「不審メールにご注意ください」の一文が、なぜ空回りするのか——中部電力の連絡先7万件流出に見る、注意喚起とDMARCの落差

2026年8月4日、中部電力が不正アクセスによる情報漏えいの可能性を公表した。役職員のメール約2,400件と、グループの連絡先情報約71,700人分が不正に閲覧された可能性がある、という内容だ。電力供給やお客さま情報への影響は確認されていない、と同社は説明している。

事案そのものは、残念ながら珍しいものではない。第三者機関からの情報提供で発覚し、同日中に資格情報の無効化と遮断まで動いた初動は、むしろ速い部類に入る。ここで論じたいのは、侵入の巧拙ではない。公表文の最後に置かれた、ある一文と、その一文を裏打ちすべき技術的な備えとの間に開いた落差についてである。

流出したのは「なりすましの完全な弾」だった

まず、何が漏れたのかを正確に押さえておきたい。公表によれば、流出した可能性があるのは次の情報だ。

関係機関・自治体・取引先など約2,400人分の、会社・団体名、役職、氏名、メールアドレス、電話番号。そしてグループの連絡先に登録された役職員・委託先社員など約71,700人分の、会社名、所属、役職、氏名、メールアドレス、電話番号。

セキュリティの観点でこの組み合わせを見ると、背筋が寒くなる。これは「誰が、どの組織の、どういう立場で、誰とやり取りしているか」という関係性の地図そのものだ。攻撃者から見れば、標的型攻撃メール——スピアフィッシング——を組み立てるための、ほぼ完全な材料が一式そろったことになる。実在の上司の名、実在の取引先の担当者名、正しい部署名を差し込んだ「本物らしい」メールは、一般的な注意喚起では見抜きにくい。

同じ公表文が「不審メールに注意」と呼びかけている

中部電力もそのリスクは当然認識している。だからこそ公表文の第5項で、当社グループの従業員を装った不審なメールや電話に注意し、本文中のURLへのアクセスや添付ファイルの開封、個人情報の入力・回答を控えるよう呼びかけている。

これは正しい呼びかけだ。問題は、この「なりすましメールに気をつけてください」という注意喚起が、どこまで技術で裏打ちされているか、である。

自ドメインのなりすましを、受信側は止められる——止める設定になっていれば

メールのなりすまし対策には、SPF・DKIM・DMARCという三点セットがある。ざっくり言えば、SPFとDKIMは「このメールは本当にこのドメインから正規に送られたか」を検証する仕組みで、DMARCは「検証に失敗したメールを受信側にどう扱わせるか」を宛先へ指示するポリシーだ。

DMARCのポリシー（p=）には三段階ある。noneは「検証に失敗しても何もするな、ただし結果は報告してほしい」。quarantineは「迷惑メールフォルダに隔離せよ」。rejectは「受信を拒否せよ」。つまり、なりすましメールを実際にブロックできるのはquarantineとrejectであって、noneは監視しているだけで、通してしまう。

公開情報の範囲でchuden.co.jpのDMARCレコードを確認すると、ポリシーはp=noneだった。レポートの集計自体は外部サービスを使って行っており、可視化はしている。監視は回っているが、そこから先には進んでいない、という状態だ。

ここに落差がある。7万件超の連絡先が流出し、精巧なスピアフィッシングの材料が攻撃者の手に渡ったかもしれない、まさにその局面で、「従業員を装うメールに注意してください」と人に呼びかける。しかし、DMARCのポリシーはp=noneであり、@chuden.co.jpを詐称してDMARC検証に失敗したメールを、隔離または拒否するよう受信側へ要求する設定にはなっていない。

受信事業者が独自の迷惑メール判定やレピュテーション、フィッシング検知によってこうしたメールを止める場合はある。それでも、自ドメインの管理者として明示的に「隔離せよ」「拒否せよ」と指示している状態ではない。なりすましを見抜く負担の相当部分が、受信側の判定と、最後は一人ひとりの注意力に残される。

