SNSにおける個人や企業のなりすましは、巧妙化が進んでいます。 個人や企業になりすます攻撃者は、その姿をより深い所に潜めながら、ユーザーへ攻撃を仕掛けてくるようになりました。 この半年間に弊社に寄せられた企業様からの相談内容から、SNSで起こっているなりすましの傾向と対策について最新情報をお届けします。<figure><img src="https://images.microcms-assets.io/assets/02c7210b9bb240dc8661903b58275e93/b062ebe112cd4be896b3b9df57b7da8b/narisumashi%E2%82%8B20260417-%201%20.png" alt="SNSなりすまし詐欺の3つの主な手口を解説するイラスト。 「SNS上の偽広告による外部サイト誘導」：魅力的な広告でユーザーを釣り、偽のEC・フィッシングサイトへ誘導して情報を搾取する流れ。 「なりすましアカウントによる求人DM」：企業公式や人事を装い、「特別採用」「高収入」などのメッセージで個人情報を聞き出す流れ。 3. 「公式・知人になりすました投資・プレゼント詐欺」：信頼を利用して偽のキャンペーンを告知し、金銭振込や情報入力を要求する流れ。" width="900" height="673"><figcaption>図1:SNSなりすまし詐欺の3つの手口</figcaption></figure><h2 id="h48bb43de17"> ◇ケース１：なりすまし広告出稿からのニセサイト誘導型（Facebook）</h2> 従来はアカウントの情報だけでなりすましであることを判別できましたが、最近の傾向では、アカウントの情報だけではなりすましに使われているものか否か判別できないほど巧妙化しています。このアカウントから広告を出稿し、広告上で企業を騙り、キャンペーンや特別販売を打ち出して外部のニセサイトへ誘導後、個人情報や金銭を搾取する悪質な詐欺行為が多発しています。 ユーザーは、格安でブランド品の購入できることを信じ、金銭を支払ってしまったとする相談が企業様に寄せられました。<figure><img src="https://images.microcms-assets.io/assets/02c7210b9bb240dc8661903b58275e93/1aebed3abafc426ba9121bcb2670b1b8/narisumashi%E2%82%8B20260417-%202%20.png" alt="acebook広告を起点とした詐欺のステップ図。 ユーザーがSNSを閲覧、2. 「SALE 90% OFF」などの偽のFacebook広告が表示される、3. 偽ECサイトへ誘導される、4. クレジットカード情報などの個人情報・決済情報を入力してしまう、5. 被害が発生する、という5段階のプロセスを示している。" width="900" height="231"><figcaption> 図2:SNS広告を利用した詐欺の流れ</figcaption></figure>◆対応策：このケースでは、広告を出稿するアカウントには企業の商標やロゴが用いられていないため、発見出来ずに対応が遅れる場合があります。 一方で、投稿されている広告からなりすまし被害をキャッチすることが出来る場合がありますので、Facebookの広告監視から、被害を拡大させないための広告削除やニセサイトのテイクダウンを実施して被害を最小限に抑える対策が可能となります。<h2 id="h72804b1188"> ◇ケース２：企業なりすましアカウントからのオファー型（Tiktok）</h2> アカウントに企業のロゴが使用されたなりすましアカウントから発信される詐欺です。特徴的なのは、そのアカウントから公開されている投稿はほとんどありませんが、このアカウントを使って攻撃者はユーザーに対してダイレクトメッセージを送りつけます。自身は企業担当者であり、自社商品をあなたのSNSで紹介してもらいたいとするニセの契約をもちかけ、お金をだまし取る悪質な詐欺です。ユーザーはアカウント情報から企業からのオファーと信じ込み、ニセの契約にサインし詐欺の被害にあってしまったとする相談が企業様に寄せられました。<figure><img src="https://images.microcms-assets.io/assets/02c7210b9bb240dc8661903b58275e93/93a31d692b8d48f18b9216e129ad3940/narisumashi%E2%82%8B20260417-%203%20.png" alt="TikTokなどのDM（ダイレクトメッセージ）を利用した詐欺のフローチャート。 