最近、まとめて何通も送られてくる謎メールを解析してみた。 サンプルのメッセージソースは下に張り付けました。
GPTの解析結果はつぎ。
とても良い観察です。 この2通目(noreply-dmarc-support@google.com からのもの)は、 先ほどの「dmarc25.jp」メールとはまったく性質が異なります 。
✅ 結論から言うと
こちらは本物のGoogleから送信されたDMARC集計レポートメールです。 偽装スパムではありません。安全です。 ただし、開封や解析は不要 で、そのまま削除して問題ありません。
🔍 技術解析(要点)
項目 値 評価 Return-Path <noreply-dmarc-support@google.com>Google公式ドメイン 送信サーバー mail-qv1-f73.google.com [209.85.219.73]正規のGoogleメールサーバー SPF passGoogleのサーバーが正しく認証 DKIM pass (header.d=google.com)Google公式署名あり DMARC pass (policy=reject)Googleのポリシーが適用済み 件名/本文構成 DMARCレポート(XML添付)形式 DMARC集計通知として正常 スパムスコア score=-13.5(極めて低い)SpamAssassinが「安全」と判定
📄 どういうメールか?
あなたのドメインを名乗るメールが世界中でどう扱われたかを、 Gmailが自動でまとめて送信してくれる「DMARC Aggregate Report(集計レポート) 」です。
送信元:noreply-dmarc-support@google.com
添付ファイル名は通常:
google.com!***.***!<日付範囲>!<識別ID>.xml.gz
中には XML 形式で次のようなデータが入っています:
<feedback>
<report_metadata>
<org_name>Google Inc.</org_name>
<email>noreply-dmarc-support@google.com</email>
<report_id>...</report_id>
</report_metadata>
<policy_published>
<domain>***.***</domain>
<p>none</p>
</policy_published>
...
</feedback>
🚫 「dmarc25.jp」との違い
比較項目 Google(今回) dmarc25.jp(前回) ドメイン google.com dmarc25.jp (偽装)送信元IP 209.85.xxx(Google公式) 59.106.xxx(GMO共用) DKIM署名 header.d=google.comheader.d=dmarc25.jpSPF結果 pass pass(だが独自ドメイン) 内容 正規のDMARCレポート DMARCレポート風スパム 対応 放置・削除OK 受信拒否推奨
💡 今後のおすすめ運用
もしあなたのドメインで DMARCを設定済みであれば、世界中の主要メールサーバー(Google、Microsoft、Yahoo!など)が 定期的にレポート(XML.gz)を送ってきます。
これらは通常:
安全(ただし開かなくてよい)
内容は認証統計(なりすまし対策用)
保存・放置しても問題なし
必要な場合のみ解析する
もし「自社ドメインのなりすまし状況を把握したい」場合、 以下のような無料ツールでレポートをまとめて可視化できます:
✳️ まとめ
種類 ドメイン 正体 対応 @google.comGoogle正規サーバー 正規DMARCレポート 放置・削除OK @dmarc25.jp偽装(docomo風) DMARCレポート風スパム 受信拒否・開封禁止
以下は「偽DMARCレポート 」と「正規レポート 」の処置方法案
処置方針まとめ
レポート種別 特徴 推奨処置 コメント 偽DMARCレポート 差出人偽装、怪しい添付・リンクの可能性 拒否 or 破棄 SPF/DKIM fail、差出元不明なIPが多い場合は偽と判断可 正規DMARCレポート 正規送信サーバーから、XML形式で集計 破棄(中身を見ない場合) 受信が煩雑な場合は破棄でOK 正規DMARCレポート 正規送信サーバーから 解析(中身を見る場合) 偽装メール検出、送信経路確認、DMARC強化判断、監査目的で利用可能
正規レポートを解析するケース
自ドメインの偽装・スプーフィングの有無確認
外部IPから SPF/DKIM fail があれば偽装メールあり
対応策:SPF/DKIM/DMARC強化、受信者への注意喚起
メール送信経路の確認
自社送信サーバーの SPF/DKIM/MX 設定が正しいか確認
DMARCポリシー強化の判断材料
p=none → p=quarantine → p=reject の段階的運用
p=reject で偽装メールは受信者サーバーで自動的に破棄される
セキュリティ監査・リスク管理
運用上の具体例
偽DMARCレポート :メールサーバーで「SPF/DKIM fail」「差出元不明IP」の場合、自動破棄
正規DMARCレポート :受信は継続
中身を見ない場合:迷惑メール振り分けで破棄
中身を解析する場合:XMLを専用ツール(dmarcianなど)に取り込み、送信状況を監視
まったく別観点からの対処案
