シンガポールサイバーセキュリティ庁（CSA）や地域の当局は、企業を対象とした高度なフィッシングやメールなりすまし攻撃について、定期的に企業に対して警告を発しています。ドメインの境界が保護されていないと、企業の通信は深刻なサイバーリスクやブランド悪用への危険にさらされます。PowerDMARCを利用すれば、正当な送信メッセージの流れ、電子請求書、あるいは顧客との業務チャネルに支障をきたすことなく、完全なセキュリティ対策への移行を加速させることができます。
適用までのプロセスを加速： p=reject を安全に実現するために設計された自動デプロイメントツール。
シンガポール向けに最適化： 地域の規制要件に沿った、現地に即した技術的専門知識とプラットフォームサポート。
高度な可視性： AIを活用した監視メカニズムにより、ドメインのなりすましを特定し、ブロックします。
シンガポールの法令では、DMARCという名称が明示的に義務付けられているわけではありませんが、国内の規制およびガバナンス基準に基づく法的要件を満たすためには、堅牢な電子メール検証を導入することが不可欠です。2012年個人データ保護法（PDPA）に基づき、組織は個人データを不正なアクセス、収集、または開示から保護するために、合理的なセキュリティ対策を実施しなければなりません。 さらに、2018年サイバーセキュリティ法は、重要情報インフラ（CII）の所有者に対して厳格なサイバーリスク管理を義務付けており、シンガポール金融管理局（MAS）の「テクノロジー・リスク管理（TRM）ガイドライン」では、金融機関に対し、電子メールの偽造やドメインのなりすましに対する厳格な保護措置を講じることを求めています。
| コンプライアンス・フレームワーク | 要件クラス | 業務範囲 |
|---|---|---|
| PDPAフレームワーク | 保護義務およびデータ漏洩時の義務的な保護措置（第24条） | シンガポールにおいて個人データを扱うすべての民間事業者 |
| 2018年サイバーセキュリティ法 | サイバーリスクガバナンスおよびインシデント対応に関する義務 | 重要分野における指定重要情報インフラ（CII）の所有者 |
| MAS TRM ガイドライン | 必須のサイバー衛生管理および電子メールチャネルのリスク管理 | 金融機関、銀行、保険グループ、および決済システム |
| IMDA 電気通信行動規範 | インフラセキュリティおよびスパム対策の基準 | 通信事業者、インターネットサービスプロバイダー、およびメディア放送事業者 |
コンプライアンスに関する注意事項：シンガポールにおける規制遵守は、包括的なリスク管理要件モデルに基づいて運用されています。組織が個人データ、必須のデジタルサービス、または金融取引を取り扱う場合、管理、顧客対応、マーケティングなどのサブドメインを含むドメインポートフォリオ全体が、送信者による不正行為を防止するため、最新の認証プロトコルに準拠している必要があります。
世界有数の金融ハブであるシンガポールでは、ビジネスメール詐欺（BEC）、請求書詐欺、標的型スピアフィッシング攻撃の件数が増加しています。攻撃者は、認証されていない送信ドメインを悪用してヘッダー情報を偽造し、企業の従業員、サプライヤー、およびリテールバンキングの顧客を欺いて、不正な送金を行わせたり、機密性の高い認証情報を開示させたりしています。
シンガポールではデジタル経済が密接に連携しているため、二次ベンダーのメールアカウントが侵害されると、それが大手企業のネットワークへの侵入経路となり得ます。攻撃者は、技術サービス請負業者の防御が不十分なメールドメインを悪用し、金融、物流、海運、公共サービスといった重要なインフラを直接標的とした横方向のフィッシング攻撃を仕掛けています。
標準的なSPFおよびDKIMのDNSレコードは一般的に公開されていますが、メール転送エージェントの厳格な転送セキュリティ（MTA-STS）の適用が広く欠如しているため、シンガポールのメールサーバー全体に深刻な脆弱性が生じています。送信される電子メールは、転送層での能動的な盗聴、中間者攻撃（MiTM）による改ざん、および強制的な平文への暗号化ダウングレード攻撃に対して、依然として脆弱なままです。
シンガポールのドメイン空間全体にわたる分析的テレメトリによると、基本的なDNS設定は広く普及しているものの、アクティブな強制ルールは依然として十分に活用されていないことが示されています：
登録済みの企業ドメインの大部分は基本的なSPFレコードを公開していますが、ごく一部には設定ミスがみられます。
厳格な「拒否」を基本とする防御ポリシーを積極的に実施している企業組織は、ごく一部に過ぎない。
商用ドメインの相当な割合において、依然として公開されたDMARCレコードが存在しない。
MTA-STSプロトコルが実装されていないため、組織のメールサーバーの大部分は、トランスポート層での傍受に対して依然として脆弱な状態にある。
一部のエンタープライズドメインにおいてのみ、DNSSECプロトコルによる保護が完全に実装されています。
