こんにちは！セキュリティの世界へようこそ。
日々の業務でたくさんのメールを受信していると、「あれ、このメール、なんだか怪しいぞ…？」とドキッとした経験はありませんか？
サイバー攻撃者は、私たちの油断や「ちょっとした勘違い」を巧みに突いて、あの手この手で会社のシステムや個人のアカウントを乗取ろうと狙ってきます。その中でも一番ポピュラーで、かつ今でも猛威を振るっているのが「フィッシングメール」です。
今回は、SOC（セキュリティ・オペレーション・センター）の現場で日々解析されている「メールゲートウェイのログ」を読み解きながら、目に見えない攻撃をどうやって見つけ出すのか、そしてメールの裏側にある「身元証明の仕組み」について、身近な例えを交えながら優しく紐解いていきたいと思います。一歩ずつ、一緒に学んでいきましょう！
—
1. 玄関の鍵と「差出人偽装」のメカニズム
いきなりですが、自宅の玄関を思い浮かべてみてください。
頑丈な鍵をかけていれば、見知らぬ泥棒が勝手に家に入ってくることはありませんよね。でも、もし「郵便配達員」を装った怪しい人物がインターホン越しに「お届け物でーす」と言ったらどうでしょう？ あなたが「どうぞ」と鍵を開けてしまったら、泥棒はまんまと家の中に侵入できてしまいます。
これとまったく同じことが、企業のメールボックスで起きています。
インターネットの世界では、メールの「差出人（Fromアドレス）」は、実は誰でも簡単に書き換えることができてしまいます。例えば、実在する取引先や社内の上司の名前を騙って、「至急、こちらのパスワードを変更してください」という偽メールを送ることは、技術的にはそれほど難しくありません。
これが、私たちがメールのセキュリティに頭を悩ませる最大の理由です。玄関の鍵（パスワードやファイアウォール）だけでは、「来客の顔（差出人）が本物かどうか」までは見破れないのです。
—
2. メールの「身分証明書」をチェックする3つの仕組み
では、私たちはどうやって偽物のメールを見破ればいいのでしょうか？
そこで登場するのが、メールの裏側にこっそり仕込まれている「身分証明書」です。メールゲートウェイ（メールの関所）は、受信したメールが本物かどうかを、次の3つのチェックポイントで厳しく審査しています。
① SPF（Sender Policy Framework）
- 例え話： 「我が家の名簿リスト」です。
- 仕組み： 送信元のドメイン（例:
example.com）の所有者が、「うちの会社からメールを送っていいのは、このサーバー（IPアドレス）だけです」というリストをあらかじめインターネット上に公開しておきます。受信側のメールサーバーは、「このメールを送ってきたサーバーは、あのリストに載っているかな？」と確認し、載っていなければ「怪しい！」と判定します。
② DKIM（DomainKeys Identified Mail）
- 例え話： メールの封筒に押された「信頼できる会社の社判（電子署名）」です。
- 仕組み： 送信元がメールに暗号のスタンプ（署名）を押して送ります。受信側は、そのスタンプが本物かどうかを検証します。もし途中で誰かがメールの内容を書き換えたり、偽物のスタンプだったりすると、検証に失敗します。
③ DMARC（Domain-based Message Authentication, Reporting, and Conformance）
- 例え話： 「もし身元確認（SPFやDKIM）に失敗したらどうするか？」という警備員への指示書です。
- 仕組み： SPFやDKIMのチェック結果をもとに、「このメール、偽物っぽいから受け取り拒否して（あるいは迷惑メールフォルダに入れて）」と、受信側に明確なアクションを指示する仕組みです。
—
3. SOCの現場で見抜く！メールゲートウェイログの読み方
ここからが本題です。私たちSOCアナリストは、攻撃者が送りつけてきたフィッシングメールを、メールゲートウェイが出力する「ログ（記録）」から暴き出します。
ある日、社内の従業員から「怪しいメールが届いた」と報告を受け、SOCで次のようなゲートウェイログを発見したと仮定しましょう。
{
"timestamp": "202X-10-04T14:22:10Z",
"sender_from": "support@bank-co-jp.example",