このメールは、DMARCレポートは 送信されるメール自体ではなく、受信側サーバーが作成する通知 です。よって 通常の個人宛メールのように偶然届くものではなく、ドメイン管理者宛に体系的に届くもの です。もしレポートを受け取りたくない場合は、DMARC TXTレコードから rua / ruf を削除する(rua/rufフィールドを空にする)ことで送信先をなくせます。 ⇒当ドメインでは、 ”DMARCポリシー設定は不正「メールを配送しない」”、 ”通知を停止”、に設定変更しました。 まずはこれで、検証してみます。
dmarc25 からのほぼスパム
X-Mozilla-Status: 0001 X-Mozilla-Status2: 10000000 X-Mozilla-Keys: Return-Path: <docomoreport-bounceback@dmarc25.jp> X-Spam-Checker-Version: SpamAssassin 3.4.0 (2014-02-07) on *** ****.xserver.jp X-Spam-Level: X-Spam-Status: No, score=0.9 required=30.0 tests=DKIM_SIGNED,DKIM_VALID, DKIM_VALID_AU,SPF_HELO_NONE,SPF_PASS,TVD_SPACE_RATIO,URIBL_BLOCKED, URIBL_DBL_BLOCKED_OPENDNS,URIBL_ZEN_BLOCKED_OPENDNS,X_NONJAPANESE_SUBJECT autolearn=no autolearn_force=no version=3.4.0 X-Spam-CMAuthority: v=2.4 cv=UZQDS7SN c=1 sm=1 tr=0 ts=6901a979 a=4nyRffA/pZpJxf3jz/ccCw==:17 a=x6icFKpwvdMA:10 a=z2Y1GidkDKYA:10 a=tclcd6dtLQvEqt9_mmAA:9 a=CjuIK1q_8ugA:10 a=4Hp3Za8rNZdGw2VEeB8A:9 a=49ladYHvHUoA:10 Delivered-To: **@****.or.jp X-Virus-Status: scanned (With Secure/Atlant/virusgw12107.xserver.jp/) Received: from mta01d.dmarc25.jp (mta01d.dmarc25.jp [59.106.216.209]) by ***.xserver.jp (Postfix) with ESMTPS id 457AD281968215 for <**@***.or.jp>; Wed, 29 Oct 2025 14:43:21 +0900 (JST) Authentication-Results: ****.xserver.jp; dkim=pass header.d=dmarc25.jp header.s=mta202206r header.b=goEzNkAQ; spf=pass (***.xserver.jp: domain of docomoreport-bounceback@dmarc25.jp designates 59.106.216.209 as permitted sender) smtp.mailfrom=docomoreport-bounceback@dmarc25.jp; dmarc=pass (policy=reject) header.from=dmarc25.jp ARC-Message-Signature: i=1; a=rsa-sha256; c=relaxed/relaxed; d=****.or.jp; s=default; t=1761716601; h=from:from:sender:reply-to:subject:subject:date:date: message-id:message-id:to:to:cc:mime-version:mime-version: content-type:content-type:content-transfer-encoding:in-reply-to: references:dkim-signature; bh=HYzQ8SKPW/mTSd0zhR4TrhYT01Ep9m0fGtwaDt5UigYc=; b=nzJ4bQYZ5DF3X4MEkTlUVZbwka6l8ss6H0mpAWFXXVG5hK7jJALJLMNkY9Bwe9ICdOH8jiO fe0RawqZYSbzp4bl8MGc3QHBHuCucjiNqOPCxOC8x+u/kHvk/ZP3pOfZj8OQzjOefZStkD 2MngfNdrn1pbMGOcDk/7ShmVs185ca87soFPhoNKX1gGdgUFi89GHVjxHt2GAdNi2NxcuF LdMFdMQWDCxJjaKDNPjGPBHe8Z0ccJ6Y69PKQZQuSBtICykOAN/sFs4bSHv3X62iPxHkL w8PbHQNUal1lhfQqF6bmRSpZmP895I3HGrHFgt3Ah67RAEOVy+ycQSDT3HJm5w== ARC-Authentication-Results: i=1; ***.xserver.jp; dkim=pass header.d=dmarc25.jp header.s=mta202206r header.b=goEzNkAQ; spf=pass (***.xserver.jp: domain of docomoreport-bounceback@dmarc25.jp designates 59.106.216.209 as permitted sender) smtp.mailfrom=docomoreport-bounceback@dmarc25.jp; dmarc=pass (policy=reject) header.from=dmarc25.jp ARC-Seal: i=1; s=default; d=**.or.jp; t=1761716601; a=rsa-sha256; cv=none; b=KHep4fsgpeT1mhiFdziq/LgRb39yMdlYqoIuK8evM2vbafKp4rVAVO2P9Ey81khMzF/Z4r crd7YKwrIlvBUyp1XRE6nB76hDQCRbDgNOsZ1+KBNM85SN5PUMA+9qeTAJwx8wd9Sa43sQ nv6aAssOakDL/4S2e0IsUsYb9Tur/At0oK7kaJbnQX+Yd/1wFZmkjiRfuT1YUHdrShYu8W sOCIt15QbELfWumXp1pVbuVRBe4dXprMgan6eTe40VO7fjiI1d1pWRInuZ0WWXgWhnmhJ5 aO8L9L1Z89aGWAg13w8Txyb/BHyzZ7jTBzn9S8pgswKLm5f45xe3vy9VbNphqg== Received: from [153.125.224.196] (unknown [172.16.0.99]) by dmarc25docomomta-01.dmarc25.jp (Postfix) with ESMTPSA id 0CB56A3808 for <***@**.or.jp>; Wed, 29 Oct 2025 14:43:21 +0900 (JST) DKIM-Filter: OpenDKIM Filter v2.11.0 dmarc25docomomta-01.dmarc25.jp 0CB56A3808 DKIM-Signature: v=1; a=rsa-sha256; c=relaxed/relaxed; d=dmarc25.jp; s=mta202206r; t=1761716601; bh=HYzQ8SKPW/mTSd0zhR4TrhYT1Ep9m0fGtwaDt5UigYc=; h=Subject:From:Date:To:From; b=goEzNkAQSdNEHFDF/aEqbsVYzSORdKoSo/d/3Lw52R7VhzSWm7Ahd/6vIs1jZLlG QYmoT7MjAoWtqlIl9xTIJ2z4GI86LvS3uiF+GTbVn3aHTrcPLbP55UZHaLkoLilBxP V6y5RnKXLBP8RPz56Ch0m0RFUxKoNn7EPRGrphRn7lJbyUXf1/Lwt0ADB2QKOjGva5 5gKAz2hLBB22lU8lOr7hhxvj5xyLr+x/R79IMNvOfnfkctau4xK7Ej4az7OQ5G0iyG jseEZ7jhZkeEbVyFJBpitFgQ2fdY8Tc+MpM4Su2dNTLD+rGt272FQoL81es+ArG0+f lAF0H6nv+XpHQ== Content-Type: multipart/mixed; boundary="===============0657281041604779379==" MIME-Version: 1.0 Subject: Report Domain: ***.or.jp Submitter: docomo.ne.jp Report-ID: <0579b07583e429af1ed1a5fe567b58c8> From: "docomo.ne.jp by DMARC/25" <reporting@dmarc25.jp> Date: Wed, 29 Oct 2025 05:43:21 -0000 To: ***@**.or.jp TLS-Required: No Message-ID: <0579b07583e429af1ed1a5fe567b58c8.d074edf066b753a93afbc05bd4df0c91e7b0b70d.dcmdb-11@docomomta.dmarc25.jp> X-Dmarc25-Report-Info: d074edf066b753a93afbc05bd4df0c91e7b0b70d X-Dmarc25-BounceBack-Forward-To: docomoreport-bounceback@dmarc25.jp XSRV-Filter: ***@**.or.jp --===============0657281041604779379== Content-Type: text/plain; charset="us-ascii" MIME-Version: 1.0 Content-Transfer-Encoding: 7bit --===============0657281041604779379== Content-Type: application/gzip MIME-Version: 1.0 Content-Transfer-Encoding: base64 Content-Disposition: attachment; filename="docomo.ne.jp!