偽アカウントの作成から始まり、ユーザーへのDM送信、コラボ・契約を装った偽のオファー、信頼させてからの金銭や情報の要求、そして被害発生に至るまでの流れをアイコンで説明している。" width="900" height="210"><figcaption> 図3:SNSなりすましアカウントによるDM詐欺の流れ</figcaption></figure>◆対応策：このケースでは、アカウント情報に企業ロゴや企業名が利用されているため、発見自体は容易ですが公式アカウントかなりすましアカウントかが一見して分かりません。公式アカウントと誤認してしまうユーザーが一定数いることから、詐欺の被害に遭ってしまいます。これらのなりすましアカウントはSNS監視で検知することが可能です。企業様側で管理している公式アカウント情報と照らし合わせながら、なりすましアカウントと判明した場合はアカウントの削除申請を早急に行うことで被害を防止することが可能となります。<h2 id="he7c4f29349"> ◇ケース３：LINE誘導型（Instagram）</h2> このケースもSNSのアカウントの情報だけでは、個人を装っていて企業や著名人のなりすましであることは一切わかりません。攻撃者は、このアカウントからユーザーへ個別にダイレクトメッセージを送りつけます。メッセージ上では企業を名乗り、LINEへ誘導後その企業の商品販売を促します。よく注意すればあやしいと分かるはずですが、騙されてしまう被害者が一定数おり、「お金を支払ってしまった」「詐欺被害に遭った」とする相談が寄せられました。<figure><img src="https://images.microcms-assets.io/assets/02c7210b9bb240dc8661903b58275e93/0293a7636bd44272bafcc511e0f17039/narisumashi%E2%82%8B20260417-%204.png" alt="InstagramからLINEへ誘導する詐欺の遷移図。 InstagramのDMに記載された外部リンクからLINEアプリへ移動させ、LINE上での詐欺メッセージを通じて最終的に支払いを要求（金銭搾取）する仕組みを矢印で示している。" width="900" height="260"><figcaption>図4: InstagramからLINEへ誘導される詐欺の流れ</figcaption></figure>◆対応策：このケースでもInstagramのアカウント上では企業のなりすましであることは掴めません。このため初動は被害に遭ったとする情報をもってアクションを起こす必要があります。対応には証拠が必要となりますので、企業様はユーザーから通報があった際にダイレクトメッセージのキャプチャを提供してもらうなど、アカウント名とメッセージ内で企業を騙っている証拠を確実に押さえておきましょう。水面下で詐欺をはたらく攻撃者のアカウント名が判明した場合は、そのアカウント名から調査をかけることが可能となります。同じようなアカウントが複数存在していることもありますので、証拠収集と併せて同じアカウント名が存在していないか確認するようにしましょう。<h2 id="ha71fc03c87"> ◇まとめ</h2>いかがでしたでしょうか。最近のなりすましは巧妙化が進み、一見してなりすましであることが分からないケースが増えているだけでなく、通常のSNS監視では検知が出来ないケースも増加しています。 被害を拡大させないためには、関連部署との連携を強め、窓口への通報をリアルタイムで共有できる体制を築くことが重要です。これにより、被害を最小限に食い止めることが可能になります。また、被害にあったとする情報が寄せられた場合は、出来る限り多くの証拠を入手しておくように努めましょう。その証拠をもってSNSのプラットフォームへ申立てを行うことが可能となります。 プラットフォーム側も詐欺対策を強化していますが、依然として安全とは言い切れない状況です。そのため、企業としても可能な限りの対策を講じておく必要があります。 弊社のSNS監視やSNS広告監視を利用いただくことで未然に防げることが出来る場合もありますので困った時はお気軽にご相談ください。 ｜参考｜・<a href="https://brandsecurity.gmo/security/service/brandsurveillance/">AI活用で効率的・リーズナブルに ブランド侵害のモニタリングサービス</a>・<a href="https://brandsecurity.gmo/security/service/enforceone/">GMOエンフォース１ ブランド毀損リスクへの全方位的なサポート</a><figure style="text-align: center;"><a href="https://www2.brandsecurity.gmo/l/959492/2024-01-16/67715i"><img src="https://images.microcms-assets.io/assets/02c7210b9bb240dc8661903b58275e93/baf961fe02e94fc4b71f02ce05c33963/btn_toiawase.png" alt="お問い合わせこちら" width="292" height="58"></a></figure>

SNS上のなりすまし詐欺が巧妙化しています 。Facebookでの偽広告、TikTokでの偽オファー、InstagramからLINEへの誘導など、最新の3つの手口を徹底解説 。被害を最小限に食い止めるためのSNS監視体制や、証拠収集の重要性など、企業が今すぐ取るべき具体的なデジタルリスク対策をお届けします 。

GMOなりすましZERO

【デジタルリスク対策】SNSなりすまし詐欺の最新手口と企業が取るべき対策

SNSにおける個人や企業のなりすましは、巧妙化が進んでいます。個人や企業になりすます攻撃者は、その姿をより深い所に潜めながら、ユーザーへ攻撃を仕掛けてくるようになりました。この半年間に弊社に寄せられた企業様からの相談内容から、SNSで起こっているなりすましの傾向と対策について最新情報をお届けします。 SNSなりすまし詐欺の3つの主な手口を解説するイラスト。 「SNS上の偽広告による外部サイト誘導」：魅力的な広告でユーザーを釣り、偽のEC・フィッシングサイトへ誘導して情報を搾取する流れ。 「なりすましアカウントによる求人DM」：企業公式や人事を装い、「特別採用」「高収入」などのメッセージで個人情報を聞き出す流れ。 3. 「公式・知人になりすました投資・プレゼント詐欺」：信頼を利用して偽のキャンペーンを告知し、金銭振込や情報入力を要求する流れ。 図1:SNSなりすまし詐欺の3つの手口◇ケース１：なりすまし広告出稿からのニセサイト誘導型（Facebook）従来はアカウントの情報だけでなりすましであることを判別できましたが、最近の傾向では、アカウントの情報だけではなりすましに使われているものか否か判別できないほど巧妙化しています。このアカウントから広告を出稿し、広告上で企業を騙り、キャンペーンや特別販売を打ち出して外部のニセサイトへ誘導後、個人情報や金銭を搾取する悪質な詐欺行為が多発しています。ユーザーは、格安でブランド品の購入できることを信じ、金銭を支払ってしまったとする相談が企業様に寄せられました。 acebook広告を起点とした詐欺のステップ図。 ユーザーがSNSを閲覧、2. 「SALE 90% OFF」などの偽のFacebook広告が表示される、3. 偽ECサイトへ誘導される、4. クレジットカード情報などの個人情報・決済情報を入力してしまう、5. 被害が発生する、という5段階のプロセスを示している。 図2:SNS広告を利用した詐欺の流れ◆対応策：このケースでは、広告を出稿するアカウントには企業の商標やロゴが用いられていないため、発見出来ずに対応が遅れる場合があります。一方で、投稿されている広告からなりすまし被害をキャッチすることが出来る場合がありますので、Facebookの広告監視から、被害を拡大させないための広告削除やニセサイトのテイクダウンを実施して被害を最小限に抑える対策が可能となります。◇ケース２：企業なりすましアカウントからのオファー型（Tiktok）アカウントに企業のロゴが使用されたなりすましアカウントから発信される詐欺です。特徴的なのは、そのアカウントから公開されている投稿はほとんどありませんが、このアカウントを使って攻撃者はユーザーに対してダイレクトメッセージを送りつけます。自身は企業担当者であり、自社商品をあなたのSNSで紹介してもらいたいとするニセの契約をもちかけ、お金をだまし取る悪質な詐欺です。ユーザーはアカウント情報から企業からのオファーと信じ込み、ニセの契約にサインし詐欺の被害にあってしまったとする相談が企業様に寄せられました。 