ポスト

なぜDMARCは失敗するのか？DMARCが失敗する6つの理由

電子メール認証は、電子メール・プロバイダーの仕事の重要な側面です。SPFやDKIMとして知られる電子メール認証は、電子メールプロバイダのアイデンティティをチェックします。DMARCは、電子メールが正当なドメインから送信されたかどうかをアライメントによってチェックし、認証チェックに失敗したメッセージにどのように応答するかを受信サーバーに指定することで、電子メールを検証するプロセスを追加します。今日は、「なぜDMARCが失敗するのか」という疑問に答えるために、さまざまなシナリオについて説明します。

DMARCは、偽造された「なりすまし」メールがトランザクション・スパムフィルターを通過するのを防ぐための、メール認証ポリシーにおける重要な活動です。しかし、これはスパム対策プログラム全体の柱の一つに過ぎず、すべてのDMARCレポートが同じように作られているわけではない。メール受信者が各メッセージに対して行った正確なアクションを伝えるものもあれば、メッセージが成功したかどうかだけを伝えるものもある。メッセージが失敗した理由を理解することは、メッセージが成功したかどうかを知ることと同じくらい重要です。以下の記事では、メッセージがDMARC認証チェックに失敗する理由を説明しています。これらは、メッセージがDMARC認証チェックに失敗する最も一般的な理由である（そのうちのいくつかは簡単に修正できる）。

メッセージがDMARCに失敗する一般的な理由

DMARCが失敗している理由を特定するのは複雑です。しかし、ここでは典型的な理由とその要因を説明し、ドメイン所有者がより迅速に問題を解決できるようにします。

DMARC アライメントの失敗

DMARCは、ドメインの整合性を利用して電子メールを認証します。つまり、DMARCは、Fromアドレス（可視ヘッダー）に記載されているドメインが本物であるかどうかを、隠されたReturn-pathヘッダー（SPFの場合）とDKIM署名ヘッダー（DKIMの場合）に記載されているドメインと照合することで検証する。どちらかが一致すれば、そのメールはDMARCを通過し、そうでなければDMARCは失敗します。

そのため、メールがDMARCに失敗する場合は、ドメインの不整合の可能性があります。つまり、SPFやDKIMの識別子が一致せず、メールが不正な送信元から送られているように見えるのです。しかし、これはDMARCが失敗する理由の一つに過ぎません。

DMARC アライメントモード 

プロトコルのアライメントモードも、メッセージがDMARCを通過するかしないかに大きく影響します。SPF認証では、以下のアライメントモードを選択することができます。

  • Relaxed：Return-pathヘッダのドメインとFromヘッダのドメインが単純に組織的に一致している場合、SPFであっても通過することを意味しています。
  • ストリクトです。これは、Return-pathヘッダーのドメインとFromヘッダーのドメインが完全に一致した場合にのみ、SPFを通過させることを意味します。

DKIM認証のアライメントモードは、以下の中から選択できます。

  • Relaxed: これは、DKIM署名のドメインとFromヘッダーのドメインが単に組織的に一致している場合、DKIMであっても合格することを意味します。
  • 厳密。これは、DKIM署名のドメインとFromヘッダーのドメインが完全に一致した場合にのみ、DKIMが成立することを意味します。

なお、メールがDMARC認証を通過するためには、SPFまたはDKIMのどちらかを揃える必要があります。  

DKIM署名を設定していない 

DMARCが失敗するケースとして非常に多いのが、ドメインのDKIM署名を指定していない場合です。このような場合、メール交換サービスプロバイダーは、あなたのFromヘッダーのドメインと一致しないデフォルトのDKIM署名を送信メールに割り当てます。受信側のMTAは2つのドメインを整合させることができず、その結果、メッセージのDKIMとDMARCが失敗します（メッセージがSPFとDKIMの両方に対して整合されている場合）。

DNSに送信元を追加していない 

ドメインにDMARCを設定すると、受信側のMTAは送信元を認証するためにDNSクエリを実行することに注意することが重要である。つまり、ドメインのDNSにすべての許可された送信ソースがリストアップされていなければ、リストアップされていないソースのメールはDMARCに失敗するということです。したがって、正当な電子メールが常に配信されるようにするためには、あなたのドメインに代わって電子メールを送信することを許可されている、すべての認可されたサードパーティの電子メールベンダーをDNSに登録するようにしてください。

メール転送の場合

電子メールの転送では、電子メールは仲介サーバを経由して、最終的に受信サーバに届けられます。メール転送時には、仲介サーバのIPアドレスが送信サーバのIPアドレスと一致せず、この新しいIPアドレスが元のサーバのSPFレコードに含まれていないことが多いため、SPFチェックが失敗します。一方で、メールの転送は、仲介サーバや転送元がメッセージの内容を変更しない限り、通常はDKIMメール認証に影響を与えません。

メール転送時にSPFが失敗することは周知の通りですが、万が一、送信元がDKIMニュートラルで、SPFにのみ検証を依存している場合、DMARC認証時に転送されたメールが不正なものとなってしまいます。この問題を解決するためには、直ちに組織で完全なDMARCコンプライアンスを選択し、SPFとDKIMの両方に対してすべての送信メッセージを整合させ、認証する必要があります。