**.or.jp!1761609600!1761695999!079b07583e429af1ed1a5fe567b58c8.xml.gz" H4sICHmpAWkC/2RvY29tby5uZS5qcCFtaWMub3IuanAhMTc2MTYwOTYwMCExNzYxNjk1OTk5ITA1 NzliMDc1ODNlNDI5YWYxZWQxYTVmZTU2N2I1OGM4LnhtbAB8Utty4yAM/ZVO3tfY6fo2o9L9Ew8G kbA1lwLubv++smmyyWRmnxBH0tE5Anj9a5enD4zJePdyaKr68IROemXc6eWwZv1jOLxy0IhqFvKN Q8TgY54sZqFEFhx8PE1OWOTKS2995bD6HYBdYUArzMJLH7H+UlZEeWz3qpK7kBrF67Yf57pvh2f8 eRyFblA1otXYdv3cDnIA9q8WSABOUbgTTZnxZBxv+q7p6rGra2AFAXSqwGM7jiONpDuw21b24Cn4xcjPKazzYtIZqUGoN25BFYCUJ6UO26NrHzcrXwjIFLQe+F2QuDvq6A55ByBBQJk5s0mbwsg3efp SomH4RGlj9vp/1CLX6PEyQSi6aqmea6Ox6Eae+q+ZkD61dEcYCW4GMIPsazkfNudScEnk+nZ7yTc 4rB71fREhO+2N0/lvrtjj7xsF2kUEp829K84nFEojJOO3t4u7BYGdtch1nyeIqZ1yakM/c/CSx1P Xuci7Ru4aLwnY5dlsuuf/gIAAP//AwCg03oZBAMAAA== --===============0657281041604779379==--
類似の、googleからのもの。
X-Mozilla-Status: 0001 X-Mozilla-Status2: 00000000 Return-Path: <noreply-dmarc-support@google.com> X-Spam-Checker-Version: SpamAssassin 3.4.0 (2014-02-07) on ***.xserver.jp X-Spam-Level: X-Spam-Status: No, score=-13.5 required=30.0 tests=DATE_IN_PAST_06_12, DKIMWL_WL_MED,DKIM_SIGNED,DKIM_VALID,DKIM_VALID_AU,ENV_AND_HDR_SPF_MATCH, SPF_HELO_NONE,SPF_PASS,TVD_SPACE_RATIO,URIBL_BLOCKED, URIBL_DBL_BLOCKED_OPENDNS,URIBL_ZEN_BLOCKED_OPENDNS,USER_IN_DEF_DKIM_WL, USER_IN_DEF_SPF_WL,X_NONJAPANESE_SUBJECT autolearn=no autolearn_force=no version=3.4.0 X-Spam-CMAuthority: v=2.4 cv=UZQDS7SN c=1 sm=1 tr=0 ts=68f0d3d6 a=Fqz2ctiUAAAA:8 a=1XWaLZrsAAAA:8 a=x6icFKpwvdMA:10 a=3vObA125-ToA:10 a=flsTg8gXeVLoRtu52pQA:9 a=IKIoO-ieCDEA:10 a=wDOl-8IaFK0A:10 a=Yy2xoct6d_2ZlxTvqP-Z:22 a=2GJp8AGDeS-V4P2SbgYv:22 Delivered-To: **@***.com X-Virus-Status: scanned (With Secure/Atlant/virusgw12107.xserver.jp/) Received: from mail-qv1-f73.google.com (mail-qv1-f73.google.com [209.85.219.73]) by ***.xserver.jp (Postfix) with ESMTPS id F33BE2811D7AFD for <***@***.com>; Thu, 16 Oct 2025 20:15:33 +0900 (JST) Authentication-Results: ***.xserver.jp; dkim=pass header.d=google.com header.s=20230601 header.b=YRAEr3n5; spf=pass (****.xserver.jp: domain of noreply-dmarc-support@google.com designates 209.85.219.73 as permitted sender) smtp.mailfrom=noreply-dmarc-support@google.com; dmarc=pass (policy=reject) header.from=google.com ARC-Message-Signature: i=1; a=rsa-sha256; c=relaxed/relaxed; d=**.com; s=default; t=1760613334; h=from:from:sender:reply-to:subject:subject:date:date: message-id:message-id:to:to:cc:mime-version:mime-version: content-type:content-type: content-transfer-encoding:content-transfer-encoding:in-reply-to: references:dkim-signature; bh=JQF0fljcxSuoRS124ENe3cCdw4WeLzoayaVg3d1sVu8=; b=EgDtYvv5nZU2cpPezn5cfHsnBhIFJLX1csaOBAfa0LwSi3Os2Biaoxx3Mkme4kKO6qTboV 7AGSE/6wSUf/NDQSoTAyK2/2WK8d4mF628fVJ+2bfNnDvqdVoRHQKXEA+lCOEPpY+c3/Ul bXM8diD9TT