名乗っており、件名末尾の括弧も閉じだけで対になっていませんでした。
攻撃者側のミスは意外とあるものです。

4. 自分で見分けるための四つの段階

ここまでを踏まえ、実際に判断する手順をまとめます。
一つでも赤信号があれば偽物と考える減点方式で進めてください。

段階1：文脈で切る（開く前）
注文していない配送通知、契約していないサービスの請求、「容量が90%を超えています」といった急かす文言。
心当たりがなければ、この時点で削除して構いません。

段階2：実アドレスを見る（表示名は無視）
< と > の中身だけを見ます。
表示名は飾りだと割り切ってください。

段階3：認証結果を確認する
Outlookの場合、「ファイル → プロパティ → インターネットヘッダー」で Authentication-Results: の行を探し、dmarc= の値を見ます。OCNでは件名に \\\[dmarc fail] が付くので、通常はこの手間も不要です。

段階4：リンク先の実URLを見る（クリックしない）
リンクの上にマウスを乗せると、画面左下に実URLが表示されます。
ここで見るべき場所は決まっています。

https://amazon.co.jp.security-check.xyz/login
                     ↑ 本当の行き先はここ

最初のスラッシュ（/）の直前が、本当のドメインです。
amazon.co.jp の文字が含まれていても、その後ろに別のドメインが続いていれば偽物です。
この一点だけでも覚えて帰っていただければ、防げる被害はかなり増えるはずです。

5. パスキーが「数学的に」防いでくれる理由

ここまで読んで、「ドメインがこれほど簡単に偽装できるなら、パスキーも危ないのでは」と思われた方がいるかもしれません。
私自身も同じ疑問を持ちました。

結論を申し上げると、パスキーは悪用されません。
理由は明快で、メールの差出人は「自称」ですが、パスキーが照合するドメインは「実際に接続した先」だからです。
自称は嘘をつけますが、接続先は嘘をつけません。

たとえるなら、訪問者の名乗りや制服は一切信用せず、こちらから自分の足で本社ビルまで出向き、鍵が受付の番地を自分で読み取るようなものです。
看板に「Amazon」と書いてあっても、鍵が見るのは番地なので反応しません。

偽サイトでパスキーを盗むには、正規ドメインのDNSを乗っ取り、なおかつ正規のTLS証明書を不正取得する必要があります。
証明書の不正発行は公開ログに記録され即座に発覚しますから、現実的にはまず不可能です。
偽メールを送るのにサーバー一台あれば足りるのとは、労力がまるで違います。

但し、パスキーそのものは破られなくても、迂回はされます。
最も多いのが「パスキーが使えません。パスワードとSMSコードを入力してください」という誘導です。
パスキーは無反応でも、手入力した情報は偽サイトに渡ってしまいます。

パスキーが反応しないことは、故障ではなく警報です。
その場でパスワード入力に切り替えるのが、最も危険な行動だと理解しておいてください。

まとめ

今回は、実際に隔離された6通のメールを教材に、なりすましの仕組みと見分け方のノウハウを説明してきました。
重要な点を改めて整理します。

・差出人欄は誰でも自由に書ける。表示名は判断材料にしない
・SPF・DKIM・DMARCは防ぐ仕組みではなく、見破って印を付ける仕組み
・\\\[dmarc fail] は偽物のサイン。但し印がないから本物とは限らない
・最終判断はメール内のリンクではなく、ブックマークや公式アプリから自分でアクセスして行う

特にお伝えしたいのは、三つ目の点です。
ここには「印が付いていれば偽物と分かる。しかし印が付いていなくても本物とは限らない」という、行きと帰りで効き目の違う関係があります。

つまり、正規ドメインを踏み台にした攻撃は技術では止まりません。
そこだけは、段階1の「そもそもこのメールを待っていたか」という素朴な文脈判断が最後の砦になります。

なお、隔離フォルダを確認する際は、誤判定がないかを件名と実アドレスだけで判断し、安易に開かないようにしてください。
開いただけで「生きているアドレス」と判定され、かえって配信が増えることがあります。

仕組みを理解したうえで見るべき場所を決めておけば、それぞれの場面に見合った落ち着いた判断ができるようになるでしょう。
まずは今日、リンクの上にマウスを乗せて実URLを確かめる習慣から始めてみてください。