フィッシング防御チェックリスト — メールを信頼する前に検証
誰かがクリックする前に不審なメールをトリアージする実行可能なステップバイステップのチェックリスト：送信者の身元、ヘッダーと認証シグナル（SPF/DKIM/DMARC）の確認、ドメインとURLの安全な検査、指標の抽出、ブロック・隔離・報告・エスカレーションの判断 — ローカルで行うツール付き。
クイックアンサー
フィッシングを防御するには、コンテンツを信頼する前に送信者を検証します：FromとReply-Toを比較し、SPF/DKIM/DMARCの認証結果を確認し、URLをホバーで検査し（クリックしない）、疑わしい場合は転送やクリックではなくメッセージを報告して送信者をブロックします。
定義
フィッシング防御とは、不審なメールの検証優先のトリアージ — 送信者の身元、ヘッダー認証、ドメインとURLの検査、指標の抽出、封じ込め — であり、受信者がクリックや返信をする前に実行されます。
目的
不審なメールがフィッシング試行かどうかを数分で判断し、誰かがクリック、返信、認証情報の共有をする前に封じ込めます。成果は判定＋封じ込めアクションであり、単なるラベルではありません。
いつ使うか
メールに次のいずれかがあるときにこのチェックリストを実行します：想定外の送信者、緊急性や恐怖をあおる文言、クリックや認証情報入力の要求、想定していなかった添付ファイル、正当なものに近いドメイン。リンクを含むメッセージに行動する前の予防的な適用もします。
前提条件
- 生のメッセージへのアクセス（EMLまたは「原文を表示」エクスポート）。
- ローカルのみのツール — 完全なヘッダーや本文を未知のオンラインサービスに貼り付けてはいけない。
- チケットまたは報告チャネル（SOCメールボックス、悪用メールボックス、セキュリティチームのチャット）。
ステップごとのチェック
1. 送信者の身元
- Fromの表示名がメールアドレスと一致するか？（表示名は自由テキストで嘘をつける。）
- Reply-ToがFromのドメインと一致するか？乖離したReply-Toは返信を攻撃者にリダイレクトする。
- Return-Path / エンベロープ送信者がFromヘッダーと異なるか？不一致はなりすましのシグナル。
- 既知の別チャネルで送信者に連絡して検証したか？同じスレッド内で検証してはいけない。
2. ヘッダーと認証シグナル
- SPF（
spf=pass/fail）— 送信サーバーはドメインポリシーを通過したか？ - DKIM（
dkim=pass/fail）— メッセージは主張されたドメインによって署名されたか？ - DMARC（
dmarc=pass/fail）— 整合性は成立したか、ドメインはどのポリシーを公開しているか？ - 1つ以上の失敗 = 強いなりすましシグナル。Passはメッセージが安全であることを意味しない — 攻撃者は侵害されたドメインや類似ドメインを使用する。
- Receivedチェーンを確認：経路は理にかなっているか？「重要な」メッセージでのギャップや単一ホップは不審。
3. ドメイン検査
- 表示されたドメインを実際のhrefターゲットと照合する（ホバー、クリックしない）。
- タイポスクワッティングを探す：
rnicrosoft、paypa1、余分なサブドメイン、異なるTLDのドメイン。 - DNSでドメインを調べる — SPF/DMARCは公開されているか？ブランドを偽装するドメインでこれらがないのはリスクシグナル。
- ドメインのレピュテーションを確認 — 新規登録か、スパム/フィッシング履歴と関連か？
4. URL検査
- すべてのリンクを抽出し、ローカルアナライザーでURL構造（プロトコル、ホスト、パス、クエリ）を分析する。
- URLが難読化されている場合、メッセージを却下する：埋め込まれた認証情報、ホスト内の
@、生のIPホスト、不審なフラグメント。 - 管理資産上でURLを直接開かない。開くとしても、隔離されたまたはサンドボックス環境で。
5. 添付ファイルと指標
- 想定外の添付ファイルは検査まで敵対的として扱う。ファイルハッシュを確認する。
- 指標（送信者アドレス、ドメイン、URL、ハッシュ）を構造化リストに抽出する。
- 各指標をレピュテーション/IOCルックアップで相互確認し、各結果のソースを記録する。
リスクを示すもの
- From/Reply-To/Return-Pathの乖離、SPF/DKIM/DMARCの失敗、最近のドメインまたは低レピュテーションの送信者、難読化されたURLパターン、緊急の認証情報要求、既知の悪性サンプルと一致するハッシュ。
正常な状態
- From/Reply-To/Return-Pathの整合性、認証の通過、一貫したReceivedチェーン、想定されるサービスのアドレスバーで見るものと一致するドメイン。
ツール
- メールヘッダーアナライザー — ヘッダーをローカルで検査、アップロードなし。
- URLアナライザー — フェッチせずにURL構造を解析。
- URLレピュテーション — クリック前にインテリジェンスに対してリンクを確認。
- DNSルックアップ — SPF/DMARCとドメインレコードを検証。
- IOCルックアップ — 抽出した指標を既知のインテリジェンスと照合。
- ハッシュチェッカー — 添付ファイルのハッシュを検証。
証拠
メッセージごとに記録：生ヘッダーの抜粋、From/Reply-To/Return-Path、SPF/DKIM/DMARCの結果、検査したドメインとURL、ルックアップ結果とソース付きの指標リスト、各チェックのタイムスタンプ。
エスカレーション
次の場合は直ちにエスカレーション：認証情報が入力された、管理資産上でリンクがクリックされた、添付ファイルが開かれた、またはメッセージが特権アカウントを標的にした。フォレンジックのために生のメッセージ（EML）を手つかずで保存します。
緩和
- ゲートウェイで送信者とドメインをブロックします。
- メッセージを隔離し、受け取った受信者に通知します。
- 認証情報が露出した可能性がある場合：パスワードリセットを強制し、セッションを失効させ、サインインログを確認します。
- リンクがクリックされた場合：デバイスを隔離し、調査を開始します。
検証
- メッセージがブロック/隔離され、受信者がクリックや返信をしていないことを確認します。
- 認証関連の修復（例: DMARCポリシーのギャップ）をメール管理者と検証します。
- 後でパターンを相関できるよう、ケースと結果を記録します。
メッセージごとの所見、証拠、封じ込め結果を追跡するには新しい調査を開始してください。