p=reject時の社内通知・社外通知について
著者: 竹洞 陽一郎
DMARCポリシーをp=rejectへ引き上げるための技術的な手順(送信元の洗い出し、SPF/DKIMアライメントの整理、予算取得、ポリシーの引き上げ)については、別記事「DMARCでp=rejectにするためのプロセス」で解説しています。
本記事では、そのプロセスと並行して必要になる、社内通知・プレスリリース・Webサイト掲載の文章例に絞って紹介します。
1. なぜ通知が必要なのか
p=rejectを適用すると、SPFアライメントとDKIMアライメントのいずれも成立しない送信元からのメールは、受信側で拒否される場合があります。
拒否の仕組みや、受信側がポリシーを上書きするケースについては、「DMARCでp=rejectにするためのプロセス」の該当章で解説しています。
未申請の送信元がある状態で周知なしに適用すると、業務メールが届かなくなった部門から問い合わせが集中し、対応窓口が混乱します。
そのため、適用前に総務部・広報部・マーケティング部などと連携し、全社向けに方針を周知しておくことが重要です。
また、対外的な取引先・顧客に対しても、なりすましメール対策の一環として発表することで、サプライチェーン攻撃への対応姿勢を示すことができます。
2. 社内通知メールの文章例
p=reject適用前に全社向けへ送付する通知メールの文章例です。
総務部・情報システム部などの名義で送付することを想定しています。
送付先、適用予定日、申請先メールアドレスは自社の状況に合わせて変更して下さい。
末尾の署名欄には、送付元の会社・担当者の署名を入れて下さい。
件名：【重要】メールセキュリティ強化に伴う対応のお願い（DMARC p=reject適用予定） 各部門ご担当者様 情報システム部よりご連絡します。 当社では、なりすましメール対策を強化するため、メール認証規格「DMARC」のポリシーを「p=reject（拒否）」に変更します。 ■ 適用予定日 20XX年XX月XX日（X） ■ 影響について 適用後は、当社ドメイン（example.co.jp）を送信元とするメールのうち、SPFアライメントとDKIMアライメントのいずれも成立していない送信元からのメールは、受信者側のメールサーバーで拒否される可能性があります。 ■ 対応が必要な方 以下に該当する場合は、XX月XX日（X）までに情報システム部へご申請ください。 ・外部のメール配信サービス（MA、CRM、SaaSなど）を利用してメールを送信している ・外部の制作会社やシステムインテグレーターが当社ドメインでメールを送信している ・クラウドサービス（Amazon SES、SendGrid 等）を利用してメールを送信している 申請先：it-helpdesk@example.co.jp 申請内容：部署名、担当者名、利用サービス名、送信元IPアドレスまたはドメイン ■ 申請がない場合 申請のない送信元は、適用後にメールが届かなくなる場合があります。 その際は速やかに情報システム部へお問い合わせください。 ご不明点は以下までご連絡ください。 情報システム部 担当：〇〇 内線：XXXX / メール：it-helpdesk@example.co.jp （以下、送信者の署名欄。記載内容は次章「3. メール署名への追記」を参照）
3. メール署名への追記
社内通知メールの署名欄には、通常の業務メールと同じ署名を使うだけでなく、送信元の正当性を受信者が確認できる情報を含めておくことを推奨します。
特に、なりすまし対策の一環としてp=rejectを案内するメールであるため、署名自体が「本当に情報システム部からの案内か」を判断する材料になります。
以下は、弊社（株式会社Spelldata）のメール署名の例です。
自社の会社名・所属サービス・連絡先に置き換えて使用して下さい。
-- 竹洞 陽一郎 / Yoichiro Takehora 株式会社Spelldata 【セキュリティポリシー】 ・弊社はDMARCでp=rejectを設定しています。弊社からのメールを転送する場合には、御社側でDKIMとARCの設定が必要です。
署名に【セキュリティポリシー】のような項目を設け、TLS対応や、DMARC p=rejectを設定している事実、転送時にDKIM/ARC設定が必要である旨を明記しておくと、受信者が正規メールかどうかを判断する際の追加の手がかりになるとともに、メーリングリストなど転送を伴う経路の相手先に対して必要な対応を促すことができます。
自社の運用実態（MTA-STSの導入状況、DMARCポリシーの現状など）と一致する内容を記載して下さい。
4. プレスリリースの文章例
p=rejectの適用をプレスリリースで対外発表する際の文章例です。
自社を踏み台にしたサプライチェーン攻撃を防ぐという、取引先・顧客への責任を前面に出した構成にしています。
