最近増えている謎メール dmarc25？ 実質スパム

最近、まとめて何通も送られてくる謎メールを解析してみた。 サンプルのメッセージソースは下に張り付けました。

GPTの解析結果はつぎ。

とても良い観察です。
この2通目（noreply-dmarc-support@google.com からのもの）は、
先ほどの「dmarc25.jp」メールとはまったく性質が異なります。

✅ 結論から言うと

こちらは本物のGoogleから送信されたDMARC集計レポートメールです。
偽装スパムではありません。安全です。
ただし、開封や解析は不要で、そのまま削除して問題ありません。

🔍 技術解析（要点）

項目値評価
Return-Path<noreply-dmarc-support@google.com>Google公式ドメイン
送信サーバーmail-qv1-f73.google.com [209.85.219.73]正規のGoogleメールサーバー
SPFpassGoogleのサーバーが正しく認証
DKIMpass (header.d=google.com)Google公式署名あり
DMARCpass (policy=reject)Googleのポリシーが適用済み
件名/本文構成DMARCレポート（XML添付）形式DMARC集計通知として正常
スパムスコアscore=-13.5（極めて低い）SpamAssassinが「安全」と判定

📄 どういうメールか？

あなたのドメインを名乗るメールが世界中でどう扱われたかを、
Gmailが自動でまとめて送信してくれる「DMARC Aggregate Report（集計レポート）」です。

送信元：
noreply-dmarc-support@google.com

添付ファイル名は通常：

google.com!＊＊＊.＊＊＊!<日付範囲>!<識別ID>.xml.gz

中には XML 形式で次のようなデータが入っています：

<feedback>
  <report_metadata>
    <org_name>Google Inc.</org_name>
    <email>noreply-dmarc-support@google.com</email>
    <report_id>...</report_id>
  </report_metadata>
  <policy_published>
    <domain>＊＊＊.＊＊＊</domain>
    <p>none</p>
  </policy_published>
  ...
</feedback>

🚫 「dmarc25.jp」との違い

比較項目Google（今回）dmarc25.jp（前回）
ドメインgoogle.comdmarc25.jp（偽装）
送信元IP209.85.xxx（Google公式）59.106.xxx（GMO共用）
DKIM署名header.d=google.comheader.d=dmarc25.jp
SPF結果passpass（だが独自ドメイン）
内容正規のDMARCレポートDMARCレポート風スパム
対応放置・削除OK受信拒否推奨

💡 今後のおすすめ運用

もしあなたのドメインで
DMARCを設定済みであれば、世界中の主要メールサーバー（Google、Microsoft、Yahoo!など）が
定期的にレポート（XML.gz）を送ってきます。

これらは通常：

  • 安全（ただし開かなくてよい）
  • 内容は認証統計（なりすまし対策用）
  • 保存・放置しても問題なし

必要な場合のみ解析する

もし「自社ドメインのなりすまし状況を把握したい」場合、
以下のような無料ツールでレポートをまとめて可視化できます：

✳️ まとめ

種類ドメイン正体対応
@google.comGoogle正規サーバー正規DMARCレポート放置・削除OK
@dmarc25.jp偽装（docomo風）DMARCレポート風スパム受信拒否・開封禁止

以下は「偽DMARCレポート」と「正規レポート」の処置方法案

処置方針まとめ

レポート種別特徴推奨処置コメント
偽DMARCレポート差出人偽装、怪しい添付・リンクの可能性拒否 or 破棄SPF/DKIM fail、差出元不明なIPが多い場合は偽と判断可
正規DMARCレポート正規送信サーバーから、XML形式で集計破棄（中身を見ない場合）受信が煩雑な場合は破棄でOK
正規DMARCレポート正規送信サーバーから解析（中身を見る場合）偽装メール検出、送信経路確認、DMARC強化判断、監査目的で利用可能

正規レポートを解析するケース

自ドメインの偽装・スプーフィングの有無確認
  • 外部IPから SPF/DKIM fail があれば偽装メールあり
  • 対応策：SPF/DKIM/DMARC強化、受信者への注意喚起
メール送信経路の確認
  • 自社送信サーバーの SPF/DKIM/MX 設定が正しいか確認
DMARCポリシー強化の判断材料
  • p=none → p=quarantine → p=reject の段階的運用
  • p=reject で偽装メールは受信者サーバーで自動的に破棄される
セキュリティ監査・リスク管理
  • 偽装メールの監視、ドメイン悪用の傾向把握

運用上の具体例

  • 偽DMARCレポート：メールサーバーで「SPF/DKIM fail」「差出元不明IP」の場合、自動破棄
  • 正規DMARCレポート：受信は継続
  • 中身を見ない場合：迷惑メール振り分けで破棄
  • 中身を解析する場合：XMLを専用ツール（dmarcianなど）に取り込み、送信状況を監視