お客様のドメインが偽装されている

DMARC、SPF、DKIMの各プロトコルがドメインに対して適切に設定されており、ポリシーが施行されていて、有効なエラーフリーレコードがあり、問題が上記のいずれのケースでもない場合、メールがDMARCに失敗する最も可能性の高い理由は、あなたのドメインがなりすましや偽造されていることです。これは、なりすましや脅威の行為者が、悪意のあるIPアドレスを使って、あなたのドメインから来ているように見せかけてメールを送ろうとする場合です。

最近の電子メール詐欺の統計では、電子メールになりすましたケースが最近増加しており、組織の評判にとって非常に大きな脅威となっていると結論づけられています。このようなケースでは、DMARCを拒否ポリシーで実装していても、失敗してしまい、なりすましメールは受信者の受信箱に届けられません。したがって、ドメインスプーフィングは、なぜDMARCが失敗するのかという疑問に対する答えになります。

無料のDMARC Analyzerにサインアップして、DMARCレポートとモニタリングの旅を始めることをお勧めします。

  • noneポリシーでは、DMARC (RUA) Aggregate Reportsでドメインを監視し、受信メールと送信メールに目を配ることができます。これにより、望ましくない配信問題に対応することができます。
  • その後、最終的にドメイン偽装やフィッシング攻撃に対する免疫を獲得するための強制的なポリシーへの移行を支援します。
  • 今後のなりすまし攻撃を回避するために、PowerDMARCプラットフォームから直接、悪意のあるIPアドレスを取り除いて報告することができます（Threat Intelligenceエンジンを使用）。
  • PowerDMARCのDMARC（RUF）フォレンジックレポートは、メールがDMARCに失敗したケースについての詳細な情報を得るのに役立ち、問題の根本を突き止めて修正することができます。

ドメイン偽装を防ぎ、メールフローを監視するPowerDMARCを今すぐご利用ください。

/by

DMARCは必要か？DMARCをすぐに導入すべき5つの理由とは？

DMARCは必要ですか？

日常的にかなりの量の電子メールを利用している組織を運営しているなら、おそらく「DMARC」という言葉をすでに目にしていることでしょう。では、DMARCとは何でしょうか？DMARCとは、Domain-Based Message Authentication, Reporting and Conformance（ドメインベースのメッセージ認証、報告、および適合性）の略で、受信者側のメールチェックポイントです。DMARCにはいくつかの利点があり、遠隔地での作業環境が採用され、電子通信が企業の最も一般的な交流手段となっている今日の世界では、特に有用である。では、今日の状況下でDMARCが必要とされる5つの重要な理由を挙げてみよう。

1) DMARCによるなりすまし攻撃の抑制

2021年2月に「COVID-19」ワクチンのニュースが世界中で話題になって以来、サイバー攻撃者はこの状況を利用して、本物の企業ドメインを使った偽装メールを作成し、従業員や顧客にワクチンのルアーを提供していました。特に高齢者を中心とした複数のユーザーがこの誘い文句の被害に遭い、損失を被ることになりました。DMARCがこれまで以上に必要とされている理由がここにあります。

Microsoft 365のリードレシートの抜け穴を利用し、認証プロトコルを操作することで、スパムフィルターやセキュリティゲートウェイを回避する、新しい形のBEC（Business Email Compromise）が最近インターネット上で話題になっています。このような巧妙なソーシャルエンジニアリング攻撃は、強固なセキュリティ対策を容易に回避し、無防備な顧客を騙して認証情報を送信させることができます。

DMARCは、BECやドメイン・スプーフィング攻撃の可能性を最小限に抑え、詐欺やなりすましからメールを保護するのに役立ちます。これは、DMARCが、クラウドベースのメール交換サービスに付属する通常の統合セキュリティゲートウェイとは異なり、SPF/DKIMメール認証プロトコルに失敗したメールに対する受信サーバーの応答方法をドメイン所有者が決定する方法を提供するためです。

2) DMARCによるメール配信能力の向上

メールのドメインが偽装されると、長年にわたってブランドと交流してきた受信者は、あなたの側からの不正行為を最も疑わない人たちです。そのため、なりすましメールを簡単に開いてしまい、これらの攻撃の餌食になってしまうのです。しかし、次にあなたからのメールを受け取ったときには、たとえそのメッセージが正規の送信元からのものであったとしても、あなたのメールを開くことを躊躇してしまいます。これでは、メールの配信能力だけでなく、企業のメールマーケティング戦略や課題にも大きな影響を与えてしまいます。

しかし、DMARCを利用することで、メールの配信能力を時間の経過とともに約10％向上させることができます。DMARCは、受信者の受信箱に配信されるメッセージを選択することで、お客様がドメインを完全にコントロールするために必要です。これにより、不正なメールを排除し、正当なメールが常に遅延なく配信されるようになります。

