症例演習：フィッシングメールとサイトを見破る
経理担当者宛てに届いた「請求書支払い期限」のメールを題材に、受信ヘッダの齟齬、SPF/DKIM/DMARC の認証結果、リンク先ドメインの綴り違いとサブドメイン構造の罠を読み解き、フィッシングを見破る力を鍛える演習です。
この記事の目次 6項目から選ぶ
フィッシングメールは、件名や本文の巧みさ以前に「技術的な証跡」を見れば高い精度で見破ることができます。特にメールヘッダに記録される送信元情報とメール認証（SPF・DKIM・DMARC）の結果は、攻撃者が偽装しにくい領域です。
この演習では、架空の企業「株式会社イグザンプル」の経理担当者に届いた1通のメールを題材に、メールヘッダの齟齬、Authentication-Results の読み方、リンク先ドメインの見極め方を順に確認し、「このメールをどう判定し、次に何をするか」を自分で判断できるようになることを目指します。
本記事は教育目的の演習であり、登場するデータ（組織名・人名・メールアドレス・IPアドレス・ドメイン）はすべて合成の例です。実在の組織・個人とは一切関係ありません。
状況設定
あなたは従業員80名の中小企業「株式会社イグザンプル」（自社ドメイン: example.jp）の情シス担当者です。2026年7月20日の午前、経理部の田中さんから「支払い期限が今日中と書かれたメールが届いたのですが、経理部の伊藤さんに心当たりを確認しても送信していないと言われました」と相談がありました。田中さんはまだリンクを開いておらず、返信もしていません。
あなたはメールサーバーから該当メールのヘッダ付き完全版を取り寄せました。自社では、メールの疑わしさを判断する際にフィッシングメールのチェックリストを使う運用になっています。
証跡の提示
まず、取り寄せたメールの受信ヘッダです。
| Return-Path: <[email protected]> |
| Delivered-To: [email protected] |
| Received: from mail.examp1e.com (unknown [203.0.113.77]) |
| by mx.example.jp (Postfix) with ESMTPS id 4A1B2C3D4E |
| for <[email protected]>; Mon, 20 Jul 2026 09:14:01 +0900 (JST) |
| Authentication-Results: mx.example.jp; |
| spf=fail (mx.example.jp: domain of examp1e.com does not designate 203.0.113.77 as permitted sender) smtp.mailfrom=examp1e.com; |
| dkim=fail [email protected] header.s=mail202607; |
| dmarc=fail (p=quarantine sp=quarantine dis=none) header.from=example.jp |
| From: "伊藤 健（経理部）" <[email protected]> |
| Reply-To: [email protected] |
| To: [email protected] |
| Subject: 【至急】7月分 請求書の支払い期限に関する確認依頼 |
| Date: Mon, 20 Jul 2026 09:13:58 +0900 |
| Message-ID: <[email protected]> |
| MIME-Version: 1.0 |
| Content-Type: text/plain; charset="UTF-8" |
| Content-Transfer-Encoding: 8bit |
続いて本文です。
| 田中 様 |
| 経理部の伊藤です。 |
| 7月分の請求書の支払処理において、貴社の口座情報に不整合が見つかりました。 |
| 支払期限は本日中となっておりますため、以下のリンクから至急ご確認ください。 |
| ▼ 請求書確認ポータル |
| hxxps://billing.example[.]jp.account-verify.examp1e[.]com/invoice/2026-07 |
| 24時間以内に確認が取れない場合、取引が一時停止されます。 |
| ※本メールは自動送信です。心当たりがない場合は破棄してください。 |
| 経理部 伊藤 健 |
| [email protected] |
問いかけ
Q1 Authentication-Results の3つの認証結果は何を意味しているか？
Authentication-Results は、受信側のメールサーバー（mx.example.jp）がメール認証を評価した結果の記録です。このメールでは3つすべてが失敗しています。
spf=fail: 送信元IPアドレス 203.0.113.77 が、Return-Path のドメイン examp1e.com の SPF レコードで許可された送信元ではないdkim=fail: examp1e.com 名義の DKIM 署名の検証に失敗したdmarc=fail: ヘッダ From のドメイン example.jp の DMARC 評価に失敗した。つまり From アドレス（[email protected]）と実際の送信経路に整合性（アライメント）がない
特に重要なのは dmarc=fail ... header.from=example.jp です。「example.jp からのメールに見せかけているが、認証上は example.jp から送られていない」ことを意味し、メールスプーフィングの典型的な痕跡です。
Q2 本文のリンク先ドメインは、株式会社イグザンプルの正規ドメインか？
リンク先は hxxps://billing.example[.]jp.account-verify.examp1e[.]com/invoice/2026-07 です。
ドメイン名は右から読みます。このFQDNの登録ドメインは examp1e.com であり、billing.example.jp.account-verify. はそのサブドメインに過ぎません。つまり「example.jp」という文字列はサブドメインの一部として埋め込まれているだけで、接続先は examp1e.com という第三者のドメインです。