まったく別観点からの対処案

このメールは、DMARCレポートは 送信されるメール自体ではなく、受信側サーバーが作成する通知 です。よって 通常の個人宛メールのように偶然届くものではなく、ドメイン管理者宛に体系的に届くもの です。もしレポートを受け取りたくない場合は、DMARC TXTレコードから rua / ruf を削除する（rua/rufフィールドを空にする）ことで送信先をなくせます。

dmarc25 からのほぼスパム

X-Mozilla-Status: 0001
X-Mozilla-Status2: 10000000
X-Mozilla-Keys:                                                                                 
Return-Path: <docomoreport-bounceback@dmarc25.jp>
X-Spam-Checker-Version: SpamAssassin 3.4.0 (2014-02-07) on ＊＊＊
＊＊＊＊.xserver.jp
X-Spam-Level: 
X-Spam-Status: No, score=0.9 required=30.0 tests=DKIM_SIGNED,DKIM_VALID,
	DKIM_VALID_AU,SPF_HELO_NONE,SPF_PASS,TVD_SPACE_RATIO,URIBL_BLOCKED,
	URIBL_DBL_BLOCKED_OPENDNS,URIBL_ZEN_BLOCKED_OPENDNS,X_NONJAPANESE_SUBJECT
	autolearn=no autolearn_force=no version=3.4.0
X-Spam-CMAuthority: v=2.4 cv=UZQDS7SN c=1 sm=1 tr=0 ts=6901a979
	a=4nyRffA/pZpJxf3jz/ccCw==:17 a=x6icFKpwvdMA:10 a=z2Y1GidkDKYA:10
	a=tclcd6dtLQvEqt9_mmAA:9 a=CjuIK1q_8ugA:10 a=4Hp3Za8rNZdGw2VEeB8A:9
	a=49ladYHvHUoA:10
Delivered-To: ＊＊@＊＊＊＊.or.jp
X-Virus-Status: scanned (With Secure/Atlant/virusgw12107.xserver.jp/)
Received: from mta01d.dmarc25.jp (mta01d.dmarc25.jp [59.106.216.209])
	by ＊＊＊.xserver.jp (Postfix) with ESMTPS id 457AD281968215
	for <＊＊@＊＊＊.or.jp>; Wed, 29 Oct 2025 14:43:21 +0900 (JST)
Authentication-Results: ＊＊＊＊.xserver.jp;
	dkim=pass header.d=dmarc25.jp header.s=mta202206r header.b=goEzNkAQ;
	spf=pass (＊＊＊.xserver.jp: domain of docomoreport-bounceback@dmarc25.jp designates 59.106.216.209 as permitted sender) smtp.mailfrom=docomoreport-bounceback@dmarc25.jp;
	dmarc=pass (policy=reject) header.from=dmarc25.jp
ARC-Message-Signature: i=1; a=rsa-sha256; c=relaxed/relaxed; d=＊＊＊＊.or.jp;
	s=default; t=1761716601;
	h=from:from:sender:reply-to:subject:subject:date:date:
	 message-id:message-id:to:to:cc:mime-version:mime-version:
	 content-type:content-type:content-transfer-encoding:in-reply-to:
	 references:dkim-signature; bh=HYzQ8SKPW/mTSd0zhR4TrhYT01Ep9m0fGtwaDt5UigYc=;
	b=nzJ4bQYZ5DF3X4MEkTlUVZbwka6l8ss6H0mpAWFXXVG5hK7jJALJLMNkY9Bwe9ICdOH8jiO
	fe0RawqZYSbzp4bl8MGc3QHBHuCucjiNqOPCxOC8x+u/kHvk/ZP3pOfZj8OQzjOefZStkD
	2MngfNdrn1pbMGOcDk/7ShmVs185ca87soFPhoNKX1gGdgUFi89GHVjxHt2GAdNi2NxcuF
	LdMFdMQWDCxJjaKDNPjGPBHe8Z0ccJ6Y69PKQZQuSBtICykOAN/sFs4bSHv3X62iPxHkL
