表示される身元とバウンス先をまず区別する
Fromはメールソフトに表示される差出人情報、Return-Pathはバウンスメールの受信先です。両者が異なるからといって必ずしも不審とは限りませんが、ドメインの関係を説明できる必要があります。
メールヘッダー図解
メールの出どころは、ヘッダーフィールドに隠れている
差出人の表示名は表面的な情報にすぎません。Return-Path、Received、認証結果を順に確認して、申告された身元と実際の配信経路が一致するか見極めましょう。
From: Billing <notice@example.test>Return-Path: <bounce@mailer.test>Received: from mx2.mailer.testMessage-ID: <8f31@mailer.test>Authentication-Results:
spf=pass; dkim=pass; dmarc=passReceivedは下から上へ読む
受信サーバーはそれぞれ記録行を先頭に追加するため、最下部が通常、出発点に最も近い情報です。見慣れない中継、時刻の不自然な飛び、ドメインの不一致は再確認しましょう。
最後に認証の整合性を確認する
SPFは送信サーバー、DKIMは署名を検証し、DMARCはどちらか一方が表示されるFromのドメインと一致することを求めます。認証に合格しても内容が安全とは限らず、身元の連鎖がより明確になるだけです。
フィールド用語集
よく使う7つの確認ポイント
各フィールドが答える問いを理解してから証拠を組み合わせ、1つのpassや表示名だけで判断しないようにしましょう。
- From
- 受信者に表示される差出人情報です。送信側が設定できるため、認証との整合性も確認します。
- Reply-To
- 返信時に使われるアドレスです。Fromとまったく関係がない場合は、正当な業務上の理由があるか確認しましょう。
- Return-Path
- バウンスメールの受信先です。一括配信サービスのドメインであることが多く、ブランドのドメインと異なる場合もあります。
- Received
- メールが経由したサーバーの記録です。ホスト、アドレス、プロトコル、時刻が含まれ、遅延の調査に役立ちます。
- Message-ID
- メールを識別するIDです。通常は生成システムのドメインを含みます。欠落や形式の異常は、数あるリスクの手がかりの1つにすぎません。
- DKIM
- ドメインが暗号署名を使い、ヘッダーの一部と本文が途中で改変されていないことを証明します。
- DMARC
- SPFまたはDKIMが表示される差出人ドメインと一致することを求め、認証に失敗したメールの処理方針を示します。
- List-Unsubscribe
- 正規の一括配信メールには通常、配信停止への導線があります。ただし、クリックする前にドメインと遷移先を確認しましょう。
安全上の注意点
認証に合格しても、メールの内容が信頼できるとは限らない
攻撃者も、自分が管理するドメインに完全な認証を設定できます。支払い、パスワードのリセット、添付ファイルのダウンロードを求められたら、メールのボタンを直接使わず、公式サイトを自分で開いて確認してください。