3) DMARC集計レポートによる可視性の向上

DMARC Aggregateレポートは、認証結果を確認し、メール配信におけるエラーをより迅速に軽減するのに役立ちます。ドメインを代表してメールを送信し、認証に失敗している送信元やIPアドレスを把握することができます。これにより、悪意のあるIPアドレスも追跡することができ、DMARCが必要な理由を説明することができます。

PowerDMARCのDMARC集計レポートは、プラットフォーム上の7つの特徴的なビューで提供されており、これまでにないようなメール送信元やホスト名に関する詳細な情報を得ることができます。さらに、DMARCレポートを即座にPDF文書に変換して、チーム全体で共有したり、定期的にメールで送信するスケジュールを作成したりするオプションも提供しています。

4) フォレンジックインシデントへの対応に役立つDMARCフォレンジックレポート

DMARCフォレンジックレポートは、送信メールがSPFまたはDKIM認証に失敗した場合など、フォレンジックインシデントが発生するたびに生成されます。このようなインシデントは、悪意のあるIPアドレスを使用したなりすましによってメールドメインが偽造され、疑うことを知らない受信者に、彼らが知っていて信頼できる本物のソースから来ているように見える不正なメッセージを送信するドメインスプーフィング攻撃の場合に発生する可能性があります。フォレンジックレポートでは、なりすましを試みた可能性のある悪意のあるソースを詳細に分析し、それらに対して対策を講じ、今後のインシデントを防ぐことができます。

フォレンジックレポートは非常に詳細で、お客様のメール本文が含まれている可能性があることにご注意ください。しかし、PowerDMARCを使って、あなただけがアクセスできる秘密鍵でレポートを暗号化することで、DMARCフォレンジックレポートを閲覧する際に、あなたのメールの内容が公開されるのを防ぐことができます。

5) DMARCはドメインレピュテーションの向上に役立つ

良いドメインの評判は、ドメインの所有者として、あなたのキャップに羽のようなものです。優れたドメインレピュテーションは、受信側のEメールサーバーに、あなたのEメールが信頼できるソースからの正当なものであることを示し、その結果、スパムとしてマークされたり、ジャンクフォルダーに入ったりする可能性が低くなります。DMARCは、メッセージソースを検証し、SPFやDKIMのような標準的な電子メール認証方法を実装することにより、ドメインが安全なプロトコルをサポートしていることを示すことで、ドメインの評価を向上させることができます。

以上のことから、DMARCがなぜ必要なのか、そしてビジネスにとって有益であることがお分かりいただけると思います。では、次のステップは:

あなたのドメインにDMARCを設定するには？

PowerDMARCのDMARC Analyzerは、4つの簡単なステップでDMARCを導入するのに役立ちます。

  • お客様のドメインのDNSにSPF、DKIM、DMARCレコードを公開する
  • PowerDMARCに登録すると、DMARCの集計やフォレンジックレポートにアクセスでき、メールフローを監視することができます。
  • BECやスプーフィングから最大限に保護するために、監視するポリシーからDMARCを実施するポリシーへの移行
  • PowerSPFでSPF10ルックアップの制限を回避

今すぐ無料のDMARC Analyzerに登録して、DMARCの複数のメリットをご利用ください。

/by

2021年、メールのなりすましを効果的に防ぐには？

電子メールのなりすましは、組織のセキュリティにとって大きな問題となっています。なりすましとは、ハッカーが信頼できる送信元/ドメインから送信されたように見せかけて電子メールを送信することです。電子メールスプーフィングは、新しい概念ではありません。実際の送信元以外の誰かやどこかから送信されたように見せかけるために、電子メールアドレスのヘッダーを偽造すること」と定義され、何十年もの間、ブランドを悩ませてきました。メールを送信する際、Fromアドレスには、実際にどのサーバーから送信されたかは表示されず、アドレス作成時に入力されたドメインが表示されるため、メール受信者に疑われることはありません。

2020年末の時点で、フィッシングの発生件数は、世界的な大流行の恐れがあった時期の年間平均と比較して、220％という驚異的な伸びを示していることがわかりました。すべてのなりすまし攻撃が大規模に行われているわけではないので、実際の数字はもっと高くなる可能性があります。2021年、問題は年を追うごとに悪化しているようです。だからこそ、ブランドは安全なプロトコルを利用して電子メールを認証し、脅威となる人物の悪意から逃れようとしているのです。

メールスプーフィング。どのようなもので、どのように機能するのか？

電子メールの偽装は、ユーザーが知っている、あるいは信頼できる人物や組織からのメッセージであると思わせるために、フィッシング攻撃で使用されます。サイバー犯罪者は、なりすまし攻撃を利用して、受信者にメッセージが実際にはない人物から来たものだと思わせます。これにより、攻撃者は自分を追跡することなく、あなたに危害を加えることができます。IRSからのEメールで、還付金を別の銀行口座に送ったと書かれていたら、それはなりすまし攻撃の可能性があります。フィッシング攻撃は、メールスプーフィングによっても行われることがあります。これは、ユーザー名、パスワード、クレジットカードの詳細情報（PIN番号）などの機密情報を、多くの場合、悪意のある目的のために不正に入手しようとするものです。この言葉は、信頼できるふりをして被害者を「釣る」ことに由来します。

