なりすまし・フィッシングメールチェッカー(メールヘッダー解析)

怪しいメールを、差出人やメールヘッダーから判定する無料ツール。

  • 登録・ログイン不要
  • 無料
  • スマホでも確認できます
このメールの判定

上の「どちらで確認しますか」を選んで差出人かヘッダーを入れると、なりすましの兆候を判定します。

怪しいメールを確かめる
例で試す

例のドメインはすべて架空です。

1どちらで確認しますか

貼り付けたメールヘッダー・差出人・本文は、このブラウザの中だけで解析します。サーバーへの送信も端末内への保存もせず、「この条件で開くリンク」や「結果をコピー」にも載りません(ページを閉じると消えます)。端末内に保存されURLに載るのは「本来の相手のドメイン」欄だけです。無料・登録不要で使えます。

USE CASESこんな場面で使える

  • 取引先から振込先変更の依頼が来た　—　差出人のドメインが本物と1文字違いでないか、認証が通っているかを確かめてから電話で確認する
  • 有名サービスを名乗る警告メールが来た　—　ドメイン認証(DMARC)の失敗や返信先の食い違いを見て、リンクを押さずに済ませる
  • 社内の担当者へ報告する　—　判定と根拠(どのヘッダーのどの値か)を「結果をコピー」で添え、アドレスを丸ごと載せずに相談する

FORMULA計算式・仕組みと根拠

  • 採用する認証結果 = いちばん上の Authentication-Results(受信サーバーが付けたもの)と同じサーバー名の記録だけ。下にある別名の記録は送信側でも書けるため使わない
  • なりすましの兆候あり = DMARCがfail、SPFがfail、本来の相手に似せたドメイン(1〜2文字違い・0とo/1とl/rnとmの置き換え・xn--・名前に語を足したもの)、表示名に別アドレス、下位の偽のdmarc=pass のどれか
  • 注意して確認 = DMARCの記録なし・none・temperror等、SPFのsoftfail・none、DKIMのnone、認証ドメインと差出人の不一致、返信先(Reply-To)が別ドメイン、本文リンクの表示と行き先の違い・IP直書き・短縮URL のどれか
  • 送信元の認証は通過 = DMARCがpassで、上のどれにも当てはまらない(安全の保証ではない)
  • 手早い確認(ヘッダーなし)= 表示名・差出人ドメインの形・本来の相手との比較・本文のリンクを同じ基準で見る。送信元の認証は見られないため、いちばん良い判定は「目立つ兆候なし(認証は未確認)」
  • 文面の危険サイン(振込先の変更・急がせる・ログインを求める・添付を開かせる・いつもと違う連絡手段への誘導)は点数にせず、次にすることの具体化だけに使う(生成AIで文面が自然になったため、文面で真偽は判定しない)
  • 根拠: RFC 8601(Authentication-Results)・RFC 7208(SPF)・RFC 6376(DKIM)・RFC 9989(DMARC、2026年5月にRFC 7489を置き換え)・RFC 5322(From・Reply-To・ヘッダーの折り返し)。同じ組織のドメインかどうかは、外部に問い合わせない簡易推定(末尾の co.jp などを考慮)

EXAMPLE入力例と結果の読み方

例「1字違いの取引先」は、本来の相手 kitamura-shoji.test に対し差出人が kitamura-sh0ji.test(oが数字の0)です。SPF・DKIM・DMARCはすべて pass ですが、判定は「なりすましの兆候あり」。攻撃者が自分で取ったドメインなら認証は通るため、認証の通過だけで本物と決めず、ドメイン名を本来の相手と見比べる必要がある、と読みます。例「有名サービスの偽装」は dmarc=fail・返信先が別ドメイン・リンクの行き先がIPアドレスで、同じく「なりすましの兆候あり」になります。

PITFALLSよくある間違い

  • ヘッダーのいちばん下や途中の Authentication-Results を読む(送信側が書き込んだ偽の pass のことがある。読むのはいちばん上)
  • 「認証が pass だから安全」と考える(似せドメインや乗っ取られたアカウントからのメールも pass になる)
  • メールに書かれた電話番号やリンクで本人確認する(確認はメール以外で知っている連絡先で行う)