20XX年XX月XX日 株式会社〇〇〇〇 ────────────────────────────────────── なりすましメール対策の強化について（DMARC p=reject適用のお知らせ） ────────────────────────────────────── 株式会社〇〇〇〇（本社：東京都〇〇区、代表取締役：〇〇 〇〇）は、当社ドメインを悪用したなりすましメールによる被害を防止するため、メール認証規格「DMARC」のポリシーを「p=reject（拒否）」に設定しました。 ■ 実施内容 当社の送信ドメイン（example.co.jp）に対し、DMARCポリシーをp=rejectに設定しました。 これにより、当社ドメインを送信元として偽装したメール（なりすましメール）は、受信者側のメールサーバーで自動的に拒否されます。 ■ 実施日 20XX年XX月XX日 ■ 本対応の背景と目的 昨今、特定企業のドメインを悪用したフィッシングメールやビジネスメール詐欺（BEC）が増加しています。 攻撃者は取引先や顧客が信頼する企業のドメインを偽装することで、受信者を欺きマルウェア感染や不正送金、情報漏洩を引き起こします。 こうした手口は「サプライチェーン攻撃」の一形態です。 自社が攻撃の踏み台となることで、取引先・顧客の皆様に実害が及ぶリスクがあります。 当社では、自社のドメインが悪用されることによって取引先や顧客の皆様にご迷惑をおかけすることを防ぐため、SPF・DKIM・DMARCの整備を進めてきました。 今回のp=reject適用は、その最終段階にあたります。 ■ サプライチェーン全体のセキュリティ向上に向けて 当社は、自社単独のセキュリティ対策にとどまらず、取引先・パートナー企業を含むサプライチェーン全体の安全性向上に積極的に取り組んでまいります。 メールセキュリティの整備は、攻撃者にとって悪用しやすい経路を断つだけでなく、取引先の皆様が当社からのメールを安心して受け取れる環境を整えるものです。 今後も継続的なモニタリングと改善を通じて、信頼できるビジネスパートナーであり続けることをお約束します。 ■ お客様・取引先の皆様へのお願い 万が一、当社名義の不審なメールを受信した場合は、リンクのクリックや添付ファイルの開封を行わず、下記の問い合わせ窓口までご連絡いただきますようお願いします。 ■ お問い合わせ先 株式会社〇〇〇〇 セキュリティ対応窓口 メール：security@example.co.jp 電話：XX-XXXX-XXXX（平日 XX:XX〜XX:XX）
5. Webサイトへの掲載文章例
セキュリティ対策のページや「お知らせ」への掲載を想定した文章例です。
短い版と詳細版の2パターンを用意しました。
いずれもサプライチェーン攻撃への対応姿勢を含めた内容にしています。
（A）短い版：お知らせ・トピックスへの掲載
【セキュリティ強化のお知らせ】なりすましメール対策（DMARC p=reject）を適用しました 20XX年XX月XX日より、当社送信ドメインに対しDMARCポリシーをp=rejectに設定しました。 当社ドメインを送信元として偽装したメールは、受信サーバー側で自動的に拒否されます。 昨今、取引先企業のドメインを悪用して関係者を欺くサプライチェーン攻撃が増加しています。 当社では、自社が攻撃の踏み台となりお取引先や顧客の皆様にご迷惑をおかけしないよう、メールセキュリティの整備を推進しています。 不審なメールを受け取られた場合は、security@example.co.jp までご連絡ください。
（B）詳細版：セキュリティ対策ページへの掲載
■ なりすましメール対策・サプライチェーン攻撃対策（SPF / DKIM / DMARC） 昨今、攻撃者は特定企業のメールドメインを偽装し、その企業の取引先や顧客に対してフィッシングメールやビジネスメール詐欺（BEC）を仕掛ける「サプライチェーン攻撃」を行うケースが増加しています。 信頼関係のある企業を装うことで受信者の警戒心を下げ、マルウェア感染・不正送金・情報漏洩へと誘導する手口です。 当社では、自社のドメインがこうした攻撃に悪用され、お取引先や顧客の皆様に被害が及ぶことを防ぐため、メール認証の三規格（SPF・DKIM・DMARC）を整備しています。 ・SPF（Sender Policy Framework） 当社ドメインから送信を許可するメールサーバーをDNSに明示しています。 許可されていないサーバーからの送信は、認証失敗として処理されます。 ・DKIM（DomainKeys Identified Mail） 当社が送信するメールに電子署名を付与しています。 受信者は署名を検証することで、メールが当社から正規に送信されたものであり、送信途中で改竄されていないことを確認できます。 ・DMARC（Domain-based Message Authentication, Reporting & Conformance） SPFおよびDKIMの認証結果に基づき、なりすましメールの取り扱いポリシーを受信サーバーに指示します。 当社は最も強固な「p=reject」を採用しており、認証に失敗したメール（当社ドメインを偽装したメール）は受信サーバーで拒否されます。 また、DMARCレポートを継続的に監視し、不正な送信の試みを常時把握できる体制を維持しています。 これらの対策により、当社ドメインを悪用したなりすましメールがお取引先・顧客の皆様に届くことを防ぐとともに、サプライチェーン全体のセキュリティ向上に貢献することを目指しています。 不審なメールを受け取られた場合や、ご不明点がございましたら以下までお問い合わせください。 セキュリティ対応窓口：security@example.co.jp
6. まとめ
p=rejectの適用は、DNSレコードの変更だけで完了する作業ではありません。
未申請の送信元を洗い出し、アライメントを整備する技術的なプロセスは「DMARCでp=rejectにするためのプロセス」で解説していますが、それと並行して、社内・社外への丁寧な通知が欠かせません。
社内通知で業務影響への準備を促し、プレスリリースやWebサイト掲載で対外的な信頼性向上につなげることで、p=reject適用を単なる技術対応ではなく、組織としてのセキュリティ姿勢を示す機会として活用してください。