SMTPでは、送信メッセージがクライアントアプリケーションによって送信者アドレスを割り当てられた場合、送信メールサーバーは、その送信者アドレスが正当なものか偽装されたものかを判断する方法がありません。したがって、電子メールアドレスを表現するために使用される電子メールシステムが、送信サーバが送信者アドレスが正当なものであるかどうかを確認する方法を提供していないため、電子メールのなりすましが可能なのです。このような理由から、業界の大手企業では、SPF、DKIM、DMARCなどのプロトコルを採用して、正当なメールアドレスを認証し、なりすまし攻撃を最小限に抑えています。

なりすましメール攻撃の仕組みについて

各メールクライアントは、特定のアプリケーション・プログラム・インターフェース（API）を使用して電子メールを送信します。一部のアプリケーションでは、電子メールアドレスを含むドロップダウンメニューから送信メッセージの送信者アドレスを設定することができます。しかし、この機能は、あらゆる言語で書かれたスクリプトを使って呼び出すこともできます。開いているメールメッセージの送信者アドレスには、送信元のユーザーのメールアプリケーションやサービスのアドレスが表示されています。攻撃者は、アプリケーションやサービスを再設定することで、任意の人の代わりに電子メールを送信することができます。

今では、本物のメールドメインから何千もの偽のメッセージを送信することが可能になったと言っておきましょう。さらに、このスクリプトを使うのにプログラミングの専門家である必要はありません。脅威行為者は、好みに応じてコードを編集し、別の送信者のメールドメインを使ってメッセージの送信を開始することができます。これこそが、メールスプーフィング攻撃が行われる仕組みなのです。

ランサムウェアのベクトルとしてのメールスプーフィング

電子メールのなりすましは、マルウェアやランサムウェアの拡散に道を開きます。ランサムウェアとは、機密データやシステムへのアクセスを永続的に遮断し、データを再び復号化する代わりに金額（身代金）を要求する悪質なソフトウェアのことです。ランサムウェアの攻撃により、企業や個人は毎年莫大な損失を被り、大規模なデータ漏洩にもつながっています。

また、DMARCとメール認証は、なりすましやなりすましの悪意からお客様のドメインを守ることで、ランサムウェアに対する最初の防御策として機能します。

中堅・中小・大企業が抱える脅威

ブランド・アイデンティティは、ビジネスの成功に不可欠です。お客様は、認知度の高いブランドに惹かれ、一貫性のあるブランドに信頼を寄せます。しかし、サイバー犯罪者は、この信頼を利用するためにあらゆる手段を講じ、フィッシングメール、マルウェア、電子メールのなりすまし行為などで、お客様の安全を脅かします。平均的な組織では、電子メール詐欺によって年間2,000万ドルから7,000万ドルの損失が発生しています。なりすましメールには、商標権などの知的財産権の侵害も含まれており、以下の2つの方法で企業の評判や信頼性に相当なダメージを与えていることに注意する必要があります。

  • パートナーや大切なお客様がなりすましメールを開封してしまい、機密データが漏洩してしまう可能性があります。サイバー犯罪者は、あなたを装ったなりすましメールを使って、ランサムウェアをシステムに侵入させ、金銭的な損失をもたらします。そのため、次からは正規のメールであっても開くのを躊躇するようになり、あなたのブランドに対する信頼を失ってしまうかもしれません。
  • 受信側のメールサーバーは、サーバーのレピュテーションの低下により、正当なメールをスパムと判断して迷惑メールフォルダに振り分けてしまい、メールの配信率に大きな影響を与えてしまいます。

いずれにしても、顧客に接するブランドは、あらゆる問題の当事者となることは疑いの余地がありません。IT専門家の努力にもかかわらず、サイバー攻撃の72％は悪意のある電子メールから始まり、データ漏洩の70％は企業のドメインを偽装するソーシャルエンジニアリング戦術を含んでいます-DMARCのような電子メール認証の実践は重要な優先事項です。

DMARC: メールスプーフィングに対するワンストップソリューション

DMARC（Domain-Based Message Authentication, Reporting and Conformance）は、電子メール認証プロトコルで、正しく実装されていれば、電子メールの偽装、BEC、なりすまし攻撃を劇的に減少させることができます。DMARCは、SPFとDKIMという2つの標準的な認証方法と連携して、送信メッセージを認証し、認証チェックに失敗したメールに対してどのように対応すべきかを受信サーバーに指定する方法を提供します。

DMARCとは何かについてはこちらをご覧ください。

なりすましの悪意から自分のドメインを守りたいのであれば、まずはDMARCを正しく実装することが大切です。しかしその前に、あなたのドメインにSPFとDKIMを設定する必要があります。PowerDMARCの無料SPFおよびDKIMレコードジェネレーターは、ワンクリックであなたのDNSに公開されるこれらのレコードを生成するのに役立ちます。これらのプロトコルを正常に設定した後、次のステップでDMARCを実装します。