TikTokなどのDM（ダイレクトメッセージ）を利用した詐欺のフローチャート。 偽アカウントの作成から始まり、ユーザーへのDM送信、コラボ・契約を装った偽のオファー、信頼させてからの金銭や情報の要求、そして被害発生に至るまでの流れをアイコンで説明している。 図3:SNSなりすましアカウントによるDM詐欺の流れ◆対応策：このケースでは、アカウント情報に企業ロゴや企業名が利用されているため、発見自体は容易ですが公式アカウントかなりすましアカウントかが一見して分かりません。公式アカウントと誤認してしまうユーザーが一定数いることから、詐欺の被害に遭ってしまいます。これらのなりすましアカウントはSNS監視で検知することが可能です。企業様側で管理している公式アカウント情報と照らし合わせながら、なりすましアカウントと判明した場合はアカウントの削除申請を早急に行うことで被害を防止することが可能となります。◇ケース３：LINE誘導型（Instagram）このケースもSNSのアカウントの情報だけでは、個人を装っていて企業や著名人のなりすましであることは一切わかりません。攻撃者は、このアカウントからユーザーへ個別にダイレクトメッセージを送りつけます。メッセージ上では企業を名乗り、LINEへ誘導後その企業の商品販売を促します。よく注意すればあやしいと分かるはずですが、騙されてしまう被害者が一定数おり、「お金を支払ってしまった」「詐欺被害に遭った」とする相談が寄せられました。 InstagramからLINEへ誘導する詐欺の遷移図。 InstagramのDMに記載された外部リンクからLINEアプリへ移動させ、LINE上での詐欺メッセージを通じて最終的に支払いを要求（金銭搾取）する仕組みを矢印で示している。 図4: InstagramからLINEへ誘導される詐欺の流れ◆対応策：このケースでもInstagramのアカウント上では企業のなりすましであることは掴めません。このため初動は被害に遭ったとする情報をもってアクションを起こす必要があります。対応には証拠が必要となりますので、企業様はユーザーから通報があった際にダイレクトメッセージのキャプチャを提供してもらうなど、アカウント名とメッセージ内で企業を騙っている証拠を確実に押さえておきましょう。水面下で詐欺をはたらく攻撃者のアカウント名が判明した場合は、そのアカウント名から調査をかけることが可能となります。同じようなアカウントが複数存在していることもありますので、証拠収集と併せて同じアカウント名が存在していないか確認するようにしましょう。◇まとめいかがでしたでしょうか。最近のなりすましは巧妙化が進み、一見してなりすましであることが分からないケースが増えているだけでなく、通常のSNS監視では検知が出来ないケースも増加しています。被害を拡大させないためには、関連部署との連携を強め、窓口への通報をリアルタイムで共有できる体制を築くことが重要です。これにより、被害を最小限に食い止めることが可能になります。また、被害にあったとする情報が寄せられた場合は、出来る限り多くの証拠を入手しておくように努めましょう。その証拠をもってSNSのプラットフォームへ申立てを行うことが可能となります。プラットフォーム側も詐欺対策を強化していますが、依然として安全とは言い切れない状況です。そのため、企業としても可能な限りの対策を講じておく必要があります。弊社のSNS監視やSNS広告監視を利用いただくことで未然に防げることが出来る場合もありますので困った時はお気軽にご相談ください。｜参考｜・AI活用で効率的・リーズナブルに ブランド侵害のモニタリングサービス・GMOエンフォース１ ブランド毀損リスクへの全方位的なサポート お問い合わせこちら

自社ブランドを騙ったなりすましメールは、もはやIT部門だけの問題ではありません。GMOブランドセキュリティの調査により、国内主要ブランドのメールセキュリティ対策が国際水準から大きく遅れていることが明らかになりました。本記事では調査結果の要点を整理したうえで、優先度別に企業が取るべき具体的なアクションを解説します。<h2 id="he2a9202605">調査結果の概要：国内ブランドの適切率はグローバルの約5分の1</h2>国内Top50ブランドにおけるSPF/DMARC両設定の「適切率」はわずか4.8%です。グローバルTop50ブランドの23.1%と比べると、約4.8倍の格差が存在します。ここでいう「適切」な状態とは、単に技術を導入しているだけでなく、なりすましメールを実効的に遮断できる以下の設定を指します 。