【Outlook】なりすましメール：実際の送信元メールアドレスを確認する方法

なりすましメールとは

なりすましメールとは企業や社内のスタッフを装って送られる悪意のある迷惑メールです。

なりすましメールの目的としては、メール受信者から情報を盗む、悪意あるサイトへ誘導する、または偽の情報を与えるために使われます。

例えば楽天会員へのメールと偽ったなりすましメールでは、リンクから偽の楽天サイトへ誘導して、ログインするために必要な情報（IDやパスワード）を盗み出します。

なりすましメールは送信元のメールアドレスを偽装して、まるで企業または本人がメールを送信しているように装います。送信元メールアドレスを偽装されると、なりすましメールかどうか判断するのは難しいです。

なりすましメールの仕組み

なりすましメールは送信元メールアドレスを偽装して、あたかも本人がメールを送っているように装います。ではどうやって送信元メールアドレスを偽装しているのでしょうか。

実はメールには２つの送信者情報（Envelope FromとHeader From）があります。それぞれ以下に記す性質を持っています。

Outlookなどのメールソフトではメールの送信者情報としてHeader Fromを表示しています。

Header Fromは情報が正しくなくてもメールが送れる、つまり送信者が好きなメールアドレスを記述して送ることができるのです。この仕組みを悪用してなりすましメールでは別の人に装ってメールを送っているということです。

より詳しくなりすましメールの仕組みや対策を知りたい方は以下記事をご参照ください。

【メールなりすまし】偽装された送信元（差出人）メールアドレス：仕組みと対策

Webサービスを利用する

現在ではメールのヘッダー情報から送信元の情報を解析してくれる無料のWebサービスがいくつかあります。

コピーしたヘッダー情報をコピペするだけなので非常に簡単です。Webサービスの一つにGoogleが提供している「Google Admin Toolbox Messageheader」があります。以下でこのツールの使用方法を説明します。

1. ツールにアクセスするとヘッダーを張り付ける箇所がありますので、ヘッダーを張り付け「上記のヘッダーを分析」を押します

2. 解析結果が表示されます

上記の操作で表示された結果から「Messageld」を確認してください。MessageIdに記載されているメールアドレスが送信元のメールアドレスである可能性が高いです。

ヘッダー内のReturn-Pathを確認する

送信者のメールアドレスが記載されているEnvelope Fromは宛先メールサーバーに到着した時点で破棄されます。その代わりにEnvelope Fromの情報は「Return-Path」に記載されます。

メールの送信に問題が発生した場合はそのエラー通知をReturn-Pathのメールアドレスに送信します。

「Return-Path=Envelope From」となるため、ヘッダー内のReturn-Pathで始まる行に記載があるメールアドレスがほとんどの場合で送信元メールアドレスです。

ヘッダー内のReceivedを確認する

ヘッダー内には「Received」で始まる行が複数あり、これらReceivedはメールが送信元から送信先に届くまでのサーバーの経路を記しています。Receivedで始まる行は経由したサーバーの数だけあります。

複数あるReceivedのうち、一番下の「Received」が送信元であり、一番上が宛先になります。そのため注意してみるべきは一番下のReceivedです。

Receivedの行は大抵の場合、以下のような構成で記載されています。

ここから送信元サーバーがわかります。サーバー名にはプロバイダーや会社名が記載されている場合があります。

もしくはxxx.xxx.xxx.xxxに記載されているIPアドレスからプロバイダー情報やサーバーの国名を得ることができます。海外のサーバーを介している場合はなりすましメールである可能性が高いです。プロバイダー情報や国名などは以下サイトから確認できます。

WHOIS Gateway

ドメイン名・IPアドレス検索 (ANSI Whois)