  • PowerDMARCの無料DMARCレコードジェネレーターを使って、エラーのないDMARCレコードを生成する。
  • ドメインのDNSにレコードを公開する
  • 徐々にp=rejectのDMARCエンフォースメントポリシーに移行する。
  • DMARCアナライザーツールでメールエコシステムを監視し、詳細な認証集約およびフォレンジック（RUA/RUF）レポートを受け取ることができます。

DMARCエンフォースメントを実現するために克服すべき制限事項

エラーのないDMARCレコードを公開し、施行のポリシーに移行したにもかかわらず、メール配信で問題が発生していますか？この問題は、あなたが考えているよりもはるかに複雑である可能性があります。ご存知ないかもしれませんが、SPF認証プロトコルにはDNSルックアップが10回までという制限があります。しかし、クラウドベースのメールサービスプロバイダーや様々なサードパーティベンダーを利用している場合、この制限を簡単に超えることができます。そうするとすぐにSPFが壊れてしまい、正当なメールであっても認証に失敗してしまい、メールが迷惑フォルダに入ってしまったり、全く届かなくなってしまうのです。

DNSルックアップが多すぎるためにSPFレコードが無効になると、ドメインは再びメールスプーフィング攻撃やBECに対して脆弱になります。そのため、SPF10ルックアップの制限を守ることは、メール配信を確実にするために必須です。このため、SPFレコードを1つのincludeステートメントに縮小し、冗長なIPアドレスやネストしたIPアドレスを排除する、自動SPFフラットナーであるPowerSPFをお勧めしています。また、お客様のサービスプロバイダーがそれぞれのIPアドレスに加えた変更を定期的にチェックし、お客様のSPFレコードが常に最新の状態になるようにします。

PowerDMARCは、SPF、DKIM、DMARC、MTA-STS、TLS-RPT、BIMIなどの様々なメール認証プロトコルを組み立て、お客様のドメインの評価と配信能力を高めます。今すぐ登録して、無料のDMARCアナライザを手に入れましょう。

/by

マーケティング担当者が知っておくべき5つの重要なフィッシング用語

マーケティング担当者はブランドイメージの設計者であるため、企業の評判を落とす可能性のある有名な5つのフィッシング用語について知っておく必要があります。 フィッシングとは、ウェブサイトや電子メールを利用して、あたかも信頼できる組織からのものであるかのように見せかけ、実際にはユーザー名、パスワード、クレジットカードの詳細情報（カードデータとも呼ばれる）などの機密情報を収集する目的で作成される攻撃ベクトルの一種です。フィッシング攻撃は、オンラインの世界では一般的なものです。

あなたの会社がフィッシング攻撃の被害に遭うと、ブランド名に傷がつき、検索エンジンのランキングやコンバージョン率に支障をきたす可能性があります。フィッシング攻撃は、企業の一貫性を直接反映するものであるため、マーケティング担当者にとってフィッシング攻撃から身を守ることは優先すべきことです。ゆえに、マーケターとしては、フィッシング詐欺には細心の注意を払って対処する必要があります。

フィッシング詐欺は何年も前から存在しています。今まで知らなかったとしても、あなたのせいではありませんのでご安心ください。サイバー詐欺が生まれたのは10年前とも言われていますが、フィッシングが正式に犯罪となったのは2004年のことです。フィッシングの手法は進化し続けているため、新しいフィッシングメールに遭遇するとすぐに混乱してしまい、メッセージが正当なものかどうか見分けがつかないこともあります。これらの5つの一般的なフィッシング手法に注意を払うことで、自分自身と組織をよりよく守ることができます。

知っておきたい5つの一般的なフィッシング用語

1) メールフィッシング 

フィッシングメールは通常、正規のドメインを模倣したドメインから大量に送信されます。例えば、ある企業のメールアドレスは「[email protected]」ですが、フィッシング企業は「[email protected]」を使用している場合があります。その目的は、お客様が取引している実在の企業を装うことで、悪意のあるリンクをクリックさせたり、機密情報を共有させたりすることです。 偽のドメインは、「r」と「n」を隣り合わせにして「m」の代わりに「rn」とするなど、文字の置換が行われることがよくあります。

フィッシング攻撃は常に進化しており、時間の経過とともに検知できなくなってきています。脅威となる人物は、ソーシャルエンジニアリングの手法を用いてドメインを偽装し、正規のドメインから不正なメールを送信し、悪意のある目的で利用しています。

2) スピアフィッシング 

スピアフィッシングとは、偽の情報を使ってセキュリティレベルの高いアカウントへのアクセスを試みる、新しいサイバー攻撃の形態です。プロの攻撃者は、一人の被害者を危険にさらすことを目的としており、この考えを実行するために、企業の社会的プロフィールや、その企業内の従業員の名前や役割などを調査します。フィッシングとは異なり、スピアフィッシングは、1つの組織や個人を対象としたキャンペーンです。このようなキャンペーンは、特定の人物をターゲットにして組織にアクセスすることを唯一の目的として、脅威アクターによって慎重に構築されます。

