メール認証済みでも本物とは限らない：選挙関連メールについて有権者が知っておくべきこと

選挙シーズンには、デジタルコミュニケーションが急増します。候補者は有権者に対して、寄付、ボランティア活動への参加、イベントへの出席、署名活動への協力、情報の共有などを呼びかけます。

しかし、政治関連のメールを信頼する前に、受信者は実際には次の二つの異なる問いに答える必要があることを理解しておくべきです。

このメールは、送信元として表示されているドメインから本当に送信されたものなのか？

そして、もう一つは次の問いです。

そのドメインは、自分が想定している候補者のものなのか？

この二つは同じ問いのように聞こえるかもしれませんが、実際には異なります。

認証：このメールは本当にこのドメインから送信されたものなのか？

これは単なる理論上の懸念ではありません。

当社が実施した2026年の選挙に関する調査では、選挙運動を行う陣営が、有権者、寄付者、支持者に送信するメールをどの程度適切に保護しているかを把握するため、米国全50州の政治家候補者の選挙運動に使用されている3,756件のドメインを調査しました。

その結果、重大な問題が明らかになりました。調査対象となった選挙運動用ドメインの約10件中8件で、DMARCの強制適用が有効になっていなかったのです。DMARCは、犯罪者が正規のドメインを直接なりすますことを困難にするためのメールセキュリティ標準です。正式名称はDomain-based Message Authentication, Reporting and Conformance（ドメインベースのメッセージ認証、レポート、および適合性）です。

一般のメール利用者にとって、この仕組みを難しく考える必要はありません。

DMARCは、組織がメールプロバイダーに対して、「当社のドメインを使用してメールを送信することを許可されているのはこれらのシステムであり、認証チェックに失敗したメッセージは配信しないでください」と伝えるための仕組みだと考えてください。

例えば、架空の候補者がjanedoe2026.comというドメインを所有し、DMARCを適切に強制適用している場合、第三者がjanedoe2026.comから送信されたように偽装したメールを送ることは、はるかに難しくなります。

ただし、一般のメール利用者は、通常、DMARCがバックグラウンドで機能している様子を確認することはできません。

目に見える信頼性の指標の一つとして、Gmailなどのメールサービスの受信トレイで、認証されたメッセージの横に表示される検証済みロゴがあります。厳格なメール認証要件を満たす組織は、BIMIとマーク証明書を使用して、対応するメールサービスの受信トレイに検証済みロゴを表示できます。

メール利用者にとって、見覚えのある検証済みロゴが表示されることは、信頼性を判断するためのもう一つの有用な手がかりとなります。

しかし、ロゴもDMARCと同様に、すべての疑問に答えられるわけではありません。

アイデンティティ：これは本当に正規の選挙運動なのか？

Jane Doe氏の正式な選挙運動が、janedoe2026.comというドメインを使用しているとします。

第三者がjanedoeforgovernor.comのような本物らしい別のドメインを登録し、プロフェッショナルな外観のウェブサイトを作成して、その新しいドメインから送信するメールを適切に認証することも可能です。

この場合、DMARCは完全に正常に機能している可能性があります。

janedoeforgovernor.comから送信されたメールは、実際にjanedoeforgovernor.comから送信されたものだからです。

問題は、そのドメインが実際にはJane Doe氏の選挙運動に属していない可能性があることです。

これが、認証とアイデンティティの違いです。

認証では、次のことを確認します。

このメッセージは本当にこのドメインから送信されたものなのか？

一方、アイデンティティでは、次のことを確認します。

実際にこのドメインを運営しているのは誰なのか？

メール利用者には、この両方の答えが必要です。

寄付、個人情報の提供、その他の重要な行動を伴う政治関連のコミュニケーションでは、メールで受信したリンクだけを信用するのではなく、州の選挙管理当局や連邦選挙記録などの信頼できる情報源を通じて、候補者の公式ウェブサイトを独自に確認する必要があります。

正しい候補者を見分けるのは、いつも簡単だと思いますか？

2026年のアラスカ州の米国上院議員選挙で見られる、実際の興味深い例を考えてみましょう。

現在、ほぼ同じ名前を持つ二人の正規の候補者、Dan S. Sullivan氏とDaniel J. Sullivan Jr.氏が、同じ上院議席を争っています。

二人とも実在する人物であり、正式な候補者です。また、それぞれ独自の選挙運動用ウェブサイトを持っています。

有権者が「Dan Sullivan for Senate」と検索した場合、偽のウェブサイトが存在しなくても、候補者のアイデンティティを取り違える可能性があります。

メール認証は、特定のメッセージがどのドメインから送信されたかを確認するのに役立ちます。

しかし、それだけでは、有権者が探していたのがどちらのDan Sullivan氏なのかを判断することはできません。

デジタルトラストを構成する二つの要素

これが、今回の選挙シーズンにおいて、一般のメール利用者が理解しておくべき重要なポイントです。

認証はメッセージの送信元を確認するのに役立ち、アイデンティティはその背後に実際に誰がいるのかを確認するのに役立ちます。

選挙運動を行う陣営には、DMARCなどの標準を使用して正規のドメインを保護し、なりすましや類似ドメインを監視する責任があります。

一般のメール利用者にも果たすべき役割があります。予期しない政治関連のメールを受信した場合、寄付を行ったり、個人情報を共有したり、メールの指示に従って行動したりする前に、そのドメインが本当に意図した候補者のものであることを確認してください。

認証とアイデンティティのどちらか一方だけでは、問題全体を解決することはできません。

この二つが組み合わさることで、デジタルトラストを支える不可欠な要素となるのです。