メール配信に求められる「信頼性」は十分か？企業のDMARC運用が失敗するワケとBIMI導入の勘所

DMARC運用の罠　安易なポリシーの引き上げが招くトラブル

　メールの正当性を証明し、悪質なフィッシングから自社と顧客を守るためには、複数の認証技術を体系的に理解する必要がある。現在、中心となっている概念はSPF、DKIM、DMARC、BIMIの4つだ。

　SPFは、郵便でたとえるならば「どの送信元IPアドレスから送られてきたか」を根拠に判定する仕組みである。一方のDKIMは、電子署名を用いて「送信者が本人であり、内容が改ざんされていないこと」を証明するものだ。

　しかし、これら従来の認証技術だけでは、受信者の画面に表示される送信元（ヘッダーFrom）の偽装を完全には防げない。

　メールには、システムの配送処理に使われる「エンベロープFrom（戻り先）」と、受信者の画面に表示される「ヘッダーFrom（差出人）」という2つの送信者情報が存在する。SPFが検証するのは前者のエンベロープFromのみであるため、「画面上の表示は有名企業に偽装されているのに、配送元のドメイン認証は通ってしまう」といった、“なりすまし”が成立してしまう。こうした構造上の弱点を突き、SPF認証を通過させながら表示名を偽装するフィッシングメールが多発している。

　この課題を解決するために登場したのがDMARC（Domain-based Message Authentication, Reporting and Conformance）だ。DMARCは、SPFやDKIMの認証結果と、受信者に表示されるヘッダーFromのドメインが一致しているかどうかを確認することで、送信者情報の食い違いを防ぐ。そのうえで、認証に失敗したメールをどう扱うかという方針を送信者側が受信側に伝えられる。これにより、なりすましが疑われるメールを受信者に渡さない「reject（拒否）」や、迷惑メールボックスに送る「quarantine（隔離）」といったポリシーを、ドメイン単位で指定できるようになるのだ。

　昨今、GmailやMicrosoft 365（Outlook）など主要メールサービスプロバイダーの送信者ガイドラインをクリアするために、企業のDMARC導入は急速に進んだ。しかし、その後の運用面で課題を抱える企業も少なくないという。WOW WORLDの橋本宜明氏は、「DMARCは仕組みが複雑なため、普段からこの領域を専門的に扱っていなければ、すべてを完璧に理解することが難しい」としたうえで、DMARCの導入を優先し、まずは受信側に何の制限も課さない「none（監視）」ポリシーで運用しつづけている企業も多いと語る。

　「noneポリシーは導入時の重要なステップですが、その状態で運用が止まってしまうと、DMARC本来の効果を十分に発揮できません。導入してはいるものの、リソース不足でうまく運用できない。ここに、課題を感じている企業も多いことと思います」（橋本氏）

　では、なぜ企業はポリシーをrejectやquarantineに引き上げられないのか。同社 田中雄真氏は、「ポリシーを引き上げたくとも、現場とのジレンマが生じている」と説明する。たとえば、部署ごとに異なるメールアドレスやツールでDMARCが運用されているケースがあり、認証の設定漏れがあると、ポリシーを引き上げた途端に正規のメールまで届かなくなってしまうリスクがある。「正規のメールが届かなくなるリスクを懸念し、事前のモニタリングや社内調整に慎重にならざるを得ない企業が少なくない」という。