スパム・フィッシングとは？メールで人をだます手口と見分け方
2026-10-28 更新約6分で読めます
最終確認: 2026-10-28
30秒で復習
- スパム＝勝手に大量に送られてくる迷惑メール。 フィッシング＝本物を装って、パスワード・カード番号・お金をだまし取る手口。
- 狙いを絞ったものほど危ない：ばらまき型 ＜ 標的型（スピアフィッシング） ＜ BEC（ビジネスメール詐欺）。BEC はマルウェアを使わず「振込先が変わりました」で送金させる。
- メールの差出人は簡単に偽れる。見た目の差出人ではなく、SPF・DKIM・DMARC で「本当にそのドメインから来たか」を確かめる。
- メール以外も増えている：SMS（スミッシング）・電話（ヴィッシング）・QR コード（クイッシング）・偽の検索広告。
- 見分けるポイントは「急がせる・お金や認証を求める・いつもと違う」。リンクは押さずに、自分でいつもの入口から開く。
- 覚え方：「急がせる連絡は、別の道で確かめる」
こんな場面で出会う
- 「アカウントがロックされました」「お荷物をお届けできませんでした」という SMS やメール
- 取引先の名前で「振込先の口座が変わりました」というメールが来る
- Microsoft 365 のサインイン画面にそっくりなページが開く
用語の正式名称と読み方
| 用語 |
読み方・正式名称 |
意味 |
| スパム |
spam |
受け手が望まない、大量に送られる迷惑メール |
| フィッシング |
phishing |
本物を装ってパスワードやお金をだまし取る手口 |
| スピアフィッシング |
spear phishing |
特定の会社・人を調べてから狙う、標的型のフィッシング |
| BEC |
Business Email Compromise |
取引先や社長を装って、送金させるメール詐欺 |
| スミッシング |
smishing（SMS ＋ phishing） |
SMS を使ったフィッシング |
| SPF |
Sender Policy Framework |
そのドメインのメールを送ってよいサーバーを、DNS で公開する仕組み |
| DKIM |
DomainKeys Identified Mail |
メールに電子署名を付けて、途中で改ざんされていないことを示す仕組み |
| DMARC |
ディーマーク |
SPF・DKIM に失敗したメールをどう扱うか（隔離・拒否）を、送る側が宣言する仕組み |
| 表示名 |
— |
メールの差出人として見える名前。自由に書けるので信用できない |
質問：スパム・フィッシング・BEC は何が違う？
答え： 狙いの絞り方と、ほしいものが違う。絞るほど、だましの精度が上がって見抜きにくい。
| 種類 |
狙う相手 |
ほしいもの |
見抜きやすさ |
| スパム |
誰でも |
宣伝・詐欺サイトへの誘導・マルウェア |
○ 見抜きやすい |
| ばらまき型フィッシング |
誰でも（有名サービスの利用者） |
ID・パスワード・カード番号 |
○〜△ |
| スピアフィッシング |
特定の会社・部署・人 |
社内への入口（パスワード・マルウェア） |
△ 名前や業務の話が出てくる |
| BEC |
経理・役員 |
お金（振込） |
✕ マルウェアもリンクもないことが多い |
質問：差出人を偽るのは簡単？ どう見分ける？
答え： 見た目の差出人は簡単に偽れる（封筒の裏に好きな住所を書けるのと同じ）。だから受け取る側のサーバーが、SPF・DKIM・DMARC で「本当にそのドメインから来たか」を確かめる。
| 仕組み |
確かめること |
たとえ |
| SPF |
送ってきたサーバーが、そのドメインの「送ってよいサーバー」の一覧にあるか |
「この会社の郵便は、この郵便局からしか出しません」という届け出 |
| DKIM |
メールの署名が正しいか（改ざんされていないか） |
封筒の割り印（電子署名） |
| DMARC |
見た目の差出人のドメインと、SPF・DKIM の結果が一致するか。失敗したらどうするか |
「届け出と違う郵便は捨ててください」という指示 |
- 自社のドメインに DMARC を設定すると、自社を装ったメールが取引先に届きにくくなる。
- ただし、よく似た別のドメイン（
examp1e.com など）や、本物の乗っ取られたアカウントからのメールは、これでは防げない。
質問：どうやって見分ける？
答え： 文面の日本語の不自然さは、もう当てにならない（AI で自然な文が作れる）。「何を求めているか」で判断する。
| 危ないサイン |
例 |
| 急がせる・不安にさせる |
「24時間以内に」「アカウントが停止されます」 |
| お金・認証情報を求める |
振込、ギフトカード、パスワード、MFA のコード |
| いつもと違う |
振込先の変更、普段と違う連絡手段、社長からの直接の依頼 |
| リンク先のドメインが違う |
microsoft-login.example.net など。押す前に長押し・マウスを乗せて確かめる |
- 迷ったら、メールのリンクは使わず、ブックマークや公式アプリなどいつもの入口から開く。
- 振込先の変更などは、登録済みの電話番号に電話して確かめる（メールに書かれた番号には電話しない）。
質問：会社としてどう守る？
| 守り |
防げるもの |
自社ドメインに SPF・DKIM・DMARC（最後は p=reject） |
自社を装ったメール |
| 外部から来たメールに「外部」の印を付ける |
社内の人や社長を装ったメール |
| フィッシング耐性のある MFA（パスキー） |
偽のサインイン画面からの乗っ取り（→MFA） |
| 支払い・振込先の変更は別の手段で確認する決まり |
BEC |
| 「報告ボタン」と、報告した人を責めない文化 |
気づいた人から、全社の被害を止める |
| 訓練メール（ただし、引っかかった人を責めるためでなく、報告の練習に） |
慣れ・油断 |
具体例
| 場面 |
どうする |
| 「荷物をお届けできませんでした」SMS |
リンクを押さない。配送会社の公式アプリ・サイトで確かめる |
| 取引先から「振込先が変わりました」 |
取引先の登録済みの電話番号に確認。急かされても止める |
| 社長の名前で「至急ギフトカードを買って」 |
典型的な詐欺。本人に別の手段で確認 |
| うっかりパスワードを入れてしまった |
すぐ変える・報告。MFA の設定とサインイン履歴を確認 |
関連メモ
確認したいこと
- 自社のドメインに SPF・DKIM・DMARC は設定されているか。DMARC は
p=none のままになっていないか
- 外部から来たメールに印は付いているか
- 振込先の変更を確認する手順は、経理で決まっているか
- 怪しいメールの報告先・報告ボタンはあるか
参考資料