シャドーITとその「所有者」の特定：日本におけるDMARC強制適用の最難関

日本のビジネスメールは、なりすましに対して特に脆弱です。日本のビジネスコミュニケーションは形式的で階層的、かつ役職を重んじるため、上位者を装った偽装メールは、通常の警戒を通り越すほどの重みを持ちます。攻撃者はこの点に着目しています。攻撃者の関心の移動と並行して、規制も厳格化してきました。証券業界団体は加盟各社にrejectポリシーを求め、総務省は通信事業者にquarantineまたはrejectを求め、金融庁は金融機関にDMARCを求め、NISCは政府機関に認証を求めています。Gmail、Yahoo、Microsoftは、認証されていない大量送信メールをすでにフィルタリングまたは拒否しています。監視のみのモードは、規制当局とメールボックスプロバイダーのいずれの期待も、もはや満たしません。

rejectポリシーへ安全に到達するために最も重要なことは、たった一つです。すべての正規送信元を、事前に把握し認証しておくことです。さもなければ、強制適用を有効にした瞬間にそのメールが遮断されてしまいます。この作業は2つに分かれます。1つ目は発見で、自社ドメインを名乗って送信しているすべてのクラウドサービス、マーケティングプラットフォーム、社内システムを洗い出します。2つ目は帰属の特定で、各サービスを申し込み、それが正規であると確認できる従業員またはチームを突き止めます。発見自体も容易ではありません。そして、プロジェクトを本当に停滞させるのは帰属の特定のほうです。送信元のIPアドレスは、大企業の中でどの部署がそれに責任を負っているのかを教えてくれないからです。よく用いられる代替手段は全社アンケートですが、誰も申し込んだ記憶のないシャドーITは、そこから漏れてしまいます。

標準的なDMARC監視は集約レポートを読み取ります。これは自社ドメインを名乗って送信したサーバーの一覧です。このレポートが示すのは受信者ではなく送信元であり、社内の所有者名まではたどり着きません。より詳しい失敗レポートが手がかりになり得ますが、大手メールボックスプロバイダーはプライバシー上の理由からこれを送信しないため、ほとんど入手できません。その結果、監視のみのツールは、未知のサービスが認証に失敗したことは示せても、それを持ち込んだ担当者への道筋までは示せません。手元に残るのはIPアドレスの羅列であり、どの事業部門に属するのかを推測するほかありません。

Valimailはこの問題を逆側から解決します。RUF+と呼ばれる特許取得済みの手法（米国特許 US 11,991,139）は、送信元IPに加えて、失敗しているサービスのメールを受け取っている社内の受信者を読み取ります。あるマーケティングプラットフォームが特定のチーム宛てに送信していれば、そのメールを受け取っている人々が、そのサービスを導入したグループを、ひいてはその所有者を直接指し示します。データはMailbox Connectorを通じて取得されます。これは、Microsoft 365またはGoogle Workspaceの受信メールのメタデータを、管理者の許可のもとで読み取る仕組みです。読み取る対象はヘッダーとメタデータのみで、メール本文には一切触れません。またAIに頼らず、決定論的でポリシーベースのモデルで動作します。アクセス範囲は接続したドメインに限定され、いつでも取り消せます。ValimailはSOC 2 Type 2を取得しており、FedRAMP認証を受けた唯一のDMARCベンダーです。その認証エンジンは個人データを一切保持しないため、APPI（個人情報保護法）の観点からも重要な意味を持ちます。

この組み合わせにより、従来は1ドメインあたり1〜2年を要していた作業が、おおむね45〜90日に短縮されます。Precision Sender Intelligenceは5,500を超えるサービスを名称で認識するため、未知のIPアドレスもSalesforce Marketing CloudやZendeskといった具体名として解決し、多くの場合は1通のサンプルだけで特定できます。サービスが確認できれば、ワンクリックで承認できます。発見・帰属特定・承認は、決して終わらない手作業のアンケートから、確実に完了する反復可能なプロセスへと変わります。これこそが、rejectポリシーを安全に有効化できるようにする鍵です。

シャドーITとは、セキュリティ部門が把握しないまま自社ドメインを名乗ってメールを送信しているクラウドサービスやアプリケーションのことです。たとえば、ある部門が独自に契約したマーケティングツールなどが該当します。DMARCにおいて重要なのは、ドメインをp=rejectへ移行する前に、こうした送信元をすべて発見し認証しておく必要があるためです。さもなければ、そのメールは遮断されます。

DMARCの集約レポートが示すのはメールを送信したIPアドレスであり、その責任を負う担当者やチームまでは分かりません。数千人規模の日本の大企業では、見慣れないIPからはどの事業部門がそのサービスを導入したのか手がかりが得られません。手作業の全社アンケートは時間がかかるうえ、誰も承認を覚えていないサービスを取りこぼしがちです。

Valimail RUF+（米国特許 US 11,991,139）は、送信元IPに加えて、失敗しているサービスのメールを受け取っている社内の受信者を読み取ります。そのメールを受け取っている従業員が、サービスを導入したチームを指し示します。データはMailbox Connectorから取得し、Microsoft 365またはGoogle Workspaceのメタデータのみを読み取り、メール本文には触れません。

いいえ。Mailbox Connectorはメールのヘッダーとメタデータのみを読み取り、本文・添付ファイル・リンクには一切触れません。またAIに頼らず決定論的なモデルで動作します。アクセス範囲は接続したドメインに限定され、いつでも取り消せます。ValimailはSOC 2 Type 2を取得し、FedRAMP認証を受けた唯一のDMARCベンダーであり、認証エンジンは個人データを保持しません。

手作業では、大規模組織で1ドメインあたり18〜24か月を要してきました。RUF+と、5,500を超えるサービスを名称で認識するPrecision Sender Intelligenceを用いると、同じ作業がおおむね45〜90日に短縮され、グループ内のすべてのドメインで反復可能です。