<ul><li>SPF: v=spf1 -all（拒否設定）</li><li>DMARC: p=reject（拒否）または p=quarantine（隔離）の設定 </li></ul>GMOブランドセキュリティ株式会社が2026年3月に実施した調査では、InterbrandのBest Global Brands 2025およびBest Japan Brands 2025に選出された計100社が保有する7,600ドメインを対象に、なりすましメール対策技術「SPF（※1）」と「DMARC（※2）」の設定状況を確認しました。 （※1）SPF（エスピーエフ）送信元サーバーのIPアドレスをあらかじめ公開し、正しい場所から送られたメールかを判定する技術。導入が比較的容易な反面、メールが転送されると認証に失敗しやすいという弱点があります。（※2）DMARC（ディーマーク）SPF・DKIMの認証失敗時に「メールを遮断するか」等の処理を送信者が指示する仕組み。none（監視のみ）、quarantine（隔離）、reject（拒否）の3段階があり、なりすまし防止の要となります。 <h3 id="h1e2d8599b8">グローバルvs国内 主要指標比較</h3><figure><img src="https://images.microcms-assets.io/assets/02c7210b9bb240dc8661903b58275e93/7cf16d79273b4da5a5e3b43c7f8efafc/narisumashi%E2%82%8B20260414%E2%82%8B2.png?w=900&amp;h=418" alt="" width="900" height="418"></figure><h2 id="h15bda66450">なぜ日本企業の対策は遅れているのか</h2> 国内外で格差が生じている主な背景には、規制による強制力の有無があると考えられます。 欧州では、GDPR（※3）やNIS2指令（※4）が求める「適切な技術的措置」の一環として、メール認証の設定が事実上の義務（コンプライアンス要件）となっています。TLD別の適切率では、「.fr（56.0%）」、「.es（44.0%）」、「.de（44.0%）」、「.it（44.0%）」といった欧州のccTLD（カッコ内は適用率）が上位を占めており、規制が対策水準を引き上げていることが数字に表れています。 一方、日本では同等の法的要件が整備されておらず、企業の自主的な取り組みに委ねられている状態が続いています。しかし、フィッシング詐欺やビジネスメール詐欺による被害は急増しており、「自社がやられるまで対応しない」という姿勢は今や許容されるものではありません。ポイント：SPFだけでは不正を「検出」できても「遮断」はできません。なりすましメールを実際に止めるには、DMARCとの併用が不可欠です。 （※3）GDPR（ジーディーピーアール） EU域内の個人データ保護を目的とした厳格な法規則。個人データの処理や移転に厳しい制限を課し、違反時には多額の制裁金が科されるのが特徴です。日本企業であってもEU居住者のデータを扱う場合は対象となるため、グローバル展開におけるプライバシー保護の国際基準となっています。（※4）NIS2指令（エヌアイエスツーしれい） EU全域のサイバーセキュリティ水準を底上げするための新たな法的枠組み。従来の対象範囲を大幅に拡大し、エネルギーや金融だけでなく製造や流通などの重要部門にも高度なリスク管理と報告義務を課します。サプライチェーン全体の安全性を重視しており、関連企業の対応が強く求められる仕組みです。<h2 id="h52ee550717">見落とされがちな「休眠ドメイン」という盲点</h2>適切率が最も低いのは、企業がブランド保護目的に取得し、メール送受信に使っていない非アクティブ（休眠）ドメインです。国内ブランドの休眠ドメインの適切率はわずか1.3%で、2,518件が完全に無防備な状態で放置されています。休眠ドメインは担当者の目が届きにくいため、攻撃者がなりすましメールの「踏み台」として悪用しやすい状況にあります。メールを一切送受信していないドメインであっても、SPF/DMARCが未設定であれば第三者がそのドメインを詐称してメールを送信することは技術的に可能です。<h2 id="hb74fb9af78"> 企業が取るべき6つのアクション：優先度別ロードマップ</h2> 今回の調査結果を踏まえ、企業が対応すべきアクションを優先度別に整理します。