さらに examp1e.com は example.com の l（エル）を 1（数字のイチ）に置き換えた綴り違いドメインで、タイポスクワッティング（またはルックアライクドメイン）の典型的な手口です。正規ドメインではありません。
Q3 このメールは攻撃と判断できるか？ また田中さんへの次の指示は？
攻撃と判断します。根拠は以下の複合です。
- Return-Path（examp1e.com）と From（example.jp）のドメインが一致しない
- Reply-To が From とも異なる第三者ドメイン（example.net 配下の見せかけサブドメイン）に向けられており、返信が攻撃者に届く構造になっている
- SPF・DKIM・DMARC のすべてが fail
- リンク先が綴り違いドメイン＋偽装サブドメイン構造
- 「本日中」「24時間以内」という緊急性の演出（BEC 的な心理的圧力）
MITRE ATT&CK の分類では T1566（フィッシング）に該当します。田中さんには「リンクを開かない・返信しない・添付があれば実行しない・メールは削除せず保持したまま情シスに転送（添付転送）する」よう指示し、フィッシングの報告手順に沿って報告として記録します。
観察ポイントの解説
From / Return-Path / Reply-To の齟齬を見る
フィッシング判定の第一歩は、メールに存在する複数の「差出人らしき情報」を突き合わせることです。
- From（ヘッダFrom）: 受信者に表示される差出人。攻撃者が自由に偽装できるため、これだけでは何も判断できません。表示名「伊藤 健（経理部）」は信頼を誘うための装飾です。
- Return-Path（エンバロープFrom）: 配送エラー通知の返却先で、実際の送信ドメインを示す手がかりになります。今回は examp1e.com で、From の example.jp と一致しません。
- Reply-To: 受信者が返信したときの実際の届け先。今回は
[email protected]で、返信すると社内の伊藤ではなく攻撃者のドメインに届きます。「From は社内、返信先は外部」という構造は、会話を乗っ取るビジネスメール詐欺（BEC）の典型的な布石です。
3者が一致しないメールは、まず疑ってかかるのが原則です。
Authentication-Results（SPF/DKIM/DMARC）の読み方
受信サーバーが付与する Authentication-Results は、改ざんが難しい信頼性の高い証跡です（自社の受信サーバーが付けたものに限り信頼できます）。
- SPF: 送信元IPがエンバロープFromのドメインから許可されているかを検査します。
spf=failは「そのIPは送信を許可されていない」という明示的な否定です。 - DKIM: 送信ドメインの秘密鍵による電子署名を検証します。
dkim=failは署名が無効（なりすまし、または転送による破損）を意味します。 - DMARC: ヘッダFromのドメインと SPF/DKIM のドメインのアライメント（一致）を評価します。DMARC は「ヘッダFromの本人確認」であり、
dmarc=fail (p=quarantine)は From ドメインの所有者が「失敗したメールは隔離して」と宣言しているのに失敗した、という状態です。SPF・DKIM が個別に fail でも、どちらかがアライメント付きで pass すれば DMARC は pass します。3つ同時の fail は強い危険信号です。
なお今回の dis=none は「受信サーバーはポリシー通り隔離せず受信トレイへ配信した」ことを示します。DMARC 評価が fail でも配信されてしまうケースは実務で頻繁にあり、「認証を通らなかったメールが届いている」こと自体が異常だと捉えてください。
リンク先ドメインの綴り違いとサブドメイン構造
URL のホスト名は、ピリオドで区切られたラベルの階層です。判断に必要なのは「右端の登録ドメインがどれか」の一点です。
billing.example.jp.account-verify.examp1e.com→ 登録ドメインは examp1e.com。example.jpは左側のサブドメインの文字列に過ぎず、無関係な第三者のサイトですexamp1e.comのようにl→1、o→0、rn→mといった字形の類似を使う手口が典型です- HTTPS（鍵マーク）が付いていても安全とは限りません。無料証明書で暗号化だけは整えたフィッシングサイトが一般的です
メールクライアント上でリンクをクリックせず、マウスオーバー／リンクのコピーで実際の URL を確認し、右から登録ドメインを切り出す癖を付けてください。
判定と初動アクション
結論として、本メールは フィッシング（T1566） と判定します。
初動でやること
- 受信者に「開かない・返信しない・転送しない・リンクを踏まない」を改めて徹底する
- メールをヘッダ付き（eml 形式等）で保全し、証拠として記録する
- 同じ送信元・件名のメールが他の従業員に届いていないか、メールゲートウェイのログを検索する
- 送信元ドメイン（examp1e.com）とIP（203.0.113.77）を受信拒否リストに追加する
- 万が一リンクを開いた・認証情報を入力した者がいれば、そのアカウントのパスワード変更とセッション無効化を即時実施する
初動でやらないこと
- 攻撃者のドメインへ「確認のため」にアクセスしない（分析は隔離環境で行う）
- Reply-To や From へ問い合わせの返信を送らない
- 証拠保全前にメールを削除しない
- 「自分で判断して削除したから報告不要」としない（横展開の検知機会を失う）
参考情報
- DMARC.org — DMARC Overview — SPF/DKIM/DMARC の仕組みとアライメントの概念
- MITRE ATT&CK — Phishing (T1566) — フィッシング手法の公式分類
- CISA — Avoiding Social Engineering and Phishing Attacks — フィッシングの兆候と初動対応の公式ガイダンス