メール配信に求められる「信頼性」は十分か？企業のDMARC運用が失敗するワケとBIMI導入の勘所

複雑化するメール配信運用、でもそれは誰がやるの？

　ビジネスに不可欠な電子メールの送信を担う基本プロトコルであるSMTP（Simple Mail Transfer Protocol）は歴史が古く、送信者認証やなりすまし防止の仕組みをほとんどもたない。そのため、メール送信側も対策しなければ迷惑メールやスパムに埋もれてしまう。

　かつては特別な対策を講じなくともメールを届けることができていたが、迷惑メールやAIの進化によるフィッシングメールの急増などで、今やそうもいかない。もし、数十万人規模の会員に対して継続的にメールを送るとなれば、メール到達性に関する専門的な知識がないと確実に届けられないのが現状だ。

　こうした背景から、メールを受け取る受信プロバイダー側の防御策は年々厳格化が進んでいる。特に、2024年に実施されたGmailの大量送信者向けガイドラインの改定は、実質的に一定以上の顧客と取引があるすべての企業に影響を与える大きな転換点となった。

　しかし、Gmailを含む主要なメールサービスプロバイダーは、迷惑メール判定の詳細なアルゴリズムやスコアリングのロジックを公開していない。そのため企業側は、到達率や迷惑メール率、ドメインの評価などの指標を継続的にモニタリングし、異常や変化の兆しがあれば認証設定や送信方法を適時見直す必要がある。

　この環境変化を象徴する事例の一つとして、2024年1月に発生した神奈川県の公立高校入試インターネット出願システムにおけるトラブルがある。受験生や親が登録したGmailドメイン宛てに出願受付のメールが届かなくなり、深刻な混乱を招いた。この問題も、SPF・DKIM・DMARCなどの送信ドメイン認証やサーバー設定が不十分だったことが、迷惑メール判定を受ける一因になった可能性が高いという。

　このようにメール配信における“到達性”の維持に求められる要件が増え、運用も複雑化している中で、現場ではその対応を担える人材が不足している。たとえば経理や基幹システムのプロがいる企業は多くとも、メール配信システムやインフラに精通した専門人材を配置している企業は非常に少ないのが実情だろう。WOW WORLDの藤田紀行氏は、「もともと、メール配信がネットワークやサーバーとは異なる専門知識が求められる領域であることにプラスして、昨今は運用もどんどん複雑化している。その中で、情シスが最新の情報をキャッチアップしながら適切な対応をとることは非常に難しくなっている」と語る。

DMARC運用の罠　安易なポリシーの引き上げが招くトラブル

　メールの正当性を証明し、悪質なフィッシングから自社と顧客を守るためには、複数の認証技術を体系的に理解する必要がある。現在、中心となっている概念はSPF、DKIM、DMARC、BIMIの4つだ。

　SPFは、郵便でたとえるならば「どの送信元IPアドレスから送られてきたか」を根拠に判定する仕組みである。一方のDKIMは、電子署名を用いて「送信者が本人であり、内容が改ざんされていないこと」を証明するものだ。

　しかし、これら従来の認証技術だけでは、受信者の画面に表示される送信元（ヘッダーFrom）の偽装を完全には防げない。

　メールには、システムの配送処理に使われる「エンベロープFrom（戻り先）」と、受信者の画面に表示される「ヘッダーFrom（差出人）」という2つの送信者情報が存在する。SPFが検証するのは前者のエンベロープFromのみであるため、「画面上の表示は有名企業に偽装されているのに、配送元のドメイン認証は通ってしまう」といった、“なりすまし”が成立してしまう。こうした構造上の弱点を突き、SPF認証を通過させながら表示名を偽装するフィッシングメールが多発している。

　この課題を解決するために登場したのがDMARC（Domain-based Message Authentication, Reporting and Conformance）だ。DMARCは、SPFやDKIMの認証結果と、受信者に表示されるヘッダーFromのドメインが一致しているかどうかを確認することで、送信者情報の食い違いを防ぐ。そのうえで、認証に失敗したメールをどう扱うかという方針を送信者側が受信側に伝えられる。これにより、なりすましが疑われるメールを受信者に渡さない「reject（拒否）」や、迷惑メールボックスに送る「quarantine（隔離）」といったポリシーを、ドメイン単位で指定できるようになるのだ。

　昨今、GmailやMicrosoft 365（Outlook）など主要メールサービスプロバイダーの送信者ガイドラインをクリアするために、企業のDMARC導入は急速に進んだ。しかし、その後の運用面で課題を抱える企業も少なくないという。WOW WORLDの橋本宜明氏は、「DMARCは仕組みが複雑なため、普段からこの領域を専門的に扱っていなければ、すべてを完璧に理解することが難しい」としたうえで、DMARCの導入を優先し、まずは受信側に何の制限も課さない「none（監視）」ポリシーで運用しつづけている企業も多いと語る。

　「noneポリシーは導入時の重要なステップですが、その状態で運用が止まってしまうと、DMARC本来の効果を十分に発揮できません。導入してはいるものの、リソース不足でうまく運用できない。ここに、課題を感じている企業も多いことと思います」（橋本氏）

　では、なぜ企業はポリシーをrejectやquarantineに引き上げられないのか。同社 田中雄真氏は、「ポリシーを引き上げたくとも、現場とのジレンマが生じている」と説明する。たとえば、部署ごとに異なるメールアドレスやツールでDMARCが運用されているケースがあり、認証の設定漏れがあると、ポリシーを引き上げた途端に正規のメールまで届かなくなってしまうリスクがある。「正規のメールが届かなくなるリスクを懸念し、事前のモニタリングや社内調整に慎重にならざるを得ない企業が少なくない」という。

