国家サイバーセキュリティセンター（NCSC）および金融当局は、ヨルダン全土で企業を対象としたフィッシングやデジタルID盗難の事件が増加していることを引き続き指摘している。保護対策が施されていないメールドメインは、組織を大規模な詐欺、業務の混乱、およびブランド名の悪用といったリスクにさらしている。
PowerDMARCは、正当な業務メッセージ、請求書、または顧客との連絡の配信率を損なうことなく、プロトコルの完全な適用を実現するための、管理された段階的なロードマップを提供します。
確実な適用への道筋： 正当なメールの配信を妨げることなく、 p=reject を安全に達成するための体系的な導入ワークフロー。
ヨルダン向けに設計： NCSC-JOの方針およびヨルダン中央銀行の指示に沿った、現地事情に合わせたガイダンスと技術的アーキテクチャ。
ディープ・スレット・インテリジェンス： 不正な送信者を特定し、なりすましを阻止し、世界中のスプーフィングの発生源を突き止める、予防的な分析エンジン。
ヨルダンの法令には、DMARCを規定する単一の具体的な条項は設けられていないものの、現代の国家サイバーセキュリティの枠組みの下では、強力な電子メール認証の導入が不可欠である。ヨルダンの2023年個人データ保護法（第24号、PDPL）に基づき、データ管理者および処理者は、不正な開示やデータの改ざんに対する堅牢な技術的防御策を講じることが法的に義務付けられている。 同時に、ヨルダン中央銀行（CBJ）は、金融エコシステム全体にわたる厳格な通信保護措置を義務付ける包括的なサイバーセキュリティ枠組みを施行している。
| コンプライアンス・フレームワーク | 要件クラス | 業務範囲 |
|---|---|---|
| 2023年個人データ保護法（第24号） | データセキュリティに関する義務的な技術的措置（第8条および第12条） | ヨルダンにおいて個人データを処理するすべての公的機関および民間団体 |
| 国家サイバーセキュリティ戦略およびNCSCガイドライン | 重要国家インフラの保護およびサイバーレジリエンスに関する基準 | 政府機関、戦略的重要公益事業、および不可欠なサービス |
| 金融セクター向けCBJサイバーセキュリティ・フレームワーク | 包括的な情報セキュリティおよび不正防止ガバナンス | 商業銀行、金融機関、決済事業者 |
| 電気通信規制委員会（TRC）の指針 | ICTネットワークの完全性および電子メッセージングのセキュリティに関する要件 | 認可を受けた通信事業者、ISPネットワーク、およびデジタルインフラ |
コンプライアンスに関する注意事項：ヨルダン全土における規制遵守には、ドメイン全体の包括的なセキュリティ対策が必要です。組織の主要ドメインが公的記録、デジタル決済ゲートウェイ、または重要インフラと連携している場合、関連するすべてのサブドメイン、マーケティングツール、およびクラウドプラットフォームにおいて、なりすましを防止するための認証付き暗号化チェックを導入する必要があります。
ヨルダン全土でデジタル経済とフィンテック・ハブが急速に拡大する中、企業はビジネスメール詐欺（BEC）、不正な送金流用手口、経営幹部を装ったなりすまし詐欺といった攻撃の激化に直面しています。攻撃者は、信頼できるヨルダンの機関を装った偽の送信元ヘッダーを日常的に作成し、従業員や取引先、銀行の顧客を騙して、確認も取らないまま資金送金を行わせてしまいます。
レバント地域全体にわたるサプライチェーンの統合により、企業のメッセージングシステムは、横方向の移動の主要な経路へと変貌を遂げました。サイバー脅威の攻撃者は、防御が不十分な二次サブドメインや技術サービスパートナーを標的とし、それらの信頼されたドメイン名を悪用してマルウェアを注入し、重要なエネルギー、物流、省庁のシステムに対して直接フィッシング攻撃を仕掛けています。
標準的なDNS SPFレコードが公開されている場合でも、Mail Transfer Agent Strict Transport Security（MTA-STS）が広く導入されていないため、ヨルダンからの送信メールは転送層におけるリスクにさらされやすい。公衆ネットワークを経由する通信は、盗聴、中間者攻撃（MiTM）による改ざん、および強制的な平文への暗号化ダウングレード攻撃の危険にさらされ続けている。
ヨルダンの各企業分野にわたる実態調査によると、基本的な枠組みは認識されているものの、積極的な防御的執行は依然としてほとんど行われていないという実態が明らかになった：
大多数のドメインでは、基本的なSPFレコードが公開されていますが、設定ミスは依然として頻繁に発生しています。
厳格かつ徹底された「拒否」方針への移行に成功した組織は、ごく一部に過ぎない。
かなりの数のドメイン空間が、DMARCレコードを一切設定せずに運用され続けている。
MTA-STSの導入が進んでいないため、圧倒的多数のサーバーがトランスポート層での改ざんに対して依然として脆弱な状態にある。
DNSクエリをスプーフィングから保護するためにDNSSECを有効にしているドメインは、ごく一部に過ぎない。
多くのヨルダンの組織がドメインの基本設定を開始しているものの、主なリスクはポリシー設定にある。公開されているレコードの大部分は、観察状態（p=none）または暫定状態（p=quarantine）のまま放置されている。こうした積極的な適用が行われていないため、主要な企業や政府のドメインは、なりすまし、ドメインの悪用、ブランドの信用失墜といったリスクにさらされている。