"envelope_sender": "bounces@malicious-domain.xyz",
"client_ip": "198.51.100.45",
"auth_results": {
"spf": "fail",
"dkim": "none",
"dmarc": "fail"
},
"attachments": [
{
"filename": "invoice_update.pdf.exe",
"sha256": "e3b0c44298fc1c149afbf4c8996fb92427ae41e4649b934ca495991b7852b855"
}
],
"action_taken": "quarantined"
}このログを、アナリストの視点で優しく分解してみましょう。
1. sender_from と envelope_sender の不一致
- 画面上に表示される差出人は
support@bank-co-jp.example（銀行を装っている）ですが、実際の差出人（封筒の裏に書かれた住所）はbounces@malicious-domain.xyzと全く関係のないドメインになっています。これだけでもう怪しさ満点です。
2. 認証の全滅 (spf: fail, dkim: none, dmarc: fail)
- 先ほど紹介した「身分証明書」のチェックがすべて失敗または未設定です。つまり、このメールは「身元不明の怪しい人物」が送ってきたものだと、システムがしっかり見抜いています。
3. 怪しい添付ファイル (invoice_update.pdf.exe)
- 請求書（
pdf）に見せかけて、実は実行ファイル（.exe）という、マルウェア（ウイルス）の定石とも言える手口です。人間はパッと見で「PDFなんだな」と油断してクリックしてしまいがちですが、ログは冷徹に本当の姿を暴いています。
幸い、このケースでは action_taken: quarantined とある通り、ゲートウェイが自動的に「隔離（検疫）」してくれていました。ナイス判断ですね！
—
4. 実務で使える！ログ監視のための設定・クエリ例
もし皆さんが自社のインフラやSIEM（ログ分析基盤）を構築・運用する立場であれば、こうした不正なメールの兆候をいかに素早くキャッチアップするかが腕の見せ所です。
例えば、Elasticsearch（Kibana）などのログ分析基盤で、「DMARCに失敗し、かつ怪しい添付ファイルを持っているメール」をリアルタイムに検知するための検索クエリ（イメージ）は、このように書くことができます。
# DMARC認証が失敗（fail）しており、かつ添付ファイル名に実行形式の拡張子が含まれるログを抽出
email.auth.dmarc : "fail" AND (email.attachment.filename : "*.exe" OR email.attachment.filename : "*.scr" OR email.attachment.filename : "*.zip")このクエリをアラート（通知）に設定しておけば、万が一ゲートウェイの自動防御をすり抜けた怪しいメールがあったとしても、SOCチームが即座に気づいて対応することが可能です。インフラ担当者の皆さんは、ぜひ日々のログ監視ルールに組み込んでみてくださいね。
—
5. おわりに：一歩ずつの対策が会社を守る
フィッシングメールの攻撃手口は、日を追うごとに巧妙になっています。本物そっくりのログイン画面、もっともらしい文面、そして巧妙に隠された不正なプログラム。
しかし、今回見てきたように、
- メールの裏側にある身分証明書（SPF / DKIM / DMARC）の仕組みを知る
- メールゲートウェイのログを正しく読み解き、違和感に気づく
- 怪しい兆候を検知できる仕組み（ログ監視）を整えておく
これらを一つずつ丁寧に実践していくことで、サイバー攻撃者の侵入確率をぐっと下げることができます。
「難しそう…」と身構えてしまうセキュリティの技術も、身近な防犯に置き換えてみると、やるべきことがクリアに見えてきますよね。
今日の学びが、皆さんの日々の運用やセキュリティ意識向上の一助となればとても嬉しいです。それでは、また次回のセキュリティ解説でお会いしましょう！
コメント