建設・不動産業界向けソリューション

高額取引の業界だからこそ、メールと請求書が狙われる

工事代金、決済金、敷金・保証金。
高額かつメール中心で動くこの業界の商流は、振込先変更を装うビジネスメール詐欺（BEC）の主要な標的です。
被害が起きたとき、「送信ドメイン認証を整備していたか」は、施主・協力会社への説明責任の分水嶺になります。
また、元請・ゼネコンからのセキュリティチェックシートによる協力会社評価は、この業界にも定着しつつあります。
Spelldataは、ご提案の際に、各ソリューションがこれらの評価のどの項目（送信ドメイン認証、アクセス制御、可用性管理など）の裏付けになるかを整理してお示しします。
導入支援・技術サポートはすべて国内で内製し、再委託を行わないため、委託先管理の観点でも評価が容易です。

6つの防御層

メールの入口からネットワークの深部まで、6つの層で建設・不動産のインフラを防御します。

第1層：振込先変更詐欺（BEC）となりすましの遮断（DMARC / BIMI）

「振込先口座が変更になりました」。
貴社を騙るこの一通が、施主の決済金や協力会社への支払いを、攻撃者の口座に振り込ませます。
入居者への偽の家賃請求、偽の更新料案内も同じ構造です。
「電話で確認してください」という運用ルールは重要ですが、それだけに頼らず、技術的に「偽物を届かなくする」対策が必要です。
MailData (PowerDMARC)により、DMARCポリシーの「p=reject（拒否）」への移行を支援します。
DMARC（RFC 9989、2026年5月に旧RFC 7489を置き換えた最新仕様）は、貴社の正規ドメインおよびそのサブドメインを直接騙るなりすましメールを認証で判別し、受信箱に届く前に排除します。
一方、仕様上、類似ドメイン（cousin domain）や表示名の偽装はDMARCの対象外であり、振込先確認の二経路ルール（書面と電話）との併用が前提です。
そこでBIMIとVMC（認証マーク証明書）を組み合わせ、GmailやApple Mailなどの対応環境で正規メールにのみブランドロゴを表示させ、施主・入居者が「本物の連絡」を視覚的に識別できる手段を提供します。

第2層：TLS証明書「47日ルール」と物件サイトの防御的管理

TLS証明書の手動運用は、2029年に破綻します。
CA/Browser Forumの決定（Ballot SC-081）により、証明書の最大有効期間は2026年3月から200日、2027年3月から100日、2029年3月15日以降は47日へと段階的に短縮されます。
ドメイン認証情報の再利用期間も最終的に10日まで短縮されるため、47日時代には証明書1枚あたり年8回前後の更新が必要になります。
コーポレートサイト、分譲プロジェクトごとの物件公式サイト、賃貸ブランド、展示場予約と、この業界のサイトとドメインはプロジェクト単位で増え続け、更新漏れの1枚が販売中の物件サイトの停止として表面化します。
世界標準のDigiCertにより、ACMEによる発行・更新の自動化と、棚卸し・期限監視を含む証明書ライフサイクル管理を導入し、短縮スケジュールに耐える運用体制を構築します。
あわせて、完売・竣工後の物件ドメインの出口管理も重要です。
役目を終えたドメインを手放すと第三者に取得され悪用され得るため、登録を保持した上で、SPFの「-all」、DMARCの「p=reject」、null MXによる「送信しないドメインの防御」を設定し、なりすましへの悪用を技術的に封じることを提案します。

第3層：公開サイトのDDoS防御とDNSの保護

広告出稿やテレビ露出の直後のアクセス集中も、悪意あるDDoSも、オリジンサーバから見れば同じ「集中」です。
広告費を投じて集めたアクセスを、その瞬間のダウンで空振りにしてはなりません。
CloudflareとGcoreの大規模エッジネットワークで、正当なアクセス集中はキャッシュで吸収して反響に変え、悪意あるトラフィックは排除して、集客の山場でもサイトを継続させます。
オリジンサーバのIPアドレスを隠蔽し、エッジを迂回した直接攻撃の的も消します。
DNSSEC（RFC 4033～RFC 4035）によりDNS応答に電子署名を付与し、検証を行うリゾルバーを経由した名前解決で、応答の改ざんを検出できるようにします。
DNSSECが提供するのはDNSデータの出所認証と完全性保証であり、DoS対策や通信の秘匿は提供しません。
レジストラ経由のドメイン乗っ取りに対しては、レジストリロックの併用を提案します。

第4層：実ユーザー視点の品質監視（反響サイトと現場・支店間通信）

「データセンターの監視モニターは正常だが、顧客からは繋がらない」。
このような乖離は、ISPやキャリア網の障害で頻繁に起こります。
物件探しはモバイルが主戦場であり、キャリア網の品質が反響数を左右します。
SpeedDataは、全国7都市（札幌・仙台・新潟・東京・名古屋・大阪・福岡）の計測センターから、実際の顧客が使う回線（NTT/KDDIの固定回線、4キャリアの5G回線）で24時間365日計測します。
データセンター内部からではなく、顧客と同じ経路で観測するため、キャリア網やISPに起因する障害も検知できます。
監視の対象は、公開サイトだけではありません。
本社と支店・住宅展示場・現場事務所の間の通信も、拠点内に計測ノードを設置することで、経路・遅延・損失を常時計測できます。
基幹システムや図面共有への拠点からのアクセス品質を定量化し、「現場から遅い」という体感を、拠点側・回線・センター側のどこに原因があるのか実測データで切り分けます。
計測値は平均値ではなくパーセンタイルで管理し、遅延の分布と外れ値を統計的に分析することで、一時的な揺らぎと恒常的な品質劣化を切り分けます。
反響の取りこぼしが起きてから気づくのではなく、劣化の兆候の段階で先回りして対処する運用を実現します。

