国内の銀行・信金386行のうち、なりすましメールを遮断できる状態だったのは26.7％にとどまる～GMOブランドセキュリティ調査

　日本国内の銀行・信用金庫386行のドメインを対象に、なりすましメール対策技術の導入・運用状況について調査した結果を、GMOブランドセキュリティ株式会社が8月7日に発表した。なりすましメールを実際に遮断できる状態にある金融機関は26.7％にとどまるという。

　調査は今年7月22日、都市銀行4行、信託銀行13行、地方銀行61行、第二地方銀行34行、その他の銀行19行、信用金庫255行（信金中央金庫を含む）の公式ドメインについて、パブリックDNSを使用し、公開されているDNS TXTレコード（SPF、DMARC、BIMI）を調査・集計したもの。

　SPF（Sender Policy Framework）は、送信元サーバーのIPアドレスをあらかじめ公開し、正規のサーバーから送られたメールかどうかを受信側で判定できるようにする仕組み。導入が比較的容易な反面、メールが転送されると認証に失敗しやすいという弱点があるという。

　なりすましメール対策のドメイン認証技術としてはこのほかに、送信するメールに電子署名を付与し、受信側が公開鍵で検証することで改ざんや送信者の偽装を判定する「DKIM（DomainKeys Identified Mail）」という仕組みがある。ただし、インターネット上に公開された情報だけでは網羅的な調査ができないとしており、今回の調査結果の項目には含まれていない。

　DMARC（Domain-based Message Authentication, Reporting, and Conformance）は、SPF・DKIMの認証結果と送信元表示（Fromヘッダー）のドメインの一致を判定し、不一致の時に受信側でどのように処理するかを、送信者側でDMARCのポリシーとして指定しておける仕組み。p=none（監視のみ）、p=quarantine（迷惑メールフォルダーに隔離）、p=reject（拒否）の3段階がある。

　BIMI（Brand Indicators for Message Identification）は、DMARCと連携し、受信者のメールクライアント上に送信者の企業・組織ロゴを表示させる仕組み。視覚的にメールの正当性を示すことができるとしている。

　なりすましメール対策は、SPFで送信元を明示し、DMARCで不正メールの処理方法を指示し、BIMIで正規メールであることを受信者に視覚的に示すというように、SPF→DMARC→BIMIの順に段階を上げていく、積み上げの構造になっているとGMOブランドセキュリティでは説明する。

　今回調査した386行のうち、SPFを設定しているのは309行（80.1％）、DMARCを設定しているのは233行（60.4％）に上った。一方で、なりすましメールを実際に遮断できるDMARCポリシー（p=quarantineまたはp=reject）で運用しているのは103行（26.7％）にとどまった。DMARCを設定していでも過半数の233行（55.8％）はp=noneであり、なりすましメールが受信者に届いてしまう実態が浮き彫りになったとしている。

　なお、都市銀行は4行全てがDMARCポリシーをp=rejectまで引き上げている一方で、信用金庫では30行（11.8％）にとどまっていた。都市銀行と信用金庫でセキュリティ格差があるという。

　BIMIを導入しているのは51行（13.2％）。こちらも都市銀行は4行全てが導入済みである一方、信用金庫では7行（2.7％）にとどまった。

　こうした結果を受けてGMOブランドセキュリティでは、なりすましメール対策の「導入」は進んでいる一方で、実際に利用者を守れる状態にある金融機関は限定的であるとして、その「実効性」の課題を指摘。DMARCをp=noneで運用している金融機関は、p=quarantineまたはp=rejectへ段階的に移行することを推奨している。

　一方、SPF・DMARCがともに未設定の金融機関も75行（19.4％）ある点について、「第三者がドメインを詐称したなりすましメールを容易に送信できる状態にある」とし、早期に設定を行うことを提言している。

　なお、信用金庫の約半数の117行（45.9％）は、公式サイトは業界共通ドメイン（shinkin.co.jp）配下で運用している一方で、メール送信には各金庫独自のドメインを使用しており、ドメイン名から「正規のメールか」を判断しにくい構造になっていることを指摘している。