	w8PbHQNUal1lhfQqF6bmRSpZmP895I3HGrHFgt3Ah67RAEOVy+ycQSDT3HJm5w==
ARC-Authentication-Results: i=1;
	＊＊＊.xserver.jp;
	dkim=pass header.d=dmarc25.jp header.s=mta202206r header.b=goEzNkAQ;
	spf=pass (＊＊＊.xserver.jp: domain of docomoreport-bounceback@dmarc25.jp designates 59.106.216.209 as permitted sender) smtp.mailfrom=docomoreport-bounceback@dmarc25.jp;
	dmarc=pass (policy=reject) header.from=dmarc25.jp
ARC-Seal: i=1; s=default; d=＊＊.or.jp; t=1761716601; a=rsa-sha256;
	cv=none;
	b=KHep4fsgpeT1mhiFdziq/LgRb39yMdlYqoIuK8evM2vbafKp4rVAVO2P9Ey81khMzF/Z4r
	crd7YKwrIlvBUyp1XRE6nB76hDQCRbDgNOsZ1+KBNM85SN5PUMA+9qeTAJwx8wd9Sa43sQ
	nv6aAssOakDL/4S2e0IsUsYb9Tur/At0oK7kaJbnQX+Yd/1wFZmkjiRfuT1YUHdrShYu8W
	sOCIt15QbELfWumXp1pVbuVRBe4dXprMgan6eTe40VO7fjiI1d1pWRInuZ0WWXgWhnmhJ5
	aO8L9L1Z89aGWAg13w8Txyb/BHyzZ7jTBzn9S8pgswKLm5f45xe3vy9VbNphqg==
Received: from [153.125.224.196] (unknown [172.16.0.99])
	by dmarc25docomomta-01.dmarc25.jp (Postfix) with ESMTPSA id 0CB56A3808
	for <＊＊＊@＊＊.or.jp>; Wed, 29 Oct 2025 14:43:21 +0900 (JST)
DKIM-Filter: OpenDKIM Filter v2.11.0 dmarc25docomomta-01.dmarc25.jp 0CB56A3808
DKIM-Signature: v=1; a=rsa-sha256; c=relaxed/relaxed; d=dmarc25.jp;
	s=mta202206r; t=1761716601;
	bh=HYzQ8SKPW/mTSd0zhR4TrhYT1Ep9m0fGtwaDt5UigYc=;
	h=Subject:From:Date:To:From;
	b=goEzNkAQSdNEHFDF/aEqbsVYzSORdKoSo/d/3Lw52R7VhzSWm7Ahd/6vIs1jZLlG
	 QYmoT7MjAoWtqlIl9xTIJ2z4GI86LvS3uiF+GTbVn3aHTrcPLbP55UZHaLkoLilBxP
	 V6y5RnKXLBP8RPz56Ch0m0RFUxKoNn7EPRGrphRn7lJbyUXf1/Lwt0ADB2QKOjGva5
	 5gKAz2hLBB22lU8lOr7hhxvj5xyLr+x/R79IMNvOfnfkctau4xK7Ej4az7OQ5G0iyG
	 jseEZ7jhZkeEbVyFJBpitFgQ2fdY8Tc+MpM4Su2dNTLD+rGt272FQoL81es+ArG0+f
	 lAF0H6nv+XpHQ==
Content-Type: multipart/mixed; boundary="===============0657281041604779379=="
MIME-Version: 1.0
Subject: Report Domain: ＊＊＊.or.jp
 Submitter: docomo.ne.jp
 Report-ID: <0579b07583e429af1ed1a5fe567b58c8>
From: "docomo.ne.jp by DMARC/25" <reporting@dmarc25.jp>
Date: Wed, 29 Oct 2025 05:43:21 -0000
To: ＊＊＊@＊＊.or.jp
TLS-Required: No
Message-ID: 
 <0579b07583e429af1ed1a5fe567b58c8.d074edf066b753a93afbc05bd4df0c91e7b0b70d.dcmdb-11@docomomta.dmarc25.jp>
X-Dmarc25-Report-Info: d074edf066b753a93afbc05bd4df0c91e7b0b70d
X-Dmarc25-BounceBack-Forward-To: docomoreport-bounceback@dmarc25.jp
XSRV-Filter: ＊＊＊@＊＊.or.jp