第5層：表示速度のSLA保証と物件写真の最適化（Web高速化）

物件検索、間取りと写真の閲覧、来場予約・資料請求フォーム。
表示速度は、離脱率・反響数、そしてCore Web Vitalsを通じた検索流入に直結する、ポータル依存から自社集客へ転換するための土台そのものです。
「速くなったはず」という感覚ではなく、計測データで保証された速度が必要です。
PerfDataは、サーバの計算処理、ネットワーク処理、フロントエンド処理まで包括し、全体最適化でWebサイトやWebアプリケーションを高速化します。
中核となるのは計算処理の高速化です。
計算量の削減、計算処理の並列化、処理順序の変更によって計算待ち時間そのものを減らすため、設定変更にとどまる一般的な高速化とは到達点が異なります。
物件写真が主役のこの業界では、画像の内容に応じた最適化処理により、画質を保ったまま高解像度の物件写真のデータサイズを大幅に抑え、転送量・表示時間・モバイルでの離脱を同時に削ります。
表示開始0.5秒以内、表示完了1秒以内を98パーセンタイルで達成し、この品質を契約上のSLAとして保証します。
達成状況は第4層の実測データで継続的に検証するため、導入後の品質劣化も見逃しません。

第6層：現場・協力会社接続の統制（攻撃対象領域の最小化）

図面・BIMデータ、見積・原価管理、顧客情報。
これらを扱う社内システムは、そもそもインターネットに公開する必要がありません。
Tailscaleを導入し、外部へのポート開放を不要にします。
認証されたデバイス以外からはサービスに到達できず、ポートスキャンでも発見されないため、攻撃対象領域を大幅に縮小します。
支店・住宅展示場・現場事務所との接続も、設計事務所や協力会社との図面共有も、相互のネットワーク全体を晒すことなく、「どの会社が、どのプロジェクトのデータに到達できるか」をACLで制御した上で行えます。
現場写真のアップロードも同じ構成で守れます。
位置情報や工程の進捗を含む現場写真を、インターネットに公開しない写真サーバへ、現場の端末から暗号化された経路で直接アップロードする基盤を構築できます。
納品用の工事写真は原本のまま保全し、社内共有用には最適化した派生版を自動生成する、写真管理基準を踏まえた二系統の設計で提案します。
プロジェクトの終了とともにアクセス権を確実に閉じられることは、協力会社の入れ替わりが激しいこの業界で特に重要です。
現場カメラやIoT機器のようにデバイス数が人数を上回る環境には、デバイス単位の契約体系（Edge & IoT）で、規模に見合ったコストで展開できます。
SSHも例外ではなく、Tailscale SSHによりSSHポートの公開と公開鍵の配布・管理を廃止し、tailnetのデバイス認証とアクセス制御に一元化できます。
Enterpriseプランでは、特権アクセスのSSHセッションを録画して監査証跡として保存でき、元請からのセキュリティ評価にも、統制の実装として示せます。
第3層のエッジ防御と組み合わせることで、「公開資産はエッジで吸収し、非公開資産は隠蔽する」という二層の防御を構成します。

建設・不動産業界での導入実績

Spelldataは、大手企業を中心に350社以上へサービスを提供してきました。
そのうち、建設・不動産・住宅業界のご契約実績は13社です（2026年8月10日時点）。

この業界で一番ご導入頂いているサービスは、DMARC分析サービスの「MailData」です。
早期にp=rejectを達成し、BIMI・VMCの実装まで到達した支援実績を多数持つことが、弊社の強みです。

メール認証は「推奨」から「送信者要件」へ

資料請求への返信、来場予約の確認、入居者・オーナーへの通知。
顧客への配信を日常的に行う建設・不動産事業者も、メール送信者要件の当事者です。
Gmailはメール送信者のガイドラインで、2024年2月1日以降、1日5,000件を超える送信者にSPF・DKIM両方の設定とDMARCの設定を必須化しました。
Outlookも2025年5月5日から、1日5,000通以上の送信者に同様の要件の適用を開始しています。
さらに総務省は「フィッシングメール対策の強化に関する要請」（2025年9月）で、電気通信事業者に対してDMARCポリシーに基づく処理（隔離・拒否）の設定を求めており、受信側のメールインフラは認証されないメールの排除へと動いています。
要件を満たさなければ、なりすまされる前に、まず貴社の反響への返信が見込み客に届かなくなります。
BIMIでブランドロゴを表示するには、DMARCを強制ポリシー（quarantineまたはreject）まで引き上げることが仕様上の要件であり、なりすましメールを受信箱に届けない実効性を持つのはp=rejectです。

DMARC分析は、DNSレコードと受信側から届くレポートの分析で完結します。
基幹システムには一切触れず、既存ベンダーとの契約関係にも影響しないため、単独のサービスとして契約できます。
まずはDMARC分析から、弊社の実力を確認してください。