なりすまし対策してますか？メールのセキュリティについて解説
普段から業務でよく利用しているメールですが、自分から誤送信をおこさないように気を付けている方は大勢いると思いますが、外部からの攻撃に対しても同じくらい気を付けていますか？
メール誤送信同様に、機密情報や個人情報を外部に漏らしてしまうこともあるため、十分に気を付ける必要があります。
そこで今回は、近年増えている、なりすましメールを中心に説明します。
最後まで読んでいただき、メールのセキュリティ対策について、今一度考えてみてください！
1. なりすましメールとは？？
なりすましメールとは、悪意のある第三者が企業や団体に偽装して送信されるメールのことを指します。
近年では企業や組織を装って、あたかもその企業からメールが配信されているかのように見えるメールを送り、URL にアクセスさせて、電話番号や口座情報などの顧客情報を盗むといった手口が多く見られます。
例えば、航空会社から航空券のタイムセールのお知らせのメールが届き、タイムセールなので急いで購入しよう！とURLを開くと、巨額の請求、顧客情報も同時に盗まれてしまうといったケースです。
しかし、個人のメールではなく、企業や組織のメールアドレスになりすましメールが配信され、
誤ったメールや URL にアクセスしてしまうと、巧妙な手口で従業員や顧客の機密情報が外部へ流失してしまい、企業にとって大損失に繋がりかねないこととなる可能性があります。
このようななりすましメールを見分けることができれば、未然に上記のような事態を防ぐことができるかと思いますが、どのようになりすましメールだと判断するのか、次章で具体例を紹介していきます。
2. なりすましってどうやって判断する？
では、受信したメールはどのようにして”なりすましメール”と判断するのでしょうか。
なりすましメールの判断基準は以下となります。
1．文章の内容におかしな点がある
章の内容や言葉が誤っている場合や、URL が怪しい場合はなりすましの可能性があります。
少しでも怪しいな？と感じたら差出人に電話や別途新規でメールを作成し確認するようにしましょう。
2．メールソースを確認する
メールソースを確認することでどこから送られてきたか確認することが可能です。
Google には、SPF レコードやDKIM 、DMARC というメールがなりすまされているか判断できる仕組みがあります。
メールソースの確認方法は Gmail の場合、画面右側に表示される・３つアイコンをクリックし、［メッセージのソースを表示］をクリックします。
メッセージソースが表示されると下記のような画面が表示されます。
赤枠の箇所に SPF と表示がありますが、SPF の他にも、DKIM や DMARC の表記がある場合があります。
※セキュリティ保護のためぼかしています
差出人が正しい場合、SPF、DKIM、DMARC に［ PASS ］と表示され、差出人が怪しい場合は、SPF が［ SOFTFAIL ］、DKIM が［ FAIL ］となっています。
3. 送信者側での対策ってなに？
メールを送信する側において、送信元を詐称してメールが取引先に送られるなど、場合によっては被害が大きくなることがあります。
また、設定によってはセキュリティの設定が足りておらず、メールが届かないといったこともあります。
送信元でできる対策である「SPF」「DKIM」「DMARC」について説明します。
3-1. SPF
SPF の正式名称は Sender Policy Framework（SPF）です。
SPF を設定することで、迷惑メールの送信者によって
ご利用のドメインから不正なメールが送信されるのを防ぐことができます。
なりすましからドメインを保護したり、
送信メールが迷惑メールに分類されないようにしたりするのに役立ちます。
メールを受信する側が送信元のDNSを確認し、SPF などがないか、受信したメールの送信元IPアドレスが DNS レコードに登録されているものかを確認する仕組みとなります。
3-2. DKIM
DKIM とは「Domain Keys Identified Mail」の頭文字を取ったものです。
送信側がメールに署名を埋め込み、受信側は送信者の DNS サーバーに公開されている鍵と送られたメールの署名の情報が合致しているかを検証するものです。
SPFと同様に、DNS サーバーの情報を確認する動きとなりますが、SPF の場合は送信元ドメインからの送信が許可されているサーバーかどうかの確認のみとなります。
一方、DKIM の場合は送信元の DNS サーバーに登録されている鍵と実際に送信されたメールの署名に埋め込まれている鍵が同じかどうかを確認します。
図解で表すと下記のようになります。
① あらかじめ、送信元の DNS サーバーに公開鍵を登録
② 送信者がメールを送ると、電子署名（秘密鍵）が埋め込まれ、受信者に届く
③ 受信者は送信元の DNS に問い合わせ公開鍵を入手
④ 受信側は公開鍵と電子署名（秘密鍵）を検証し、合致するか確認する
④の検証で、合致しない場合はメールの受信を拒否したりします。
3-3. DMARC
DMARC は「Domain-based Message Authentication, Reporting and Conformance」の略です。
3-1、3-2で説明した SPF と DKIM を組み合わせて活用する技術です。
SPF、DKIM が設定されていることが前提となりますが、SPF や DKIM はなりすましメールの場合の受信可否は受信者に委ねられるものに対して、DMARC ではなりすましメールは受信しないでくださいと指示をすることができるようになります。
仮に、SPF や DKIM の認証が失敗しても DMARC で成功すればメールは届きます。
認証の最終手段として利用することもできれば、受信側に「自分たちのドメインじゃないものは受信させない」といった強制力を持たせることもできるのです。
4. どこに設定するの？（DNS）
SPF や DKIM、DMARC のレコードは、サーバーの DNS に登録することで有効となります。
DNS への登録はドメイン提供元の事業者、または DNS を管理している社内の担当者に依頼してください。
なお、DMARC に関しては、利用しているサーバーによっては登録できない可能性がありますので、詳細につきましてはドメイン提供元の事業者に確認するか、ドメインを提供している事業者のホームページをご確認ください。
Google の SPF、DKIM、DMARC のレコード の登録につきましては、
それぞれ以下のように設定してください。
〇SPF
レコードタイプ：TXT
値 ：v=spf1 include:_spf.google.com ~all
〇DKIM
レコードタイプ：TXT
値 ：管理コンソールの [TXT レコード値] 欄のテキスト
〇DMARC
レコードタイプ：TXT
値 ：v=DMARC1; p=quarantine\; pct=100\; rua=mailto:postmaster@[ドメイン].com
以下が Google のヘルプページとなりますので、こちらも併せてご確認ください。
SPF
https://support.google.com/a/answer/10685031?hl=ja&ref_topic=10685331
DKIM
https://support.google.com/a/answer/174126?hl=ja&ref_topic=2752442
DMARC
https://support.google.com/a/answer/2466563?hl=ja&ref_topic=2759254
弊社では Google Workspace の運用をサポートしている、カスタマーサクセスチームがございます。
運用にあたり、ご不明な点やお悩みのご相談等ございましたら、以下のページよりお気軽にお問い合わせいただけますと幸いです。
皆様のお力添えができるよう、精一杯サポートいたします。