3) 捕鯨

ホワイリングは、高レベルの社員の電子メールを危険にさらすことができる高度な標的技術です。その目的は、他のフィッシング手法と同様に、従業員を騙して悪意のあるリンクをクリックさせることにあります。企業ネットワークを通過する最も壊滅的な電子メール攻撃の1つが、このホワイリング詐欺です。これは、説得力を利用して被害者の抵抗力を低下させ、騙して会社の資金を引き渡すことで個人的な利益を得ようとするものです。攻撃者は、企業のCEOなど権威ある立場の人物になりすますことが多いため、WhalingはCEO詐欺とも呼ばれています。

4) ビジネスメールの不正使用 

ビジネス・メール・コンプロマイズ（BEC）は、企業にとって非常に大きな損害をもたらすサイバー犯罪の一種です。この種のサイバー攻撃は、電子メール詐欺を利用して組織のドメインに影響を与え、不正な活動に参加させることで、機密データの漏洩や窃盗を引き起こします。BECの例としては、請求書詐欺、ドメイン・スプーフィング、その他の形態のなりすまし攻撃などがあります。2020年のBEC攻撃の統計については、こちらをご覧ください。典型的な攻撃では、詐欺師は組織内の特定の役割の従業員をターゲットに、上級の同僚や顧客、ビジネスパートナーを装った一連の詐欺メールを送信します。詐欺師は、受信者に支払いや機密データの開示を指示することがあります。

5) Angler Phishing 

多くの企業は何千人ものお客様を抱え、毎日何百件ものクレームを受けています。ソーシャルメディアを利用することで、企業は制約から逃れ、顧客にアプローチすることができます。これにより、企業は顧客の要求に柔軟に対応することができます。アングラーフィッシングとは、ソーシャルメディアを通じて不満を持つお客様に接触し、企業の一員であるかのように装う行為のことです。アングラーフィッシングは、ソーシャルメディアを利用している人を騙して、企業が自分たちの問題を解決しようとしていると思わせ、実際には相手が自分たちを利用しているという単純な手口です。

フィッシングや電子メール詐欺から組織を守るには

Eメールサービスプロバイダーは、サービスの一環として統合されたセキュリティパッケージを提供している場合があります。これらのパッケージは、スパムフィルターとして機能し、受信側のフィッシング攻撃から保護してくれます。しかし、BEC、ホエールリング、その他の形態のなりすまし攻撃のように、お客様のドメイン名を使用して詐欺師が受信者の受信箱にメールを送信している場合、これらは目的を果たすことができません。だからこそ、DMARCのようなメール認証ソリューションをすぐに利用し、施行のポリシーに移行する必要があるのです。

  • DMARCは、SPFとDKIMの認証基準に照らし合わせて、電子メールを認証します。
  • 受信サーバーに対して、認証チェックに失敗したメールにどのように対応すべきかを指定します。
  • DMARC aggregate (RUA) レポートは、メールエコシステムと認証結果の可視性を高め、ドメインの監視を容易にします。
  • DMARCフォレンジック（RUF）レポートでは、DMARC障害の結果を詳細に分析することができ、なりすまし攻撃への迅速な対応に役立ちます。

PowerDMARCはあなたのブランドにどのように役立ちますか？

PowerDMARCは、単なるDMARCサービスプロバイダーではなく、幅広い認証ソリューションとDMARC MSSPプログラムを提供するマルチテナント型SaaSプラットフォームです。小規模企業から多国籍企業まで、あらゆる組織にとってメール認証を簡単かつ身近なものにします。

  • p=noneからp=rejectへの移行を迅速に行い、なりすまし攻撃、ドメイン偽装、フィッシングからブランドを守るためのサポートを行います。
  • 包括的なチャートやテーブル、6つの異なるフォーマットのRUAレポートビューを用いて、DMARCレポートを簡単に設定できるようにし、使いやすさと視認性を向上させます。
  • お客様のプライバシーに配慮して、DMARC RUFレポートをお客様の秘密鍵で暗号化することができます。
  • 認証結果のPDFレポートを定期的に生成することをサポートします。
  • PowerSPFのようなダイナミックなSPFフラットニングソリューションを提供し、10のDNSルックアップ制限を超えないようにします。
  • MTA-STSによるSMTPでのTLS暗号化の義務化を支援し、広汎なモニタリング攻撃からドメインを保護します。
  • BIMIを使って、受信者の受信箱の中でブランドを視覚的に識別できるようにサポートします。

今すぐPowerDMARCにサインアップして、DMARCアナライザーツールの無料トライアルを受けてください。そして、BEC、フィッシング、スプーフィング攻撃からドメインを最大限に保護するために、モニタリングのポリシーからエンフォースメントへと移行してください。

/by

メールが迷惑フォルダに入るのを防ぐには？

ドメインオーナーの方から、「なぜ私のメールが受信箱ではなく、迷惑メールフォルダに入ってしまうのか」という質問をよく受けます。メールが迷惑メールフォルダに振り分けられる原因は決して一方向ではなく、メールの書き方が悪いなどの単純な原因から、以前にドメイン名がスパムに使われたことがあるなどの複雑な原因まで、様々な理由があることに注意してください。いずれの場合も、メールが迷惑メールフォルダに入ってしまうと、メールの配信率やドメインの評価に大きな影響を与えます。 