シンガポールのドメインの相当な割合が、暫定的なSPF設定やパッシブなDMARCレコードを維持しているものの、主な脆弱性はポリシーの適用状況にあります。企業の電子メールトラフィックの相当な量が、依然としてパッシブな監視（p=none）や寛容な隔離ポリシー（p=quarantine）によって管理されており、その結果、デジタルインフラはドメインスプーフィング、DNSハイジャック、送信者偽装のリスクにさらされたままとなっています。
シンガポールの金融機関では、MAS（シンガポール金融管理局）の規制監督を背景に、DMARCレコードの初期導入率が非常に高い。しかし、MTA-STSによるトランスポート層暗号化の採用率は依然として低い。ごく一部の金融機関では、DMARCレコードがまったく設定されていないか、あるいは「p=none」という監視のみのポリシーにとどまっているため、標的型なりすまし攻撃の余地が残されている。
公的セクターの公式ドメインは、SPFへの準拠およびDNSSECの導入において、高い基準を満たしています。しかし、p=reject の完全な適用に向けた政策の進展は緩やかなものであり、政府および自治体のサブドメインのかなりの部分が、依然としてパッシブな p=none または隔離設定のままとなっています。
医療機関は、大量の機密性の高い医療データや個人データを扱っているため、フィッシング詐欺の格好の標的となっています。基本的なSPFの導入は広く進んでいるものの、かなりの数の医療機関が「p=none」という受動的なポリシーを採用しているか、DMARCによる保護を全く実施しておらず、MTA-STSの統合も最小限にとどまっています。
学術機関や研究ネットワークは、受動的な監視ポリシーに大きく依存しています。これに加え、p=rejectの適用率が低く、時折DNS設定の問題も発生するため、学術データベース、知的財産リポジトリ、および学生の身元情報は、依然として電子メールのなりすまし攻撃に対して脆弱なままとなっています。
重要公益事業事業者は、SPFの堅固なベースライン対応を維持しているものの、厳格な「p=reject」ポリシーの適用への移行は依然として不完全なままである。一部の公益事業ドメインが受動的な監視レベルにとどまり、MTA-STS暗号化が導入されていないため、エネルギーグリッドのサプライチェーン全体において、トランジットでの傍受リスクが依然として残っている。
通信社、メディアネットワーク、出版グループでは、積極的なポリシーの実施率が低い。受動的な「p=none」ポリシーへの過度な依存や、送信元の監視が行われていないため、悪意のある攻撃者が公式の報道資料やニュースリリースを偽造することが可能となっている。
通信事業者やネットワークサービスプロバイダーは、SPFレコードのベースライン設定にばらつきがあり、時折構文エラーが見られます。監視のみを目的としたポリシーへの依存や、トランジット層での保護対策の導入率が低いことから、顧客の通信チャネルは、サブスクリプション詐欺や個人情報盗難のリスクにさらされています。
物流、海運、サプライチェーンの事業者は、能動的な認証ポリシーの導入において徐々に進展を見せている。しかし、依然として相当な割合の事業者が監視のみの段階にとどまっており、トランスポート層での暗号化が導入されることはほとんどないため、貿易書類が輸送中の傍受の危険にさらされている。
迅速な導入と規制への適合
PDPAなどの現地のデータ保護法や、CSAおよびMASが施行するサイバーセキュリティの枠組みに完全に準拠するとともに、国際的な電子メールセキュリティのベストプラクティスも遵守してください。
リアルタイムのドメイン監視
自社ドメイン名を使用してメールを送信しているすべての社内アプリケーション、マーケティングツール、およびサードパーティのクラウドサービスを即座に特定・監査することで、シャドウITを排除します。
オールインワン型クラウド管理
手動によるDNS管理の負担を軽減します。DMARC、SPF、DKIM、MTA-STS、TLS-RPT、BIMIプロトコルの作成、監視、動的な最適化を、1つのポータル内で一元管理します。
機械学習を活用した脅威分析
不正な送信元を継続的に特定し、フィッシング攻撃の経路を軽減し、セキュリティテレメトリをSIEM/SOARプラットフォームに直接取り込むAIモデルを活用して、境界セキュリティを強化します。
MSPおよびMSSP向けに設計されています
マルチテナント方式によるアカウント区分、堅牢なAPI連携、そしてプロのIT管理者向けに設計された完全なホワイトラベルのカスタマイズブランディングを通じて、サイバーセキュリティポートフォリオをシームレスに拡張できます。
ラッフルズ・プレイス、マリーナ・ベイ、ジュロン・イノベーション・ディストリクト、チャンギ・ビジネス・パーク、ワン・ノース、タンピネス・リージョナル・センターなど、主要な経済・技術ハブ全域において、企業の拠点確保を図る。
金融機関、医療機関、エネルギー事業者、および公共セクターのポータルサイトを保護するため、高度なドメイン認証を提供しています。
東南アジア全域のITチャネルパートナーに対し、顧客ポートフォリオ全体にわたるメール保護の自動化を管理するための、マルチテナント型で完全なホワイトラベル対応のプラットフォームを提供しています。
なりすましを阻止しましょう。フィッシングを防止しましょう。メール環境を安全に保ちましょう。