金融機関およびデジタル決済プロバイダーは、ヨルダンにおいて最も堅固なSPFの基本設定と、業界をリードするDNSSEC導入率を示しています。しかし、かなりの割合が「p=reject」や暫定的な「p=quarantine」ポリシーへと移行している一方で、DMARCレコードを全く設定していない、保護されていないセグメントが依然として存在しています。さらに、金融機関の送信メールサーバーにおける有効なMTA-STSの実装は事実上皆無であり、銀行間の通信は転送中の傍受に対して脆弱なままとなっています。
各省庁および自治体の公共ポータルサイトでは、SPFの導入範囲が当初から広くカバーされています。それにもかかわらず、政策の進展は依然として鈍く、政府の公式ドメインの大部分はDMARCを導入していないか、あるいは受動的な「p=none」監視の状態にとどまっています。地域行政ポータルサイトにおけるDNSSECの導入は依然として限定的であり、分析対象となった公共メッセージングシステムのほぼすべてにおいて、MTA-STSによる暗号化が実施されていません。
医療提供者、医薬品供給業者、および病院ネットワークは、IDなりすましによる重大なリスクにさらされています。医療分野の資産の半数以上で、公開されたDMARCレコードが存在しない一方で、p=rejectの設定による積極的な対策を実施しているのは、ごく一部の提供者に留まっています。MTA-STSやDNSSECがほぼ完全に欠如していることから、患者の機密情報や臨床通信は、転送中の改ざんや医師を装った詐欺行為の危険にさらされています。
サウジアラビア王国の高等教育機関や学術機関の圧倒的多数は、監視が行われていない、あるいは受動的な監視方針に依存しています。大学の大半はDMARCレコードを設定していないか、p=noneの設定のまま放置されており、その結果、学生の記録、学術的知的財産、研究データベースが、認証情報収集詐欺の標的となりやすい状態にあります。暗号化技術を用いたDNSSECやMTA-STSの導入率は依然としてごくわずかです。
重要な公益事業プロバイダーやエネルギー配電ネットワークは、SPFのベースライン準拠において堅調な一貫性を示しています。しかし、エネルギー分野の相当な割合が、依然としてDMARCによる積極的な保護措置を講じておらず、サプライチェーンを介した攻撃の標的となるリスクにさらされています。この分野ではトランスポート暗号化の導入が若干見られるものの、公益事業関連の通信の大部分は、MTA-STSプロトコルによる保護を受けていません。
ヨルダンのニュース出版社、放送ネットワーク、デジタルメディアポータルでは、対策の実施率が極めて低い。メディア関連のドメイン名の大部分は、DMARCをまったく導入していないか、受動的な監視モードのみに依存している。この脆弱性により、信頼されている編集・報道ブランドは、なりすましや虚偽のアラートの不正な拡散の被害を受けやすくなっている。ニュースルームのサーバーにおいて、MTA-STSの導入はほとんど見られない。
国内の通信事業者は、SPFの導入状況が良好である一方、DNSSECの導入状況は中程度にとどまっています。しかし、通信事業者の送信ドメインのうち、依然としてかなりの割合がDMARCの適用を行っておらず、その結果、企業のカスタマーサポート窓口が顧客を標的としたフィッシング攻撃の標的となりかねない状況にあります。また、MTA-STSの適用範囲は、本番環境のメールエクスチェンジのごく一部に留まっています。
地域のフォワーダー、海運港湾物流事業者、および商業輸送企業では、セキュリティの基準レベルにばらつきが見られます。基本的なSPFエントリは広く採用されていますが、DMARCレコードが広範囲にわたり欠如しているため、出荷通知や通関書類はヘッダーの偽造に対して脆弱な状態にあります。MTA-STSによる転送中の暗号化はほぼ完全に欠如しており、メールのやり取りにおいて、輸送ルートや貨物記録が暗号化されないままとなっています。
ヨルダンの「個人データ保護法」（2023年法律第24号）に規定されたデータ保護基準、国家サイバーセキュリティセンター（NCSC）の重要インフラに関するガイドライン、およびヨルダン中央銀行の指針に完全に準拠すること。
自社ブランドに代わってメールを中継するすべてのCRMプラットフォーム、トランザクションゲートウェイ、および外部配信サービスを特定、監視、カタログ化することで、不正なシャドウクラウドアプリケーションを排除します。
複雑でミスが生じやすい手動によるDNS設定は避けましょう。単一の集中管理ポータルから、DMARC、SPF、DKIM、MTA-STS、TLS-RPT、BIMIプロトコルの導入、監視、動的な管理をシームレスに行えます。
インテリジェントな機械学習モデルを活用して、不正なインフラストラクチャを自動的に検出し、アクティブななりすまし攻撃経路を無力化し、解析済みのテレメトリデータをSIEM/SOARシステムにストリーミングすることで、通信境界を保護します。
地域密着型のマネージドサービスプロバイダー向けに特別に構築された、マルチテナント型のアカウント分離機能、堅牢なAPI機能、そして完全なホワイトラベル対応のカスタマイズ機能を通じて、サイバーセキュリティサービスの提供範囲を拡大しましょう。
アンマン、ザルカ、イルビド、アカバ、アス・サルト、マダバ、マフラク、ジェラシュなど、ヨルダンの主要な経済・産業拠点全域において、企業のドメイン名を保護しています。
ヨルダンの金融ネットワーク、地域の医療施設、通信事業者、および各省庁のWebリソースを保護するため、強固な電子メールID防御ソリューションを提供しています。
ヨルダンのMSPおよびMSSPに対し、顧客ポートフォリオ全体にわたる電子メール認証を管理・拡張するための、エンタープライズ対応の完全ホワイトラベル型ソフトウェアエンジンを提供しています。
なりすましを阻止しましょう。フィッシングを防止しましょう。メール環境を安全に保ちましょう。