もちろん、DMARCで防げるのは、主として可視の送信元（From）ドメインにchuden.co.jpを直接詐称する攻撃である。表示名だけを「中部電力 ○○部長」と偽るメール、chuden-supportのようによく似た別ドメイン、取引先や中部電力自身の正規アカウントそのものを侵害して送るメールまでは止められない。それでも、自社で制御できる範囲のなりすましを、p=noneのまま受信側の判断に委ね続ける必要はない。

念のため付け加えれば、p=noneのまま運用している組織は世の中に非常に多い。中部電力が特別に無防備だという話ではない。むしろ、DMARCレコードを設置し外部サービスでレポートを回している時点で、平均より整備は進んでいる。だからこそ、あと一歩——ポリシーの引き上げ——が効いてくる局面なのだ。

認証基盤の確認——事実として言えること

背景として、認証基盤についても公開情報から確認できたことを記しておく。DNSとMicrosoftの認証エンドポイントを調べたところ、chuden.co.jpはMicrosoft Entra IDのManagedドメインであり、中部電力グループのMicrosoftテナントが存在すること、そしてドメインの認証がEntra ID側で完結し外部IdPへのフェデレーションを必須としない構成であることが確認できた。つまり、中部電力グループがMicrosoft 365の認証基盤を利用していることは確認できる。

今回閲覧されたメールと連絡先がExchange OnlineおよびEntra ID上のものだったかは公表されていない。ただ、公表された「資格情報の不正利用」「メール約2,400件」「連絡先約71,700人分」という被害の組み合わせは、クラウド型のメール・組織ディレクトリ環境に資格情報でアクセスされたケースとよく整合する。資格情報を悪用したアクセスによって、メール本文だけでなく、大規模な関係者情報までまとめて閲覧可能になった——被害の構図としては、この理解で無理がない。

教訓——「注意喚起」は技術的裏付けとセットで初めて機能する

この事案から引き出せる教訓は、中部電力に固有のものではない。むしろ、DMARCをp=noneのまま止めている、あるいはSPF・DKIM・DMARCを「一応入れてある」状態で運用しているすべての組織に向けたものだ。

「不審なメールにご注意ください」という呼びかけは、それ自体は誠実な対応である。だが、なりすまし対策としての実効性は、受け手の注意力ではなく、送り手（＝自ドメインの管理者）が用意した技術的な裏付けに支えられている。DMARCのポリシーをquarantine、そしてrejectへ引き上げることは、「うちのドメインを騙るメールは、そもそも相手の受信箱に届きにくくする」という、注意喚起を人任せにしないための備えだ。

とりわけ、ディレクトリや連絡先情報が漏れた後は、なりすましの精度が跳ね上がる。流出の事後対応として真っ先に検討すべきは、被害者への個別連絡と並行して、自ドメインのDMARCポリシーを引き上げ、少なくとも自ドメインを直接詐称するなりすましメールが届きにくい状態を作ることだろう。

注意喚起の一文は、それを裏打ちするDMARCポリシーと組み合わさって、初めて空回りしなくなる。もちろん、p=noneをただrejectへ書き換えれば終わる話ではない。大企業のドメインからは、Microsoft 365、メール配信サービス、問い合わせ・請求・採用などの各システム、グループ会社、委託先、外部SaaSと、正規の送信経路が多数走っている。これらのSPF・DKIMの整合（alignment）を確認しないままいきなりrejectにすれば、正規のメールまで拒否されかねない。正しい順序は、正規送信経路を棚卸ししてSPF・DKIMを整え、まずquarantine、その後rejectへと段階的に移行することだ。

技術で止められるものを、人の注意力に肩代わりさせない。情報漏えいという事故の後始末は、「注意してください」と伝えるだけでなく、その注意が必要になるメール自体を、可能な範囲で届かなくするところまで含む。その順序を取り違えないところから、後始末は始まる。

---

本稿は公表資料および公開情報（DNS等）に基づく分析であり、中部電力の内部システム構成や侵入経路を断定するものではありません。