この問題を迅速に解決しながら、メールが指定された宛先に確実に届くようにしたいなら、あなたは正しい場所に来たのです。ここでは、メールがスパムと判定されないようにするためのソリューションをご紹介します。

メール認証はどのようにしてメール配信能力を向上させるのか？

それは、あなたのドメインのレピュテーションを高め、あなたのドメインがなりすましやフィッシング攻撃、BECなどの悪意のある活動に利用されないようにするためであることを忘れないでください。これこそが、DMARCのようなメール認証プロトコルの役割です。DMARC（Domain-based Message Authentication, Reporting and Conformance）は、SPFとDKIMを利用して、お客様のドメインから送信された電子メールメッセージを認証する、業界で推奨されている電子メール認証規格です。DMARCは、認証に失敗した電子メール（あなたのドメイン名を使用した脅威のアクターによって送信された偽装/フィッシングメールの可能性が高い）をどのように扱うべきかを受信サーバーに指定するDNS TXTレコードとして、あなたのドメインのDNSに存在します。

しかし、それは見かけほど簡単ではありません。単にDMARCレコードを発行するだけでは、メール詐欺からの保護にはならず、むしろ認証プロトコルの設定が間違っている場合には、状況を悪化させる可能性があります。DMARCを正しく実装するためには、正しい構文とポリシーモードでドメインのSPFとDKIMを設定する必要があります。さらに、BECやなりすましからドメインを適切に保護できるのは、DMARCポリシーレベルの施行（p=reject/quarantine）だけです。

これらのことを念頭に置くと、DMARCを利用することで、メールの配信率が10％以上向上し、スパムフォルダに入るメールの数が顕著に減少することがわかります。

スパムとしてマークされないようにDMARCを適切に設定するにはどうすればよいですか？

DMARCを正しく設定するには、以下の手順に従ってください。

  • お客様のドメインを代表してメールを送信することができる、許可された送信ソースをすべて記録してください。
  • PowerDMARCの無料SPFレコードジェネレータで、あなたのドメインのSPFを完全に無料で設定できます。
  • PowerDMARCの無料DKIMレコードジェネレーターを使って、あなたのドメインにDKIMを設定します。
  • PowerDMARCの無料DMARCレコードジェネレータを使って、あなたのドメインにDMARCを設定します。
  • 記録を調べ、検証する。
  • 当社のDMARCアナライザーツールを使用して、自動的に生成された分かりやすいDMARC集計およびフォレンジックレポートで、認証結果と電子メールの流れを監視することで、何もしないポリシーからDMARCの施行へとすぐに移行することができます。

すべてのレコードジェネレータは、PowerDMARCのツールボックスにあります。

迷惑メールフォルダへの振り分け防止のための追加推奨事項

SPFのハードリミットを下回る

あまり意識されていないかもしれませんが、SPF認証にはDNSルックアップの上限が10個あります。この制限を超えると、SPFレコードが無効になり、SPFが破損したり、正当なメールでも認証チェックに失敗したりします。このような場合、ドメインのDMARC監視を有効にしていると、SPF permerrorの結果が返されます。したがって、SPF 10 DNS Lookup Limitを下回ることは、メールを確実に受信者に届け、メールがジャンクフォルダーに入るのを防ぐために必須です。

不正なIPアドレスの報告

お客様のドメイン名を使って詐欺行為を行っている不正なIPアドレスをブラックリスト化することは、今後同様の事件が起こらないようにするための重要なステップとなります。当社のDMARCアナライザーは、世界中の悪意のあるアドレスをリアルタイムで報告し、二度とあなたのドメインを使って詐欺行為ができないようにするのに役立ちます。

100%のDMARCコンプライアンスを実現

お客様のドメインから送信されるメールをSPFとDKIMの両方の認証基準に照らし合わせ、100%のDMARCコンプライアンスを実現します。これにより、時間の経過とともに送信者の評価が大幅に向上し、メールがスパムと判定される可能性を最小限に抑えることができるため、迷惑メールフォルダに振り分けられる可能性を最小限に抑えることができます。

今すぐPowerDMARCに登録して、無料のDMARCを手に入れ、メールがジャンクフォルダに入るのを防ぐための第一歩を踏み出しましょう。

/by

進化したメール詐欺のトップ5。2021年の動向

電子メールは、B2Bのリードジェネレーションや顧客とのコミュニケーションのための重要なチャネルとして機能していますが、同時にサイバー攻撃や電子メール詐欺の最も広く狙われているチャネルの一つでもあります。サイバー犯罪者は、より多くの情報や金融資産を盗むために、常に攻撃方法を革新しています。企業がより強固なセキュリティ対策で反撃を続ける中、サイバー犯罪者は常に戦術を進化させ、フィッシングやなりすましの技術を向上させなければなりません。

