概要

メールヘッダ解析は、メールの配送経路や送信元情報を記録したヘッダフィールドを読み解き、なりすまし・フィッシングの痕跡を技術的に見抜く手法です。SPF/DKIM/DMARCが「送信ドメインを機械的に検証する仕組み」であるのに対し、本記事はそれらの検証結果を含めて「人間・アナリストがヘッダを読んで判断する実務的な視点」に焦点を当てます。SC試験では午後問題でメールヘッダの抜粋が提示され、不審点を指摘させる出題が見られます。

仕組みと動作原理

メールヘッダの主要フィールド

フィールド内容解析での着眼点
Receivedメールが経由した各サーバの記録（下から上へ配送順）経由ホスト名・IPアドレスが送信元として名乗るドメインと矛盾していないか
Message-IDメールを一意に識別するIDドメイン部分が送信元ドメインと無関係でないか（生成元の詐称の手がかり）
Return-Path（envelope-from）配送エラー時の返送先アドレスFrom ヘッダの表示アドレスと一致しない場合は要注意
From送信者として表示されるアドレス表示名とアドレスが乖離していないか（例：表示名は取引先、実アドレスは無関係なドメイン）
Reply-To返信時の宛先を上書きするフィールドFrom と異なるドメインが設定されていれば詐取目的の疑い
Authentication-Results受信サーバでのSPF/DKIM/DMARC検証結果fail・softfail・none の有無

Receivedヘッダの読み方

Receivedヘッダはメールサーバを経由するたびに先頭に追記されるため、一番下（最も古い）が実際の送信元に近く、一番上（最も新しい）が受信直前のサーバになります。

Receivedヘッダの追記順と読む方向
1
送信元サーバ
メール送信。最初のReceivedが末尾に記録される
実際の送信元IPが分かる最も重要な行
 2
中継サーバ①
受信・転送のたびにReceivedを先頭に追加
 3
中継サーバ②
同様にReceivedを追加していく
 4
受信サーバ（自組織）
最終的にReceivedを一番上に追加
解析時はここから下に遡って経路を追う

解析の実務では、最下部のReceivedに記載された送信元IPアドレスを逆引き・WHOIS照会し、Fromで名乗るドメインの正規の送信元（SPFレコードに列挙されたIP等）と一致するかを確認します。

メールヘッダ解析の着眼点まとめ

フィッシングメール判定の着眼点
Received
送信元IP・経路の矛盾
From / Reply-To
表示名とアドレスの乖離
Return-Path
Fromとの不一致
Message-ID
ドメインの無関係性
Authentication-Results
SPF/DKIM/DMARC結果
不審メールの判定
ヘッダ横断で確認

スパム判定技術

送信ドメイン認証がドメインレベルの正当性を検証するのに対し、スパムフィルタはメール1通ごとの内容・挙動から迷惑性を統計的・ルールベースで判定します。

技術仕組み特徴
ベイジアンフィルタ単語の出現頻度からベイズの定理で確率的にスパム判定。学習型誤判定を都度フィードバックすることで精度が向上する
ブラックリスト/DNSBL既知のスパム送信元IP・ドメインのリストと照合新規の攻撃基盤には無力な場合がある
ヒューリスティックフィルタ特定のパターン（過剰な広告用語・不自然なHTML構造等）をルールで検出ルールの更新が継続的に必要
グレイリスティング未知の送信元からの初回配送を一時的に拒否し再送を要求正規のMTAは再送するがスパム送信ツールの多くは再送しないため足切りになる
レピュテーションスコアリング送信元IP/ドメインの過去の送信履歴から信頼度を評価SPF/DKIM/DMARCの検証結果もスコアの一要素として利用される

送信ドメイン認証技術との関係

SPF・DKIM・DMARCはメールのドメインレベルの正当性を検証する仕組みであり、詳細はSPF・DKIM・DMARCを参照してください。本記事の観点では、これらの検証結果は Authentication-Results ヘッダに記録され、ヘッダ解析やスパムフィルタのレピュテーションスコアリングにおける「判定材料の1つ」として使われる、という位置づけになります。ドメイン認証に通っていても、表示名詐称やビジネスメール詐欺（BEC）のように文面自体で欺くタイプの攻撃は防げないため、ヘッダ解析や本文解析による補完が必要です。

SC試験での頻出ポイント

  • Receivedヘッダは下から上に読む：最下部が実際の送信元サーバに最も近い記録
  • From とReturn-Path／Reply-Toの不一致：フィッシングメールでよく見られる典型パターン
  • ベイジアンフィルタは学習型の統計的手法：単語の出現頻度から確率計算でスパムを判定し、フィードバックで精度が向上する
  • ドメイン認証とスパムフィルタの役割の違い：前者はドメインの正当性、後者はメール内容・送信挙動の迷惑性を判定
  • Authentication-Resultsヘッダの読み方：SPF/DKIM/DMARCそれぞれのpass/fail/none等の結果が個別に記録される

よくある誤問・ひっかけパターン

誤り① 「Receivedヘッダは一番上が送信元サーバの記録」→ 誤。Receivedヘッダは中継のたびに先頭（一番上）に追記されるため、実際の送信元に最も近い記録は一番下（最も古い記録）です。

誤り② 「SPF/DKIM/DMARCがすべてpassしていれば、そのメールは安全と断定できる」→ 誤。ドメイン認証は「名乗っているドメインからの正当な送信であること」を検証するに過ぎません。正規ドメインを取得して認証を通しつつ内容で騙すBECや、正規アカウントが乗っ取られて送信された場合には認証だけでは見抜けず、文面・ヘッダの総合的な解析が必要です。

誤り③ 「ベイジアンフィルタは固定ルールでスパムを判定する」→ 誤。ベイジアンフィルタは単語の出現頻度から確率を計算する統計的・学習型の手法であり、ユーザのフィードバック（スパム報告等）によって継続的に精度が向上する点が固定ルール型のブラックリストやヒューリスティックフィルタとは異なります。

関連用語

重要キーワード

用語説明
Receivedヘッダメールの中継経路を下から上へ時系列に記録するヘッダ
Message-IDメールを一意に識別するIDフィールド
Return-Path配送エラー時の返送先を示すenvelope-fromアドレス
Authentication-Results受信サーバでのSPF/DKIM/DMARC検証結果を記録するヘッダ
ベイジアンフィルタ単語出現頻度から確率的にスパムを判定する学習型フィルタ
グレイリスティング未知送信元からの初回配送を一時拒否し再送有無で足切りする手法