2017年6月26日8:00
電子メール関連のシステム・サービスを提供するTwoFiveでは、沈静する気配のない企業・団体になりすました不正メール被害の撲滅を目指し、「DMARC/25」を提供することを発表。その第一弾として、なりすまし対策に有効とされるDMARCレポートを集計・可視化するクラウドサービス「DMARC/25 Analyze」をリリースした。また、なりすましメールの脅威やその対策への理解を広めるために、ポータルサイト「ナリタイ」を新設し、エンドユーザーと企業の双方に対して有用な情報を発信している。同社ではこれらのサービス開始の背景や内容について説明する記者発表会を、6月21日に開催した。
DMARCレポートを集計・可視化することにより
“なりすましメール”への適切な対応をサポート
昨今の不正プログラム侵入経路の97.6％がメールであり、そのほとんどが、なりすましメールと言われている。これへの有効な対策として、IPアドレスに基づくSPF（Sender Policy Framework）と電子署名に基づくDKIM（Domain Keys Identified Mail）の2つの方法で、なりすましメールかどうかを認証するDMARC（Domain-based Message Authentication, Reporting & Conformance）という技術が登場した。
この技術を用い、送信側（ドメイン管理側）では、認証に失敗したメールをどう扱うべきか（動作を指定しない／none、隔離する／quarantine、拒否する／reject）のポリシーを設定し、不正メールを適切に判定、破棄することができる。また送信者は、ドメイン認証設定の正当性を確認し、配信したメールの状況を把握できるよう、受信側の認証結果をDMARCレポートとして受け取ることができる。
しかしDMARCレポートでは、多数のメール受信サーバーが24時間ごとに生成する膨大な情報がXML形式で提供されるため、読解には専門知識が必要だ。このたびTwoFiveが提供を開始したクラウドサービス「DMARC/25 Analyze」は、レポートの内容を集計してわかりやすく可視化し、送信者が認証状況を迅速・的確に判断するための支援をする。利用に当たってライセンスの購入や設備投資は不要で、簡単な設定のみですぐに使用を開始できるという。
提供される具体的な機能は、受信メールをなりすましの可能性の度合いによって分類する「なりすまし検知」、メールを送信したホストの情報をGUIでドリルダウンして表示する「送信ホストの解析」、検知した“なりすまし”に対して送信停止要求などの対応をとる「なりすまし検知アクション」など。
TwoFive 代表取締役の末政延浩氏は、「自社からのメールが相手にどのように届いているのかを把握することは、非常に重要です。DMARC/25を利用することによって、その全体的な状況を俯瞰することが可能になります」と語った。また末政氏は、2016年末から約10社でトライアルを行い、分析・改善を続けてきたことを報告。実施企業の好反応を得て、効果を実感していると、自信を見せた。
なお「DMARC/25」では、「DMARC/25 Analyze」に加え、送信ドメイン認証を利用可能にする「DMARC/25 Sender」、なりすましメール侵入防止のためにDMARC認証のフィルタリングを行う「DMARC/25 Defender」などを順次、リリースする予定だ。
なりすまし対策ポータルサイト「ナリタイ」を開設し
企業とユーザー双方の理解を深め、セキュリティ対策を促進
またTwoFiveでは、なりすましメール被害撲滅のための活動の一環として、なりすまし対策ポータルサイト「ナリタイ」を開設し、なりすましに関する各種情報を発信している。なりすましに関する理解を深め、企業のセキュリティ対策の導入、ユーザーの注意喚起を促すことが目的だ。
TwoFive 開発マネージャー 加瀬正樹氏は、「なりすましやフィッシングの被害が続発している大きな理由は、詐称されたメールやWEBサイトが非常に巧妙につくられており、一見して見分けがつかないため」であると指摘。そこで「ナリタイ」では、なりすましメールの実例を示しながら、なぜなりすましが起こるのかや、メールの仕組みなどの基礎的な知識をわかりやすく解説している。
また、なりすましへの対抗策である送信ドメイン認証（SPF、DKIM、DMARC）の設定方法について、メールサービス（Office365、Google Apps、Amazon SESなど）別に説明。さらに、自社メールシステムのドメイン名、IPアドレスを入力すれば、SPFの設定状況、RBL（DNSブラックリスト）の登録状況などを簡単に確認できる各種チェックツールを提供。法整備の状況、政府や業界団体の取り組み、社内法務部門に説明する場合の注意点なども紹介している。
企業・ブランドの信頼性を保持するために
なりすまし・フィッシング対策は必須の要件
記者発表会では、一般財団法人インターネット協会 迷惑メール対策委員会のメンバーである櫻庭秀次氏が登壇し、なりすまし被害の現状や、企業が注意すべき点について解説した。
櫻庭氏は冒頭で2017年1月から断続的に大量送信された、マイクロソフト社を騙ったフィッシングの事例を紹介。この例では、ドメイン認証に対応していないドメインが悪用された可能性が高く、「企業・ブランドの信頼性を毀損しないためには、対策をとることが必須です」と言及した。
DMARCの導入は、メールの受信側にとっても送信側にとってもメリットが大きいものの、普及はまだ十分に進んでいないのが実情。桜庭氏は、普及のためには、認知度を向上させること、導入企業がDMARCを正しく活用し、導入のメリットを享受することなどが必要であると述べた。