セキュリティ対策の証左となるBIMI　導入までには高い「壁」が

　DMARCのポリシーを安全にquarantineまたはrejectにまで引き上げた企業が、「BIMI」の導入に進むことができる。BIMIとは、認証された正規のメールの受信トレイに企業の公式ブランドロゴを表示させる、視覚的なブランド認証の最新仕様だ。

　ECサイトなどのブランディングやマーケティングとしての意味合いも強いBIMIだが、この技術の核は「強固なセキュリティ対策を講じている証」という点にある。BIMIが表示されているということは、SPF・DKIM・DMARCといった送信ドメイン認証を適切に実装しているドメインからのメールであることを意味するからだ。つまり、なりすましメールではないと受信者が一目で判断する材料になる。

　ただし、BIMIを実際に導入するためのハードルは高い。一般的なBIMI運用では、DMARCのポリシー要件を満たすだけでなく、メールボックスに表示させるロゴマークが、ドメイン所有者である組織が対象国で商標登録しているロゴでなければならないという厳格なルールが設けられているからだ。商標登録をしていない場合は出願から始める必要があり、さらに認証マーク証明書（VMC）の取得・維持には決して安くない年間コストがかかる。こうした手間やコストは、多くの企業にBIMI導入の“現実的な難しさ”として立ちはだかっていることだろう。とはいえ、大量のメールを送信するエンタープライズ企業において、このコストは十分に採算が取れるものだと田中氏は語る。

　「いつも届いているメールにロゴマークがあり、それがなければ“怪しい”とユーザーが直感的に判断できる安心感は大きいでしょう。メールマーケティングにおいて件名の工夫で開封を促していた時代から、パッと見のロゴによって、開封や信頼のきっかけを作れる時代へシフトしています。長期的に自社のドメインをブランドとして育てていくための投資は、確実に企業の資産になります」（田中氏）

　さらに藤田氏は、実務的なメリットとしてGmailアノテーションの活用にも言及。DMARCのポリシーをrejectに引き上げることで、Gmailのプロモーションタブなどで送信側から画像やオファー情報をコントロールして差別化を図るアノテーションの活用もしやすくなり、マーケティングの効果も高くなるという。加えて、導入後の運用面で大きな壁となるものはない。だからこそ、まずは「導入」というハードルをクリアする必要がある。

高性能は当たり前、メール配信システムには“信頼性”も不可欠に

　こうしたメール到達性の課題と、DMARCやBIMIといった高度なセキュリティ要件に直面する企業に対し、WOW WORLDは強力なワンストップの解決策を提供する。

　同社の核となる「WEBCAS e-mail」は、毎時1000万通^※という業界最高レベルの配信性能をもつメール配信システム。長年にわたり、大手企業や官公庁の大量配信を支えつづけてきた。既存の基幹システムや複数のデータベースとの柔軟なデータ連携が可能で、個人情報を安全に管理できる強固なセキュリティ環境を有している。さらに、政府情報システムのためのセキュリティ評価制度「ISMAP-LIU」にも登録されており、ガバナンス面でも高い信頼性を誇る点が特長だ。

　WEBCASが市場で評価されている理由は、優れた配信基盤の提供だけではない。「DMARCレポート支援サービス」および「BIMI導入支援サービス」を組み合わせて、導入から日々の運用までを一気通貫でサポートできる点も、押さえておきたいポイントだ。到達率の可視化やダッシュボードを提供するサービスが多い中、WOW WORLDは送信ドメイン認証の設計・解析・ポリシー運用まで含めて伴走できる数少ない存在だ。また、多くの企業を悩ませるDMARCレポートの解析でも、WOW WORLDの支援アプローチは他社のダッシュボード表示とは一線を画している。

　「一般的に、メール到達率を比率で把握することは多いですが、私たちは影響の大きさを把握するために絶対的な『数』の推移を追いかけます。なぜなら、大量に送信する組織においては、たとえ0.1％でも重要なビジネスメールが数千通規模で届かなくなることを考えれば大変な事態だからです」（藤田氏）

　橋本氏もまた、「顧客のドメインがなりすましに使用されていないかを調査し、どのメールサーバーを通すべきか、具体的な対応策とポリシー引き上げの改善提案までを専任担当者が伴走しながら支援する」と、手厚いコンサルティング体制を強調した。

　BIMIの導入時にも、ロゴ画像の調整からVMC証明書の取得代行、DNSレコードの設定支援にいたるまで、すべての障壁を顧客に代わってクリアしていく。単なる設定方法の提供にとどまらず、認証環境の設計から実装・検証までを伴走することで、情シス部門の運用負荷とリスクを大幅に軽減できるとのことだ。

　顧客の手元へ確実にメールを届けるためのインフラは、もはや「送れば届く」という前提は成り立たず、「信頼性が担保された状態で相手に届くこと」を焦点に考えなければいけない。メール配信システムにおいて、性能が良いことは当たり前。厳格なセキュリティ要件が満たされていることや企業が求める機能を先回りで提供してくれることが、重要な点となってくる。

　藤田氏は最後に、「10年前と違い、メールは工夫をしないと届きづらくなっている。メール配信システムにおいて少しでもお困りのことがあれば、ブラックボックスを前に悩むのではなく、まずは当社の知見を頼って声をかけていただきたい」と、現状把握の一歩を踏み出すためのメッセージを送った。