GmailのBIMI認証システムに脆弱性があるとして、グーグルの18億人のGmailユーザーに新たなセキュリティ警告が出された。詐欺師がこのセキュリティ機能を悪用し、ユーザーを危険にさらしている。

この記事では、最近のGmailのセキュリティ事例に関する発見、緩和策、予防法について説明します。また、なりすまし攻撃を阻止するためのPowerDMARCの役割についても取り上げます。

主なポイント

GmailのBIMI認証システムの脆弱性が詐欺師に悪用され、ユーザーを危険にさらしている。
グーグルは当初、この搾取の報告を無視していたが、認知度の向上により、この問題を最優先事項として扱うようになった。
BIMI脆弱性の修正は現在進行中であり、Gmailユーザーはその間、不審なメールに注意するよう勧告されている。
この脆弱性は、他の主要な電子メールサービスの電子メール認証方法に関する懸念を引き起こし、より広範な問題を示している。
DMARC、SPF、DKIMのようなメール認証プロトコルを実装することで、なりすまし攻撃のリスクを大幅に減らすことができます。

発見：GmailのBIMI識別子を悪用する

Gmailのセキュリティは常に大きなセールスポイントだった。しかし最近、その主要なセキュリティ機能のひとつに大きな欠陥が見つかった。

先月、グーグルはGmailのBIMIチェックマークシステムを導入した。これは、ユーザーが詐欺師から送られたメールと本物のメールを見分けるのに役立つ。

しかし、詐欺師たちはこのシステムを悪用する方法を発見した。 Gmailの18億人のユーザーを危険にさらしている。

フィッシングやなりすまし攻撃に対抗するために導入された。この Gmailブルー認証チェックマークシステムは、認証された企業や組織をユーザーに強調表示する。

このアイデアは、ユーザーに信頼感を与え、どのメールが正規のもので、どのメールがなりすましによって送られた可能性があるかを見分けられるようにするものだった。残念ながら、詐欺師たちはこのシステムを巧みに操っている。

PowerDMARCでGmailのなりすましを防ぐ！

15日間のトライアルデモを予約する

緩和策グーグルが問題を認める

Gmailのサイバーセキュリティ・エンジニアであるクリス・プラマーは、詐欺師たちがGmailのBIMIシステムを操作していることを最初に発見した。彼らはGmailを騙して、偽ブランドを本物と見なしたのです。これにより、詐欺師たちはシステムの目的を回避することができた。これはユーザーの信頼を築くためのものだった。

プラマーは発見をすぐにグーグルに報告した。彼らは脆弱性への迅速な対応を期待した。グーグルは当初、彼の発見を無視した。彼らはそれを "意図された動作 "と呼んだ。そのため、セキュリティ専門家やユーザーの間に不満が生じた。

プラマーのツイートが注目を集め、この問題がバイラル的に広まったおかげで、グーグルはすぐに問題の深刻さを認識した。同社はこのエラーを認め、最優先の修正に分類した。

Gmailのセキュリティ・チームはPlummer氏に宛てた声明の中で、この問題に対する彼の粘り強い啓蒙活動に感謝の意を表した。彼らは、適切なチームが脆弱性を解決していることを彼とユーザー・コミュニティに保証した。

予防：解決に向けて

Gmailのセキュリティ・チームは、GmailのBIMI認証システムの欠陥に積極的に対処している。彼らは混乱を招いたことを謝罪した。また、この問題を速やかに解決することを表明している。

修正は現在進行中です。Gmailのセキュリティチームは、その評価と問題解決の方向性について、ユーザーに常に情報を提供することを目指しています。修正を待っている間、Gmailユーザーは警戒を怠らず、不審なメールに対処する際には注意を払う必要がある。

更新：問題の範囲を理解する

最近の動向では、Gmailのロゴ認証システムが注目されている。詐欺師がどのようにこのシステムを悪用し、それが他のメールサービスにとってどのような意味を持つかを示した。