--===============0657281041604779379==
Content-Type: text/plain; charset="us-ascii"
MIME-Version: 1.0
Content-Transfer-Encoding: 7bit


--===============0657281041604779379==
Content-Type: application/gzip
MIME-Version: 1.0
Content-Transfer-Encoding: base64
Content-Disposition: attachment;
 filename="docomo.ne.jp!＊＊.or.jp!1761609600!1761695999!079b07583e429af1ed1a5fe567b58c8.xml.gz"

H4sICHmpAWkC/2RvY29tby5uZS5qcCFtaWMub3IuanAhMTc2MTYwOTYwMCExNzYxNjk1OTk5ITA1
NzliMDc1ODNlNDI5YWYxZWQxYTVmZTU2N2I1OGM4LnhtbAB8Utty4yAM/ZVO3tfY6fo2o9L9Ew8G
kbA1lwLubv++smmyyWRmnxBH0tE5Anj9a5enD4zJePdyaKr68IROemXc6eWwZv1jOLxy0IhqFvKN
Q8TgY54sZqFEFhx8PE1OWOTKS2995bD6HYBdYUArzMJLH7H+UlZEeWz3qpK7kBrF67Yf57pvh2f8
eRyFblA1otXYdv3cDnIA9q8WSABOUbgTTZnxZBxv+q7p6rGra2AFAXSqwGM7jiONpDuw21b24Cn4xcjPKazzYtIZqUGoN25BFYCUJ6UO26NrHzcrXwjIFLQe+F2QuDvq6A55ByBBQJk5s0mbwsg3efp
SomH4RGlj9vp/1CLX6PEyQSi6aqmea6Ox6Eae+q+ZkD61dEcYCW4GMIPsazkfNudScEnk+nZ7yTc
4rB71fREhO+2N0/lvrtjj7xsF2kUEp829K84nFEojJOO3t4u7BYGdtch1nyeIqZ1yakM/c/CSx1P
Xuci7Ru4aLwnY5dlsuuf/gIAAP//AwCg03oZBAMAAA==

--===============0657281041604779379==--

類似の、googleからのもの。

X-Mozilla-Status: 0001
X-Mozilla-Status2: 00000000
Return-Path: <noreply-dmarc-support@google.com>
X-Spam-Checker-Version: SpamAssassin 3.4.0 (2014-02-07) on ＊＊＊.xserver.jp
X-Spam-Level: 
X-Spam-Status: No, score=-13.5 required=30.0 tests=DATE_IN_PAST_06_12,
	DKIMWL_WL_MED,DKIM_SIGNED,DKIM_VALID,DKIM_VALID_AU,ENV_AND_HDR_SPF_MATCH,
	SPF_HELO_NONE,SPF_PASS,TVD_SPACE_RATIO,URIBL_BLOCKED,
	URIBL_DBL_BLOCKED_OPENDNS,URIBL_ZEN_BLOCKED_OPENDNS,USER_IN_DEF_DKIM_WL,
	USER_IN_DEF_SPF_WL,X_NONJAPANESE_SUBJECT autolearn=no autolearn_force=no
	version=3.4.0
X-Spam-CMAuthority: v=2.4 cv=UZQDS7SN c=1 sm=1 tr=0 ts=68f0d3d6
	a=Fqz2ctiUAAAA:8 a=1XWaLZrsAAAA:8 a=x6icFKpwvdMA:10 a=3vObA125-ToA:10
	a=flsTg8gXeVLoRtu52pQA:9 a=IKIoO-ieCDEA:10 a=wDOl-8IaFK0A:10
	a=Yy2xoct6d_2ZlxTvqP-Z:22 a=2GJp8AGDeS-V4P2SbgYv:22
Delivered-To: ＊＊@＊＊＊.com
X-Virus-Status: scanned (With Secure/Atlant/virusgw12107.xserver.jp/)
Received: from mail-qv1-f73.google.com (mail-qv1-f73.google.com [209.85.219.73])
	by ＊＊＊.xserver.jp (Postfix) with ESMTPS id F33BE2811D7AFD
	for <＊＊＊@＊＊＊.com>; Thu, 16 Oct 2025 20:15:33 +0900 (JST)
Authentication-Results: ＊＊＊.xserver.jp;
	dkim=pass header.d=google.com header.s=20230601 header.b=YRAEr3n5;
	spf=pass (＊＊＊＊.xserver.jp: domain of noreply-dmarc-support@google.com designates 209.85.219.73 as permitted sender) smtp.mailfrom=noreply-dmarc-support@google.com;
	dmarc=pass (policy=reject) header.from=google.com
ARC-Message-Signature: i=1; a=rsa-sha256; c=relaxed/relaxed; d=＊＊.com;
	s=default; t=1760613334;
	h=from:from:sender:reply-to:subject:subject:date:date:
	 message-id:message-id:to:to:cc:mime-version:mime-version:
	 content-type:content-type:
	 content-transfer-encoding:content-transfer-encoding:in-reply-to:
	 references:dkim-signature; bh=JQF0fljcxSuoRS124ENe3cCdw4WeLzoayaVg3d1sVu8=;
	b=EgDtYvv5nZU2cpPezn5cfHsnBhIFJLX1csaOBAfa0LwSi3Os2Biaoxx3Mkme4kKO6qTboV
	7AGSE/6wSUf/NDQSoTAyK2/2WK8d4mF628fVJ+2bfNnDvqdVoRHQKXEA+lCOEPpY+c3/Ul
	bXM8diD9TT

コメントを残す

メールアドレスが公開されることはありません。 ※ が付いている欄は必須項目です