NOTES境界条件・注意点

  • 同じ組織のドメインかの判定は、DNSに問い合わせない簡易推定です。最終的な判定は受信サーバーが記録した dmarc= の値を主に使います
  • 本物の取引先のアカウントが乗っ取られた場合は、すべての確認に通ります。送金・口座変更の依頼は判定にかかわらずメール以外で確認してください
  • 手早い確認は差出人の名前・アドレス・リンクの形だけを見ます。差出人の欄は送る側が自由に書けるため、「目立つ兆候なし」は本物の証明ではありません

フィッシングメールの見分け方は「文面」より「送信元」

なりすまし・フィッシングメールは、文面ではなく送信元の記録(メールヘッダー)で見分けます。 生成AIで自然な日本語の詐欺メールが作れるようになり、「日本語が不自然」「誤字が多い」といった手がかりは当てにならなくなりました。 一方、メールが届くまでに受信サーバーが記録する送信元の認証結果は、文章の上手さでは偽れません。

メールヘッダーの見方の要点は3つです。①受信サーバーが付けた Authentication-Results の dmarc= が pass か、 ②差出人(From)のドメインが本来の相手と同じか(1文字違い・数字の置き換えでないか)、③返信先(Reply-To)やリンク先が別のドメインになっていないか。 上のツールはこの3点を自動で読み、1項目1行で根拠を示します。

Authentication-Results の読み方早見表

メールヘッダーの Authentication-Results 行には、受信サーバーが確かめた3つの認証の結果が spf=pass のような形で並びます。

3つの認証の意味(2026年10月時点の仕様: RFC 7208・RFC 6376・RFC 9989)
認証何を確かめるかヘッダーの目印
SPF(送信元サーバーの確認)送ってきたサーバーが、送信元ドメインの許可したサーバーかspf= と smtp.mailfrom=(Return-Path のドメイン)
DKIM(電子署名)メールに付いた署名が正しく、途中で書き換えられていないかdkim= と header.d=(署名したドメイン)
DMARC(ドメイン認証)SPFかDKIMのどちらかが通り、そのドメインが差出人(From)と同じ組織のものかdmarc= と header.from=
結果の値の意味(SPF・DKIM・DMARC共通の読み方)
値意味このツールの扱い
pass認証に通ったDMARCがpassなら「送信元の認証は通過」(ほかに気になる点がない場合)
fail認証に失敗した。DMARCのfailは「名乗ったドメインから送られた証明がない」DMARCのfailは「なりすましの兆候あり」。SPFのfailも同じ扱い(DMARCが通過していれば転送の可能性があるため「注意して確認」)
softfailSPFのみ。許可されたサーバーではないが、強くは否定しない設定注意して確認
neutral / none判断の材料がない(設定がない・署名がない)注意して確認
temperror / permerror一時的な通信エラー/送信元の設定の誤り注意して確認

dmarc=fail とは、差出人(From)のドメインを名乗る正当な送信だと確認できなかった、という意味です。 逆に dmarc=pass でも、そのドメイン自体を攻撃者が取得している場合(本物に似せたドメイン)は通ります。認証の通過は「安全」の証明ではないため、ドメイン名が本来の相手と同じかを必ず見比べます。

複数の Authentication-Results があるときは、いちばん上を見る

メールが転送や複数のサーバーを経由すると、Authentication-Results が何行も付くことがあります。読むのはいちばん上(自分の会社・メールサービスの受信サーバーが付けたもの)です。 このヘッダーは受け取ったサーバーが上へ上へと追記していく決まり(RFC 8601)で、下にあるものは途中のサーバーや送信者自身が書き込んだ可能性があり、偽の「pass」を混ぜる手口もあります。 上のツールは最上位のサーバー名と同じ記録だけを使い、それより下の別名の記録は判定に使いません。