「どこから手をつければよいかわからない」という担当者は、この順序で進めることをおすすめします。 <h3 id="hcb1471e1db"> 6アクションの優先度サマリー</h3><table><tbody><tr><td colspan="1" rowspan="1">優先度</td><td colspan="1" rowspan="1">アクション</td><td colspan="1" rowspan="1">対象ドメイン</td><td colspan="1" rowspan="1">目安期間</td></tr><tr><td colspan="1" rowspan="1">PRIORITY 1</td><td colspan="1" rowspan="1">①メール利用ドメインのDMARC強化</td><td colspan="1" rowspan="1">MXあり</td><td colspan="1" rowspan="1">即時</td></tr><tr><td colspan="1" rowspan="1">PRIORITY 1</td><td colspan="1" rowspan="1">②アクティブ・非メールドメインへのSPF/DMARC強化</td><td colspan="1" rowspan="1">Aレコードあり・MXなし</td><td colspan="1" rowspan="1">即時</td></tr><tr><td colspan="1" rowspan="1">PRIORITY 2</td><td colspan="1" rowspan="1">③非アクティブドメインの一括SPF/DMARC強化</td><td colspan="1" rowspan="1">休眠ドメイン全件</td><td colspan="1" rowspan="1">3ヶ月以内</td></tr><tr><td colspan="1" rowspan="1">PRIORITY 2</td><td colspan="1" rowspan="1">④ドメインポートフォリオの棚卸しと防衛取得</td><td colspan="1" rowspan="1">未取得ドメイン</td><td colspan="1" rowspan="1">3ヶ月以内</td></tr><tr><td colspan="1" rowspan="1">PRIORITY 3</td><td colspan="1" rowspan="1">⑤定期的なDNSモニタリング体制の確立</td><td colspan="1" rowspan="1">全ドメイン</td><td colspan="1" rowspan="1">継続</td></tr><tr><td colspan="1" rowspan="1">PRIORITY 3</td><td colspan="1" rowspan="1">⑥グローバルベンチマークとの継続比較</td><td colspan="1" rowspan="1">全ドメイン</td><td colspan="1" rowspan="1">継続（半年ごと）</td></tr></tbody></table><h3 id="h4a9682d95a"> PRIORITY 1 — 即時対応</h3> メールを送受信しているドメインと、送受信はしていないがWebで使用中のドメインに、今すぐSPF/DMARCの拒否設定を適用します。 ① メール利用ドメインのDMARC強化 MXレコード（※5）を持つ、実際にメール送受信に使用しているドメインへの対応が最優先です。現在`p=none`または未設定の状態では、なりすましメールを一切遮断できていません。<ul><li> SPF/DKIMの設定状況を確認し、正規メール送信源（ESP、CRM、基幹システム、SFAなど）を完全に棚卸しします。</li><li> 棚卸し完了後、DMARCを`p=none（監視のみ）`に設定し、DMARCレポート（rua/rufタグ）の受信を開始します。</li><li> 毎週レポートを参照しながら認証の整合性（アライメント（※6））を確認し、問題がなければ`p=quarantine`（隔離）から`p=reject`（完全遮断）へ段階的に移行します。</li></ul> （※5）MXレコード 「そのドメイン宛のメールを、どのメールサーバーに配送するか」を指定するための設定（DNSレコード）です。 私たちが手紙を送るときに住所が必要なように、インターネット上でメールを送る際にも「配送先」を知る必要があります。