プルーフポイントは、2022年12月に実施した国内企業および海外企業におけるEメール認証の調査結果をもとにEメールの安全性に関して分析を行い、日本における現状と課題、考察結果を発表した。
今回同社は、企業におけるDMARC認証の導入率を調査。DMARC認証は「ドメインのなりすまし」対策に有効なものとされており、なりすまされた側の企業が設定した内容に基づいて、自動でなりすましメールを拒否、隔離、あるいは監視を行うことが可能だ。
DMARCポリシーには３つのレベルがあり、ポリシーが厳しいレベル順に「Reject（拒否）」「Quarantine（隔離）」「None（監視のみ）」となっている。このうち「Reject（拒否）」および「Quarantine（隔離）」を導入することで、従業員、取引先企業および顧客の受信箱に届く前に、自社になりすました詐欺メールを積極的に抑止することが可能だ。
プルーフポイントが日経225企業を対象に行った調査によると、DMARC認証を導入している日経225企業は31％にとどまっており、顧客やパートナー、従業員がメール詐欺に遭う可能性があることが判明したとのこと。
これは世界18か国での導入状況と比較し大きな遅れをとっており、アメリカはFortune 1000企業のうち88%、英国はFTSE250企業のうち74%、オーストラリアはASX200企業のうち77%、フランスはCAC40企業のうち83%、デンマークではOMXC25すべての企業においてDMARC認証が採用されている。
なお日経225企業のうち、DMARC認証を31％の企業が採用しているものの、メール詐欺に対する防御のレベルはそれぞれ異なっているという。31％のうち、現在推奨されている厳格なレベルのDMARCプロトコルである「Reject（拒否）」を導入していたのはわずか2％。そして25%が「None（監視のみ）」レベルでDMARCプロトコルを採用しており、認証されていないメールが受信者のメールに到達することを許してしまっているとのこと。
今回の結果を受け、日本プルーフポイントのサイバーセキュリティエバンジェリストである増田幸美氏は次のように述べている。
「2022年秋に大手個人メールプロバイダーの多くがBIMI/DMARCの導入を完了しています。また、BIMIやDMARCをサプライチェーン全体に導入することで、メール詐欺を容易に検知できる下地が整いました。あとは企業側が対策するだけです。攻撃の多くは『人』の脆弱性をついて行われます。サイバーセキュリティ対策は自分の組織を守るためのものだけではありません。自分の組織になりすまして取引先や顧客などのサプライチェーンを狙う攻撃に対するサイバーセキュリティ対策も必要です。サプライチェーン全体が、サイバー攻撃に対して耐性を持つための対策が必要とされています」
【関連記事】
・プルーフポイント、2023年のサイバーセキュリティ7大予想を発表
・深刻なサイバー攻撃リスク、経営層クラスが半分を占める プルーフポイントが調査結果を発表
・CISOのセキュリティリスク認知は世界的に低下傾向 プルーフポイントがレポートを公開
