プルーフポイントが明らかにした日本のなりすましメール対策の現状と課題

日本のサイバーセキュリティにおける最前線を行く企業、日本プルーフポイント株式会社。最近の調査によって、日本の企業や政府機関が直面する「なりすましメール詐欺」に対する対策がどのように進展しているのか、またその中での課題が浮き彫りになりました。特に、米国の優れた対策と比べると、日本の現状には大きな差があることが判明しています。

なりすましメールの脅威

メールは、攻撃者にとって最も利用されやすい手段の一つです。特に、実在する企業や政府のドメインを模倣したメールは、取引先や顧客に対する詐欺やフィッシング攻撃の手段として悪用されます。このようなリスクを軽減するために、ドメインのなりすまし対策が急務です。

DMARC導入の現状

プルーフポイントは、メール認証の有効な手法であるDMARCの導入について調査を行いました。日経225企業や米国のFortune1000企業、さらには日米の政府機関などを対象とし、DMARCの導入状況を比較分析しました。調査結果として、日本企業のDMARC導入率は92%に達したものの、実行の段階である「Reject（拒否）」または「Quarantine（隔離）」のポリシーを適用している企業は43%にとどまっています。米国企業では、同じく98%がDMARCを導入しており、そのうち83%が積極的に拒否や隔離を行っています。

この結果から、単にDMARCを導入しただけでは不十分で、本格的な運用への移行が必要であることがわかります。

業種別の深化する差

日本の企業を業種別に見ると、「金融業や保険業」でのDMARCの本格運用は進んでいる一方で、「情報通信業」や「不動産業」ではほとんどが「None（監視のみ）」という状態にとどまっています。これが意味するのは、各業種ごとにセキュリティ意識の差が明確に表れているということです。

政府機関の取り組み

日米の政府機関のDMARC導入状況を比べた場合、日本の官公庁は厳格な「Reject（拒否）」ポリシーが18%にとどまる一方、米国は全ドメインが最も厳格なポリシーを採用しています。このことからも、日本の政府におけるセキュリティの運用にはまだまだ課題が多いことが示されています。

DMARC導入の促進要因

2024年2月以降、GoogleやYahooが大量メール送信者に対してDMARCを含む送信ドメイン認証を求めるようになることは、日本におけるDMARC導入の追い風となるでしょう。これは、なりすましメール防止だけでなく、メール配信の質を向上させるための重要なステップです。

DMARCの可能性と企業への呼びかけ

プルーフポイントの専門家は、日本における金融や保険業でのDMARC導入が進んでいる一方、特にセキュリティ施策が求められる政府機関での導入が遅れを見せている事実を指摘します。特に、DMARCポリシーが「None」の場合、組織のドメインになりすました詐欺メールが大量に流通するリスクが高まります。具体的な事例を挙げると、過去にある機関では、1日あたり約1万通の詐欺メールが存在していたとされていますが、政策を「Quarantine」または「Reject」に切り替えることで、その数は劇的に減少しました。

このような状況の中で、日本におけるDMARC導入は企業のセキュリティを高めるだけでなく、取引先や顧客、さらには国民全体の安全を守ることにつながります。DMARCの重要性が高まっている今、企業はただ取り組むだけでなく、実効性ある運用ポリシーへの移行が必要です。

まとめ

合意形成されたDMARCの導入は、なりすましメールを防止する強力な武器です。特に「Reject（拒否）」ポリシーの採用は、ドメイン詐称による詐欺メールを大幅に削減し、企業の信頼性を高めるためにも不可欠です。加えて、BIMIを使用することで、送信者のブランドを視覚的に確認できる仕組みも整いつつあります。これにより、正規メールとなりすましのメールを容易に判別することができるようになります。

サイバーセキュリティの強化は、単なる企業内の問題ではなく、広範な社会における信頼の基盤を築く作業です。今後の日本においても、より多くの機関や企業がこのような取り組みを導入し、社会全体の安全性を向上させていくことが求められています。