2021年、従来のメールセキュリティソリューションでは検知できない、機械学習（ML）や人工知能（AI）を利用したフィッシング攻撃が急激に増加していることが、世界中のセキュリティ研究者によって検知されています。これらの攻撃の主な目的は、人間の行動を操作して、詐欺師の口座にお金を振り込むなどの不正な行為をさせることです。

電子メールを使った攻撃や電子メール詐欺の脅威は常に進化していますが、遅れをとってはいけません。詐欺師の戦術、ツール、マルウェアの観点から、今後数年間に起こるであろうメール詐欺のトレンドを知っておきましょう。このブログ記事を通して、サイバー犯罪者がどのように戦術を展開しているかを紹介し、あなたのビジネスがこのようなメール攻撃を防ぐ方法を説明します。

2021年に気をつけたいメール詐欺の種類

1.ビジネスメールの不正アクセス（BEC

COVID-19により、企業はリモートワーク環境を導入し、従業員、パートナー、顧客の間でバーチャルなコミュニケーションに移行することを余儀なくされています。これにはいくつかのメリットがありますが、最も明らかなデメリットは、過去1年間でBECが驚くほど増加していることです。BECとは、メールスプーフィングやフィッシングなどの電子メール詐欺を指す広義の言葉です。

一般的には、サイバー攻撃者が自社のドメイン名を使って、パートナーや顧客、従業員にメールを送り、企業の認証情報を盗んで機密資産にアクセスしたり、電信送金を開始したりするというものです。BECは、過去1年間で70％以上の組織に影響を与え、数十億ドルに相当する企業資産の損失につながっています。

2.進化したメールフィッシング攻撃

電子メールによるフィッシング攻撃は、ここ数年で劇的に進化していますが、その目的は変わりません。それは、信頼しているパートナーや従業員、顧客を操り、自社から送られたように見える電子メールに含まれる悪意のあるリンクをクリックさせることで、マルウェアのインストールや認証情報の窃取を開始させるための媒体です。進化した電子メール詐欺師は、検知が困難なフィッシングメールを送信しています。非の打ちどころのない件名や間違いのないコンテンツの作成から、精度の高い偽のランディングページの作成まで、彼らの活動を手作業で追跡することは、2021年にはますます困難になっています。

3.マンインザミドル

素人でもわかるような稚拙なメールを攻撃者が送りつけていた時代は終わりました。最近の脅威アクターは、通信している2つのメールサーバー間の電子メール取引でオポチュニスティックな暗号化が使用されているようなSMTPセキュリティの問題を利用して、安全な接続を暗号化されていない接続にロールバックすることに成功した後、会話を盗聴しています。SMTPダウングレードやDNSスプーフィングなどのMITM攻撃は、2021年に入ってからますます盛んになっています。

4.CEOの不正行為

CEO詐欺とは、機密情報へのアクセスを目的として、上級管理職をターゲットにしたスキームが行われていることを指します。攻撃者は、CEOやCFOなどの実在の人物になりすまして、組織内の下位レベルの人々やパートナー、顧客にメッセージを送信し、騙して機密情報を提供させることでこれを行います。この種の攻撃は、Business Email CompromiseやWhalingとも呼ばれます。ビジネスの現場では、組織の意思決定者になりすまして、より信憑性の高いメールを作成しようとする犯罪者もいます。これにより、安易な金銭の授受や企業の機密情報を要求することができます。

5.COVID-19 ワクチンルアー

セキュリティ研究者は、ハッカーがCOVID-19パンデミックの恐怖を利用しようとしていることを明らかにしました。最近の研究では、サイバー犯罪者の心理が明らかになっており、COVID-19パンデミックにまつわるパニック状態に引き続き関心を寄せていることや、企業のトップを狙ったフィッシングやBEC（business email compromise）攻撃が目に見えて増加していることがわかっています。これらの攻撃を行うための媒体は、COVID-19ワクチンの偽物で、メール受信者の関心を瞬時に高めます。

メールセキュリティを強化するには？

  • SPF、DKIM、DMARCなどのメール認証規格に対応したドメインの設定
  • DMARCモニタリングからDMARCエンフォースメントへの移行により、BEC、CEO詐欺、進化したフィッシング攻撃から最大限の保護を得ることができます。
  • 随時、メールの流れや認証結果を一貫して監視する
  • MITM攻撃を軽減するために、MTA-STSでSMTPに暗号化を必須にする。
  • SMTP TLSレポーティング（TLS-RPT ）により、メール配信の問題について、その根本的な原因の詳細を定期的に通知
  • DNSルックアップ数を常に10件以内に抑えることで、SPFパーマラーを軽減
  • BIMIを使って、受信者が受信箱の中で貴社ブランドを視覚的に識別できるようにする。

PowerDMARCは、SPF、DKIM、MTA-STS、TLS-RPT、BIMIなどのすべての電子メール認証プロトコルを1枚のガラスに集約した、電子メール認証のSaaSプラットフォームです。今すぐ登録して、無料のDMARCアナライザ を手に入れましょう。

/by