MXレコードはその「住所録」の役割を果たします。 （※6）アライメント メールの表示上の差出人（Header From）と、SPF/DKIMで認証されたドメインが一致していること。SPFとDKIMの両方がアライメント不一致（または認証失敗）となった場合、DMARCは「失敗」と判定されます。<table><tbody><tr><td colspan="1" rowspan="1">ポリシー（p=）</td><td colspan="1" rowspan="1">なりすまし遮断効果</td><td colspan="1" rowspan="1">推奨用途</td></tr><tr><td colspan="1" rowspan="1">none</td><td colspan="1" rowspan="1">なし（監視のみ）</td><td colspan="1" rowspan="1">初期の送信環境把握フェーズ</td></tr><tr><td colspan="1" rowspan="1">quarantine</td><td colspan="1" rowspan="1">部分的（迷惑メール振り分け）</td><td colspan="1" rowspan="1">none→rejectへの移行中</td></tr><tr><td colspan="1" rowspan="1">reject</td><td colspan="1" rowspan="1">完全遮断</td><td colspan="1" rowspan="1">目標とすべき最終設定</td></tr></tbody></table>注意点：`p=reject`へ移行する前に、すべての正規送信源がSPF/DKIMのアライメントを満たしていることを確認してください。確認を怠ると正規メールが遮断される恐れがあります。貴社のDMARCポリシーの状況は「<a href="https://brandsecurity.gmo/security/#main">GMOなりすましZERO</a>」から診断できます。② アクティブ非メールドメインへの即時SPF/DMARC強化 Aレコード（※7）は存在するがMXレコードがない（Webサイトとして使用しているがメールは送信していない）ドメインも、放置すれば即座になりすましに悪用される可能性があります。<ul><li>SPF: v=spf1 -all（拒否設定）を設定します。</li><li>DMARC: p=rejectを設定します。</li><li>メールを送受信していないドメインへのレポート受信先（rua（※8））の設定は必須ではありませんが、監視目的で設定しておくことが望ましいです。</li></ul>「使っていないから大丈夫」という認識がこのカテゴリの最大のリスクです。アクティブドメインの対策と並行して進める価値があります。（※7）Aレコード（エーレコード） ドメイン名を数値で表されたIPアドレスに変換し、通信の宛先を指定する設定。WEBサイトの表示やメール送受信の際に、どのサーバーへ接続すべきかを指し示すインターネット上の「住所録」のような役割を果たします。全てのドメイン運用の基本であり、SPFなどの認証技術が正しく機能するための土台としても不可欠な要素です。（※8）rua（DMARC集計レポート） 自社ドメインを名乗るメールの「認証結果」や「送信元IPアドレス」をまとめたレポートの送信先を指定する設定です。これにより、世界中でのなりすまし発生状況や、自社システムの認証成功率を可視化できます。<h3 id="hf4cdd7c5f3">PRIORITY 2 — 3ヶ月以内</h3>休眠ドメインの一括対応と、ドメインポートフォリオ全体の棚卸しを3ヶ月以内に完了させます。 ③ 非アクティブドメインの一括SPF/DMARC強化 AレコードとMXレコードも存在しない休眠ドメインへの対応です。今回の調査で国内ブランドの休眠ドメイン適切率が1.3%にとどまっていたように、このカテゴリは最も手薄になりやすい箇所です。<ul><li>自社が保有する全ドメインをTLD別（主要gTLD・新gTLD・主要ccTLD含む）に棚卸しします。</li><li>全休眠ドメインに`v=spf1 -all`と`p=reject`を設定します。</li><li>設定後は定期的なDNS確認により、設定が維持されているかを確認します。グローバル最高水準のAmazon（適切率96.4%）は、アクティブ・非アクティブを問わず全ドメインに`v=spf1 -all`と`p=reject`を徹底する「ゼロトレランス管理」を実践しています。