年末年始のなりすましメール注意！

１．年末年始の注意…なりすましメールの多発について

年末年始、いわゆるホリデーシーズンは、仕事やプライベートでのやり取りが増え、メールのやり取りが活発になる時期です。しかし、この時期を狙って悪意あるなりすましメールが多発する傾向にあります。これらのメールは巧妙に作られ、信頼する相手や企業を装って情報を盗み取ることを目的としています。

年末に向けていつもよりも多くネットショッピングを利用していませんでしょうか。
そんな中、突然以下のようなメールを利用したショッピングサイトの名前で受信したら、慌ててしまいませんか？

或いは、システム部門が休暇に入る頃、メールやアカウントについてのエラーが発生したら…思わずリンクをクリックして本人確認のための操作を実施してしまうかもしれません。

こういった不審なメールを受け取った際は、とにかくリンクや添付ファイルを不用意に開かないようすることが大切ですが、平時では理解していても実際にメールを確認したときには忘れてしまう可能性があります。慌ただしい年末年始こそ、いつもよりも気を引き締めた対応が必要です。

2．外部からの受信するなりすましメールへの防御策

基本的なことになりますが、なりすましメールから身を守るために、以下の点に注意しましょう。

• (1) メールの送信元を確認

  送信者のメールアドレスを必ず確認しましょう。公式のドメインに見えるものでも、スペルミスや異なる文字が使われている場合があります。

• (2) 不審なリンクや添付ファイルに注意

  リンクをクリックする前に、マウスをリンクに乗せてURLを確認してください。公式サイトと異なる場合や、不自然に長いURLなどは危険です。

(3) セキュリティソフトを活用

メール受信環境では最新のセキュリティソフトを使用し、メール内に含まれる悪意のあるコンテンツを検出できるようにしておきましょう。

• (4) 多要素認証の導入

  メールアカウントへのアクセスに多要素認証を設定することで、万が一パスワードが漏洩した場合でも、不正アクセスを防ぐことができます。

• (5) 効果的なメール訓練の導入

  実際に受信するなりすましメールに近い内容でメール訓練を実施しましょう。例えばコンシューマー向けのマーケティングメールなどの受信を禁止している環境で、そのようなメールを使った訓練を実施しても意味がありません。攻撃者は、受信環境を十分に監視したうえで本物に似せたメッセージを送ってくることがあります。そういった攻撃に備えた訓練が必要です。
  

3. 自組織を騙るなりすましメールの防止…DMARCの実装

企業にとって、自社或いは自組織を騙るなりすましメールを防ぐことも信頼維持のためには非常に重要です。そのために有効なのが、DMARC（Domain-based Message Authentication, Reporting, and Conformance）の実装です。
2023年から続く各業界のDMARC導入促進の動きにより、日本企業においても着々とDMARCの導入が進められておりますが、モニタリング期間が必要となるため、なりすまし対策として有効なDMARCポリシーであるp=rejectもしくはp=quarantineへの移行まで完了している企業は少ない状態です。

DMARCについて、簡単におさらいしてみましょう。

（1） DMARCとは

DMARC（Domain-based Message Authentication, Reporting, and Conformance）は、メールの送信元ドメインを認証する技術です。これにより、自組織ドメインを騙るフィッシングやなりすましメールなどの不正なメールを防ぐことができるようになります。

DMARCは、既存のSPF（Sender Policy Framework）とDKIM（DomainKeys Identified Mail）という2つの認証技術を組み合わせて機能します。具体的には、送信元のドメインが正当であることを確認し、認証に失敗したメールに対してどのように処理するかをポリシーとして設定します。

（2） DMARC導入のメリット

• 可視化：レポート機能により、自組織ドメインの不正な利用状況を把握できます。
• なりすましの防止：自組織ドメインを使用した不正メールをブロックできるようになります。また、この効果により、ドメインを騙る攻撃者に狙われにくくなります。
• 信頼性の向上：顧客や取引先からの信頼を高め、ブランド価値を守ります。

（3） DMARCの実装手順

• ① SPFとDKIMを設定する：DMARCの前提となるSPF（送信者ポリシーフレームワーク）とDKIM（ドメインキー識別メール）を設定します。
• ② DMARCレコードの登録：DNSレコードにDMARCレコードを登録します。
• ③ モニタリングと改善：初期設定では“モニタリングモード”（p=none）で運用し、DMARCレポートを確認しながら利用環境の問題点を修正していきます。
• ④ 検疫・拒否モードへの移行：十分なモニタリング期間と環境チューニングを実施後、p=quarantineもしくはp=rejectへ移行することで、自組織ドメインになりすましたメールを検疫することが可能となります。

④までの対策が進んでいるのであれば、BIMI（Brand Indicators for Message Identification）の導入をご検討いただきますと、企業ロゴなどの表示により受信者へなりすましのメールではないことを視覚的に提示することも可能になります。

4. 対策とまとめ

年末年始は、なりすましメールが増えるリスクが特に高まる時期です。個人としては不審なメールに注意し、企業としてはDMARCなどのセキュリティ対策を徹底することで、なりすましメールの被害を最小限に抑えることができます。
メールを受け取った際は、少しでも疑問を感じた場合に慎重に対応する心構えを持ち、情報漏洩や詐欺被害を未然に防ぎましょう。

また、それぞれの対策の導入を促進するのに役立つ、双日テックイノベーションお勧めの製品を以下にご紹介いたします。

Proofpoint PSAT:
メールセキュリティベンダーが提供する最新の脅威情報に基づいたリアルな攻撃テンプレートにより、より実践的なメール訓練が可能です。また、セキュリティ教育コンテンツも実装されているため、メール訓練で開封してしまったユーザをe-learningによって強化する仕組みが実装されています。

Proofpoint EDF:
DMARCレポートを可視化し、ドメインの認証状況を含め、専任のコンサルタントがお客様のDMARC導入をサポートいたします。DMARC導入がなかなか進まない、進め方が良くわからないなどのお悩みを解決いたします。