似せドメイン・返信先・リンクの見分け方

このツールが送信元以外に見る項目と判定
項目見るところ判定
似せドメイン本来の相手と1〜2文字違い、0とo・1とl・rnとmの置き換え、国際化ドメイン(xn--)、本来の名前に語を足したものなりすましの兆候あり
末尾だけ違うexample.com と example.co.jp のように名前は同じで末尾が違う注意して確認(同じ会社の別ドメインのこともある)
表示名表示名に別のメールアドレスが書かれている/本来の相手を名乗るのにアドレスが別ドメインなりすましの兆候あり
返信先(Reply-To)差出人と別の組織のドメイン注意して確認
本文のリンク表示と行き先の違い・IPアドレスの直書き・短縮URL・国際化ドメイン・@を含むURL注意して確認(似せドメインならなりすましの兆候あり)

本来の相手のドメインを入れない場合は、比べる基準がないため、国際化ドメイン・数字の混在・ハイフンの多さといった形の不自然さだけを指摘します。

メールヘッダーの出し方(確認・解析の手順)

メールソフト別のヘッダーの表示方法(各社の公式ヘルプで2026年10月に確認)
メールソフト操作
Gmail(パソコン)メールを開く → 返信ボタン横の「その他」→「メッセージのソースを表示」→「クリップボードにコピー」
新しいOutlook / Outlook on the webメールを開く → 上部の「その他のアクション」→「表示」→「メッセージの詳細を表示する」
クラシックOutlookメールをダブルクリックで開く →「ファイル」→「プロパティ」→「インターネット ヘッダー」欄
Macの「メール」メニューの「表示」→「メッセージ」→「すべてのヘッダ」
iCloudメール(icloud.com)メールを選ぶ →「その他」→「すべてのヘッダを表示」
iPhone・iPadの「メール」ヘッダー全体を表示する手順はAppleの公式ヘルプで確認できませんでした(未確認)。パソコンかicloud.comで開いてください

スマホで怪しいメールが届いたら: 差出人とリンクで手早く確認

iPhoneの「メール」やGmailアプリでは、ヘッダー全体を出す手順が各社の公式ヘルプで確認できません。そこで上のツールは、最初の質問で「手早く確認」(差出人とリンクだけを見る)を選べるようにしています。 差出人のアドレス(表示名ごと)と本来の相手のドメイン・本文を入れると、表示名と実際のアドレスの食い違い、1文字違いや数字の置き換えの似せドメイン、リンク先の不自然さをヘッダー版と同じ基準で判定します。 送信元の認証は見られないため、いちばん良い判定は「目立つ兆候なし(認証は未確認)」で、本物の証明にはなりません。

文面の危険サインと次にすること(各機関の公開資料で確認した手口。2026年10月9日確認)
文面の危険サイン次にすること根拠
振込先・口座の変更を頼んでいるこのメール以外で知っている電話番号で担当者本人に確認するまで送金しないIPA(ビジネスメール詐欺)
急がせる・期限を切っているその場で操作せず、公式アプリやブックマークから自分で開いて確かめる警察庁(フィッシング対策)
ログイン・パスワード・カード番号の入力を求めているメールのリンク先で入力しない。入力したら同じパスワードのサービスをすべて変更警察庁(フィッシング対策)
添付ファイルを開かせようとしている開かない。開いても「編集を有効にする」「コンテンツの有効化」を押さないIPA(Emotetの手口)
いつもと違う連絡手段(LINEグループなど)へ誘っている業務で使っていないSNS・チャットに移らず、本人に電話や対面で確認する北海道警察 斜里警察署

これらのサインは点数にしていません。生成AIで自然な文面が作れるため、文面だけで真偽は決められず、当てはまったときに「何をすればよいか」を具体的にするために使います。

怪しいと判定されたら: 次にすることと報告先

  1. 本文のリンクを押さない・添付ファイルを開かない・返信しない
  2. 名刺や公式サイトなど、このメール以外で知っている連絡先(電話など)で本人に確認する。メールに書かれた電話番号は使わない
  3. 社内のセキュリティ担当者(いなければ上長)に報告する。社内の報告方法が決まっていればそれに従う
  4. 社外への報告は、フィッシング対策協議会がメールの転送(info@antiphishing.jp)で受け付けています。迷惑メールフォルダーに振り分けられたものは報告不要とされています

