メールヘッダーを安全に分析する方法

最初に答える

FromとReply-Toを確認し、次にAuthentication-Results、そしてReceivedチェーンを確認します。ヘッダーがデバイスの外に出ないよう、ローカルで行ってください。

メールヘッダーとは

すべてのメールは、メッセージの経路、送信者の主張、認証判定、メタデータを記録する一連のRFC 5322ヘッダーを運びます。調査にとって重要なフィールドは次のとおりです。

1. ヘッダーの取得方法

各プロバイダーは生ヘッダーを公開しています：Gmailの「原文を表示」、Outlookの「プロパティ」、Apple Mailの「表示 → 生のソース」。ヘッダーブロック全体をコピーしてください。

2. FromとReply-Toの比較

Reply-ToがFromと異なる場所を指していれば、返信は別の方向へ向かいます — 典型的なフィッシングの手口です。またFromとReturn-Pathを比較します。エンベロープ送信者の不一致は、SPF失敗が起きる寸前の状態です。

3. 認証結果の確認

Authentication-Resultsでspf=、dkim=、dmarc=の結果を読みます。失敗（spf=fail、dkim=fail、dmarc=fail）はなりすましメールの強いシグナルです。Passはドメインが認証されたという意味にすぎず、侵害されたドメインや攻撃者が登録したドメインもパスし得ます。

4. Receivedチェーンの確認

ホップ数を数え、順序を確認します。各Received行は送信者からあなたのサーバーへのもっともらしい中継順を示すはずです。チェーンの欠落や圧縮は、切り詰められた、または手作りされたメッセージを示すことがよくあります。主張された送信者のインフラと一致しない中継を探してください。

5. 不審なコンテンツを追跡する

メールヘッダーは次にどこを見るべきかを指し示すものであり、完全な答えではありません。

• 本文からドメインとURLを抽出する → URLアナライザーと悪性URL分析プレイブック
• 送信者のドメインとIPを取り出す → IOCルックアップとDNSルックアップ
• 主張されたドメインのSPF/DMARC設定を検証する → DNSレコードの分析

6. プライバシーを保つ

ローカルのみのツールでヘッダーを分析してください。未知のオンラインサービスに完全なヘッダーを貼り付けないでください。

不審な指標チェックリスト

• Reply-ToまたはReturn-PathのドメインがFromと無関係
• dmarc=failまたはspf=failで、それを補うDKIM整合性がない
• Message-IDのドメインが主張された送信者と矛盾
• もっともらしくないホップやタイムスタンプを持つReceivedチェーン
• 認証判定が欠落している（DMARCを公開していない受信者）

役立つツール

• メールヘッダーアナライザー — ローカル、アップロードなし。
• DNSルックアップ — ドメインのSPF/DMARC設定を検証。
• URLアナライザー — 埋め込まれたURLを安全に検査。
• IOCルックアップ — 抽出した送信者/IP指標を確認。

調査パス

不審なメール
   ↓
生ヘッダー
   ↓
From vs Reply-To / Return-Path
   ↓
SPF · DKIM · DMARC判定
   ↓
Receivedチェーン
   ↓
ドメイン · URL · IPの抽出
   ↓
URLアナライザー · DNSルックアップ · IOCルックアップ
   ↓
フィッシング防御チェックリスト