これが目指すべき水準です。</li></ul> ④ ドメインポートフォリオの棚卸しと防衛取得 自社が保有していない「自社ブランド名+TLD」の組み合わせは、第三者に取得されてなりすましに使われるリスクがあります。<ul><li>主要gTLD・新gTLD・主要ccTLDを対象に、自社ブランド名の組み合わせで未取得のドメインを洗い出します。</li><li>悪用リスクの高い順（知名度・類似性）に防衛取得を検討します。取得後は即座に`v=spf1 -all`と`p=reject`を設定します。 </li></ul><h3 id="h862a6a3ea0"> PRIORITY 3 — 継続対応</h3>全ドメインの設定状況を定期的に監視し、グローバル水準との比較を継続します。 ⑤ 定期的なDNSモニタリング体制の確立 DMARCは設定して終わりではなく、継続的な監視が不可欠です。 設定の陳腐化・送信源の変更・不正利用のいずれも、モニタリングなしには発見できません。<ul><li>DMARCの集約レポート（rua）と障害レポート（ruf（※9））を定期的に確認できる体制を整えます。</li><li>不正なドメイン利用が検知された場合に担当者へ自動通知が届くアラートフローを構築します。</li><li>SPFレコードの送信元IPも定期的に見直し、不要な送信源が残存していないか確認します。 複数ドメインのレポートを一元管理できるDMARC管理ツールの活用も有効です。</li></ul>（※9）ruf（DMARC失敗レポート） 認証に失敗した個別のメールごとに発行される詳細レポートです。失敗したメールのヘッダー情報や送信元など、具体的な内容を確認できるため、なりすましの詳細調査や設定ミスの原因究明に役立ちます。 ⑥ グローバルベンチマークとの継続比較 自社の対策水準を客観的に評価し続けることが、継続的な改善につながります。<ul><li>Amazon（96.4%）やGoogle（89.7%）が高い割合で実現している v=spf1 -all（SPF）および p=reject（DMARC）の適用水準をベンチマークとして設定し、これらグローバル企業の導入水準と自社の現状を半年ごとに比較し、対策の進捗を管理します。</li></ul>最終目標：アクティブドメインの適切率96%以上（Amazonの現在水準）を長期目標として設定し、BIMI/VMCの導入でブランドの信頼を受信トレイ上で可視化します。 <h2 id="h77b91357f0">まとめ：メールセキュリティはブランドを守る「経営責任」</h2>なりすましメールによるフィッシング被害は、消費者・取引先への直接的な金銭的・情報的損害にとどまらず、長年築いたブランドへの信頼を根底から覆しかねない経営リスクです。メールセキュリティはIT部門の技術課題ではなく、ブランドを守るための経営責任として位置づけ直す必要があります。対応の優先順位は明確です。まずメール利用ドメインと非メールアクティブドメインへの即時対応、次いで休眠ドメインの一括強化とポートフォリオ整理、そして継続的なモニタリングとグローバル水準との比較です。今日できることは、自社が保有する全ドメインのSPF/DMARC設定状況を確認することです。出典：GMOブランドセキュリティ株式会社「<a href="https://brandsecurity.gmo/news/post/post-20260406/">主要ブランドにおけるメールセキュリティの実態</a>」（2026年4月7日公開）<figure><a href="https://www2.brandsecurity.gmo/l/959492/2024-01-16/67715i"><img src="https://images.microcms-assets.io/assets/02c7210b9bb240dc8661903b58275e93/baf961fe02e94fc4b71f02ce05c33963/btn_toiawase.png" alt="お問い合わせこちら" width="292" height="58"></a></figure>

自社のドメイン、すべて守れていますか？国内Top50ブランドのSPF/DMARC適切率はわずか4.8%。即時対応から継続監視まで、優先度別6つのアクションで対策ロードマップを解説します。

【デジタルリスク対策】SNSなりすまし詐欺の最新手口と企業が取るべき対策

目次