Yahoo!メールの迷惑メール対策　ヤフーの取り組みについて

なりすまし・フィッシングは、こんな手口を使って行われます

メールアドレスのFromヘッダ部分（送信者名、送信元メールアドレス）は、自由に設定することができるため、金融機関やカード会社などになりすまし、ID、パスワードなどの個人情報の盗み取りや架空請求などの不正行為が行われています。
受信したメールが本当に正しい送信者から送られたかどうかを、判断することが重要になります。

なりすましメール対策の認証技術

Yahoo!メールでは、DKIM、SPF、DMARCといった送信ドメイン認証技術を導入し、なりすましメールを判断しています。

• 「DKIM」とは

  DKIM（DomainKeys Identified Mail）とは、送信元がメールに電子署名を付与し、受信者でそれを検証することで認証を行う技術です。
  メールの改ざんがされていないかどうかを判断できます。
  技術的な内容を知りたい方は、こちらを参照してください。

  【技術情報】DKIMについて

• 「SPF」とは

  SPF（Sender Policy Framework）とは、メールの送信元からそのメールがなりすましであるかどうかを判断する技術です。
  そのドメインからのメールを送信すると宣言されているサーバーから送られているかを確認します。

• 「DMARC」とは

  DMARC（Domain-based Message Authentication, Reporting, and Conformance）とは、メール送信事業者が「なりすまされたメールの扱い（ブロック、迷惑メール判定など）を設定」することで、なりすまされたメールが届かないようにするための技術です。
  技術的な内容を知りたい方は、こちらを参照してください。

  【技術情報】DMARCについて

信頼できるかどうかはここでチェック！

Yahoo!メールではメール本文に表示されるヘッダーで、受信したメールがDKIMで認証されたかどうかを確認できます。

1. 「このメールの認証情報」が表示される場合

DKIM/SPF/DMARCのいずれかの認証結果がある場合は、「認証」の欄に認証情報ページへのリンクが表示されます。
ただし、認証されたドメイン自体の安全性を保証しているわけではありません。仮に認証が成功していても、認証情報のドメインと、「From」（差出人）の名前・メールアドレス、「件名」と「本文」の内容に矛盾がないか確認し、メールの安全性を総合的に判断してください。

【確認ポイント1】 認証情報と「From」、「件名」、「本文」の矛盾

たとえば、「From」が「●●銀行」となっているにもかかわらず、認証情報のドメインが「yahoo.co.jp」となっている場合、銀行がYahoo!メールのアカウントを取得し、そのアカウントからお客様にメールを送る可能性はかなり低いため、第三者がYahoo!メールでアカウントを取得し、銀行を装ってメールを送っている可能性があります。

※ Yahoo!メールが、銀行などの金融機関に代わってメールを送信することはありません。
ただし、差出人が、メール送信業務を第三者のメール配信代行事業者に委託している場合もあります。そのような場合、認証情報にメール配信代行事業者のドメインが表示されるため、認証情報のドメインと「From」の名前・メールアドレスに矛盾があるように見える場合があります。
ご自身で判断がつかない場合は、差出人の公式ウェブサイトやカスタマーサポート等で、該当するメールを送信しているかどうか確認しましょう。

【確認ポイント2】 紛らわしいドメイン

一見、「From」と認証情報のドメインに矛盾がないように見えても、紛らわしいドメインを取得して、他者を装ってメールを送信している場合があります。たとえば、第三者が「yahoo.co.jp」 を装うために「yohoo.co.jp」というドメインを取得してメールを送信した場合、認証情報に「yohoo.co.jp」というドメインで認証成功の表示がされます。
差出人の公式ウェブサイトやカスタマーサポート等で正式なドメインを確認し、認証情報に表示されているドメインと一致するかどうか確認しましょう。

2. なりすましの警告が表示される場合

一方、「yahoo.co.jp」などYahoo!メールが定める特定のドメインの場合のみ、DKIMで正しく認証されなかったときに、注意喚起の表示がされます。
注意喚起が表示される原因として、以下のことが考えられます。

• メール送信側がDKIMに対応していない
• 署名の認証結果が正しくない

注意喚起アイコンが表示された場合は、なりすましメールの可能性があります。
送信元ドメインのなりすまし はフィッシングメールなど悪意のあるメールでよく用いられる手法です。ご注意ください。

※ Yahoo!メールから送信されたメールを、DKIMに対応していないメールで受信した場合、Yahoo!メールから送信されたメールはDKIMで署名されていますが、受信側がDKIMに対応していない場合は認証ができないため、認証結果は表示されません。

さらに安全なオークション、ショッピングの取引をめざして

今後は、ヤフオク!やYahoo!ウォレットなどの利用時に、Yahoo! JAPANから送信されるメールに対しても送信元認証を行うことで、なりすましやフィッシング対策を強化してまいります。また、銀行やカード会社などへも送信ドメイン認証技術の導入を働きかけ、メールをもとにした、個人情報の盗用を最大限に防止するよう努めていく予定です。

注意

送信ドメイン認証は、あくまで「そのドメインから送られていること」を保証するものであり、認証結果が正しければ単純に信頼できるというわけではありません。たとえば、Yahoo!メールのアドレス（〇〇〇@yahoo.co.jp）を使って送信されたメールの場合、「yahoo.co.jpドメインから送られたこと」には間違いありませんが、そのメールの内容については保証できません。送信者が信頼できるかどうかは別の問題になることに注意してください。