ジョナサン・ルーデンバーグはGmailのセキュリティ・チームのデバッガーである。彼はGmailでハッキングを再現し、他の主要メールサービスも同様の攻撃に対して脆弱であることを示した。

この事実が明らかになったことで、Gmailの認証方法の脆弱性と実装の稚拙さについて、セキュリティー・コミュニティーの間で懸念が高まっている。

ルーデンバーグ氏は、GmailのBIMI実装ではSPFのみが一致する必要があることを発見した。DKIM署名はどのドメインのものでもよい。

この設定ミスは、BIMI対応ドメインのSPFレコードにある共有または設定ミスのメールサーバーがなりすましメッセージを送信することを可能にする。それらはGmailで完全なBIMI扱いを受けることになります。

他の主要な電子メールサービスにおけるBIMIをさらに調査した結果、以下のことが判明した：

iCloudは、DKIMがFromドメインと一致するかどうかを適切にチェックします。
ヤフーは、評価の高い一括送信にのみBIMI処理を行う。
Fastmailは脆弱だが、Gravatarをサポートしており、両方に同じ処理を使用することで影響を最小限に抑えている。
Apple Mail + Fastmailは危険な扱いを受けやすい。

これらの調査結果は、より優れたセキュリティの必要性を示している。それは、多くのメールサービスにおいて必要である。そうすれば、詐欺師が弱点を悪用するのを防ぐことができる。

更新：グーグルの対応と緊急措置

グーグルのプレスチームは、Gmailの認証ハッキングについてさらなる詳細を発表した。この問題は、サードパーティのセキュリティ脆弱性に起因しており、悪質な行為者が実際よりも信頼できるように見せかけることができる。

ユーザーの安全を確保するため、Googleは現在、送信者にDKIMの使用を義務付けています。これは、より堅牢な電子メール認証規格です。送信者は、Brand Indicators for Message Identification (青いチェックマーク)のステータスを取得するためにDKIMが必要です。

DKIMはより強力な認証レベルを提供し、なりすまし攻撃を防ぐのに役立つ。

グーグルは、この脆弱性に対処する修正プログラムが今週末までに完全に展開されることをユーザーに保証している。この問題を迅速に発見し修正したことは、グーグルがユーザーのセキュリティに全力を注いでいることを示している。

しかし、グーグルは検証システムを構築しなければならない。それは、容易に悪用可能なサードパーティ・サービスの上に構築されることになる。複数のオブザーバーがこの点を強調している。彼らは強力な認証システムの必要性を強調している。ユーザーの信頼と安全を守るためだ。

スプーフィングとPowerDMARC：攻撃からの保護

詐欺師やハッカーは、なりすましを使ってユーザーを騙す。なりすましメールは、あたかも本物の送信元から送られてきたかのように見せかけます。なりすましメールは、金銭的損失や個人情報の漏洩など、壊滅的な結果をもたらす可能性があります。なりすまし攻撃を防ぐには、強固なメール認証対策が必要です。

そのようなソリューションのひとつがPowerDMARCである。これはメール・セキュリティプラットフォームである。なりすまし攻撃に対する高度な保護を提供します。

PowerDMARCは業界標準の電子メール認証プロトコルを使用しています。これには以下が含まれます。 DMARC.Domain-based Message Authentication, Reporting, and Conformance の略です。また SPF(センダー・ポリシー・フレームワーク)、そして DKIMDomainKeys Identified Mailの略です。これらのプロトコルは連携して動作します。これらのプロトコルは連携し、メールの信頼性を検証し、不正な送信者が本物のドメインになりすますのを阻止します。

PowerDMARCを導入することで、なりすましのリスクを大幅に減らすことができます。また、詐欺やフィッシングからもユーザーを守ります。

PowerDMARCはリアルタイムの電子メール認証とレポートを提供します。これにより、企業はメールシステムを監視することができます。不正な送信者を発見し、リスクを減らすために迅速に行動することができます。