取引先を装って振込先の変更を求めるビジネスメール詐欺や、特定の会社を狙う標的型攻撃メールも、送信元を偽る・似せたドメインを使う点は同じです。 本物の取引先のメールアカウントが乗っ取られた場合は認証がすべて通るため、送金や口座変更の依頼は、判定にかかわらずメール以外の方法で確認してください。

出典(2026年10月8日・9日確認)

FAQよくある質問

メールヘッダーの見方は？

まず Authentication-Results 行の dmarc= を見ます。pass なら差出人のドメインどおりに送られたこと、fail なら名乗ったドメインから送られた証明がないことを示します。次に From のドメインが本来の相手と同じか(1文字違い・数字の置き換えでないか)、Reply-To が別のドメインでないかを確認します。Authentication-Results が複数あるときは、いちばん上(自分側の受信サーバーが付けたもの)を読みます。

なりすましメールの見分け方は？

文面ではなく送信元の記録で見分けます。生成AIで自然な日本語の詐欺メールが作れるため、文章の不自然さは手がかりになりにくくなりました。メールヘッダーで、ドメイン認証(DMARC)の結果、差出人のドメインが本来の相手と同じか、返信先やリンク先が別のドメインでないかを確認します。このツールはヘッダーを貼るだけでこれらを判定します。

dmarc=fail とは？

dmarc=fail とは、差出人(From)のドメインを名乗る正当な送信だと受信サーバーが確認できなかった、という意味です。SPFとDKIMのどちらも、差出人と同じ組織のドメインで通らなかったときに fail になります。なりすましの強い兆候なので、リンク・添付・返信を使わず、メール以外の連絡先で相手に確認してください。

SPF・DKIM・DMARCがすべて pass なら安全ですか？

安全とは言えません。pass は「名乗ったドメインから送られた」という意味で、攻撃者が本物に似せたドメインを自分で取得していれば、そのドメインの認証は通ります。本来の相手のドメインと1文字ずつ見比べ、送金や口座変更の依頼はメール以外の連絡先で確認してください。

Gmail・Outlookでヘッダーを出すには？

Gmail(パソコン)はメールを開き、返信ボタン横の「その他」→「メッセージのソースを表示」→「クリップボードにコピー」です。新しいOutlookとOutlook on the webは「その他のアクション」→「表示」→「メッセージの詳細を表示する」、クラシックOutlookはメールを開いて「ファイル」→「プロパティ」の「インターネット ヘッダー」欄です。iPhoneの「メール」アプリで全ヘッダーを出す方法はAppleの公式ヘルプで確認できなかったため、パソコンかicloud.comで開いてください。

スマホ(iPhone・Gmailアプリ)でも確認できますか？

できます。最初の質問で「手早く確認」を選び、差出人のメールアドレス(表示名ごとでよい)と、あれば本来の相手のドメイン・本文を入れます。表示名と実際のアドレスの食い違い、1文字違いなどの似せドメイン、リンク先の不自然さを判定します。ただし送信元の認証(SPF・DKIM・DMARC)はヘッダーが無いと見られないため、気になるときはパソコンでヘッダーを確かめてください。

標的型攻撃メールやビジネスメール詐欺も見分けられますか？

送信元を偽る・本物に似せたドメインを使う手口は見分けられます。標的型攻撃メールやビジネスメール詐欺(取引先を装って振込先の変更を求める詐欺)でよく使われる手口です。ただし本物の取引先のメールアカウントが乗っ取られた場合は認証がすべて通るため、このツールでは見分けられません。送金や口座変更の依頼は必ず電話など別の方法で確認してください。

貼った内容は送信・保存されますか？

送信も保存もしません。ヘッダー・差出人・本文はブラウザの中だけで解析し、端末内の自動保存・この条件で開くリンク・結果のコピーのどれにも載りません。端末内に保存されるのは「本来の相手のドメイン」欄だけです。