なりすましメール対策、SPF、DKIM、DMARC、BIMI、VMC
フィッシングやなりすましメールは昔からあるものの、フィッシング対策協議会が発信する緊急情報（フィッシングの報告）が2020年以降急増している。フィッシングの現状は総務省のサイバーセキュリティタスクフォースで議題として取りあげられるほど、重要な懸念事項の1つとなっている。有効な対策として挙げられているのがSPF（Sender Policy Framework）、DKIM（DomainKeys Identified Mail）、これらを組み合わせて補完するDMARC（Domain-based Message Authentication Reporting and Conformance）。
フィッシング協議会からの報告によると、2021年は企業のDMARC対応が広がり、なりすましの検出が増える一方、DMARC未対応のドメインを狙ったなりすまし送信も増えるなど、攻防が続いている。なりすましの脅威は続いているものの、企業のDMARC対応は着実に広がっている。
DMARCなどの対応は一般的なセキュリティ製品導入に比べたら新たな機器の購入などは不要で、そして今後メール運用では不可欠なものになりつつあると考えていいだろう。
例えばGmailでは、送受信されるメールを保護するためにSPF、DKIM、DMARCを検証している。受信したメールで送信者名のアイコンが「？」と表示されていたら、そのメールは認証が確認できなかったことを示す。該当するメールのソース（ヘッダ）を表示してみると、SPF、DKIM、DMARCの検証結果が表示されるのが分かるはずだ。今後はDMARCを適切に設定しておかないと、メール受信者を惑わせてしまいかねない。
DMARCと関連して、2021年7月にはGoogleがGmailなどでBIMI（Brand Indicators for Message Identification）の対応を開始した。BIMIとはメールに表示される送信元の企業ロゴを表示する規格であり、受信者はどの企業からのメールか判別しやすくなるものだ。BIMIを有効化するには、DMARCやVMC（Verified Mark Certificates）を設定する必要がある。
現時点では、BIMIの恩恵を受けられるのはメール受信者がGmailやGoogle Workspace利用者に限られてはいる。しかし、なりすまし防止の有効打となるため、Yahoo! Japanも対応を表明するなど、今後広がっていくことが予想できる。
