DMARC強制モードへの移行：監視だけでは自社ブランドを守れない理由

DMARC（Domain-based Message Authentication, Reporting and Conformance）は、認証に失敗したメールを受信側サーバーがどのように処理すべきかを、ドメインの所有者自身が指定できるプロトコルです。SPF（Sender Policy Framework）とDKIM（DomainKeys Identified Mail）という2つの既存標準の上に、ポリシーの強制とレポーティングの仕組みを加えたものです。正しく設定されたDMARCは、自社ブランドになりすましたフィッシングメールを、受信者の受信トレイに届く前の段階で遮断いたします。DMARCが対処するのは「なりすまし」であり、スパム対策とは性質の異なる仕組みです。

DMARCには3つの強制モードがあり、どのモードを選択するかによって、実際に保護されているのか、それとも保護されているように見えるだけなのかが分かれます。p=noneは監視のみのモードで、なりすましの試行に関するレポートは受け取れるものの、何一つブロックはされません。日本企業の多くは、この段階にとどまっているのが実情です。p=quarantineは、疑わしいなりすましメールを受信者の迷惑メールフォルダに振り分けます。そしてp=rejectは、プロトコルレベルで完全に受信を拒否いたします。実際のブランド保護を提供するのはp=rejectのみであり、取引先のセキュリティ体制を厳格に評価される日本のエンタープライズバイヤーの期待に応えられるのも、p=rejectのみです。

日本は、文化的・言語的な背景から、ビジネスメール詐欺（BEC）に対して特有の脆弱性を抱えております。日本のビジネスコミュニケーションは形式性が高く、役職と階層を重んじるため、精巧に作り込まれたなりすましメールが極めて効果的に機能してしまいます。「上級役員」を装った偽装メールには、通常であれば働くはずの警戒心を無効化してしまうだけの社会的な重みがございます。実際に近年、著名な日本企業が、たった一件のBECインシデントで数十億円規模の損失を被った事例が複数報告されております。これは理論上のリスクではありません。DMARCの強制運用は、この種の攻撃を発信元の段階で断ち切ることのできる、数少ない対策の一つです。

SPFプロトコルには、1回のメール認証チェックにつきDNSルックアップは10回までという厳格な上限がございます。SalesforceやMarketo、HubSpot、Zendesk、Workdayといった複数のSaaSからメールを送信し、さらに自社のメールサーバーも運用されている企業であれば、この上限には数週間で到達してしまいます。手動でのDMARC対応プロジェクトが頓挫するのは、多くの場合この地点です。最も優れた自動化プラットフォームは、この制約を回避するよりも、制約そのものを取り除きます。Valimail Instant SPFは特許取得済みの方式で、SPFレコードをもろい静的な一覧へフラット化することなく、任意のドメインを単一のSPFルックアップに解決します。これにより、送信構成が拡大し続けても強制運用が維持されます。DMARCの強制運用に成功している日本企業の多くが、手作りの実装よりも自動化プラットフォームを採用しているのは、このためです。

rejectポリシーに到達し、それを維持できるかどうかで、DMARCプラットフォームの真価が問われます。最も重要な能力は、すべての送信サービスの所有者を突き止めることにあります。正規の送信元がすべて把握されるまで、どのドメインも安全には強制運用へ移行できないからです。Valimailは、失敗しているメールの受信側を特許取得済みのRUF+で読み解くことでサービスの所有者を特定し、5,500を超える送信サービスを自動的に名称で識別します。これにより、手作業では1〜2年を要していた所有者の特定が、おおむね45〜90日に短縮されます。ValimailはFedRAMP認証を受けた唯一のDMARCベンダーであり、そのCTOはBIMIワーキンググループの議長、IETF DMARCグループの共同議長を務め、ARC標準の共同著者でもございます。つまり、実装している標準そのものの策定を主導する立場にあるのです。数年にわたるメール信頼性プログラムをどこに託すかをご検討される日本企業にとって、この分野の第一人者を選ぶことは、より安全な選択です。

DMARCは、自社ドメインになりすましたメールを受信側で遮断するための認証の仕組みでございます。SPFとDKIMの上に、ポリシーの強制とレポーティングを加えたものです。フィッシングやビジネスメール詐欺の多くは自社ブランドの偽装から始まるため、DMARCはこれを発信元の段階で断ち切る数少ない対策の一つとなります。

p=noneは監視のみの設定で、なりすましのレポートは受け取れるものの、実際には何も遮断いたしません。日本企業の多くがこの段階にとどまっております。実際のブランド保護に必要なのはp=rejectであり、取引先からセキュリティ体制を評価される際に問われるのも、この水準でございます。

日本のビジネスコミュニケーションは形式性が高く、役職と階層を重んじます。そのため「上級役員」を装った精巧な偽装メールが、極めて効果的に機能してしまいます。近年、著名な日本企業が一件のインシデントで多額の損失を被った事例も報告されており、これは理論上のリスクではございません。

SPFには、1回の認証につきDNSルックアップは10回までという上限がございます。複数のSaaSと自社サーバーからメールを送信する企業では、この上限に数週間で到達し、手動での対応はp=noneの段階で頓挫しがちです。自動化されたプラットフォームは、送信構成が変化しても強制運用を維持いたします。

ストラテジーコアが、製品のご提供から日本語での導入支援・運用サポートまでを一貫して担います。技術評価、日本語でのプリセールス、そしてp=reject到達後の継続的なサポートを通じて、御社が強制運用を維持できる状態をお支えいたします。