プルーフポイントのレポートにより日経225企業の77%が「なりすましメール詐欺」に有効な対策ができていないことが判明

2020年9月14日

2020年9月15日、サイバーセキュリティとコンプライアンス分野のリーディングカンパニーである日本プルーフポイント株式会社 (本社：東京都港区、代表取締役社長：茂木正之、以下プルーフポイント)は本日、2020年9月に実施した国内企業におけるEメール認証の調査結果をもとに、Eメールの安全性に関して分析をおこない、日本における現状と課題、考察をまとめたレポートを発表しました。

概要

Eメールは、攻撃者が世界中の企業を攻撃する際に、最も多く利用する経路です。サイバーセキュリティのリーダーであるプルーフポイントが最近おこなった調査によると、日経225の77％の企業が、「なりすましメール詐欺」に対する効果的な防御策を講じていないことが明らかになりました。
分析では、企業のドメイン全体でのDMARCメール認証の導入レベルを調査しました。DMARC(Domain-based Message Authentication Reporting and Conformance)は、メールをドメインレベルで保護するオープンなメール認証プロトコルです。企業がDMARCを導入していない場合、サイバー犯罪者がその企業のドメインになりすますことができるため、メール詐欺の脅威にさらされる可能性があります。

調査結果

プルーフポイントでは、日経225企業におけるDMARC認証の対策状況について調べ、世界の主要な企業のDMARC対策状況と比較をおこないました。その結果、欧米企業と比べて、日本企業のメールセキュリティ対策に大きな遅れがあることが分かりました。
対策状況は以下の通りです。欧米企業の約半数がこの認証技術を導入しているのに対し、日経225企業の約４分の１(23%)しか導入が進んでいません。アメリカおよびカナダはFortune1000のうち67%とトップで、ついでフランス（59%）、オーストラリア(52%)、イギリス(50%)となっています。
さらに日経225企業の中でDMARCのRejectポリシーを導入している企業はわずか3%でした。Rejectポリシーを使うことにより、従業員、パートナーおよび顧客の受信箱に届く前に、積極的に自社になりすました詐欺メールをブロックすることができます。

DMARCについて

2012年に公開されたDMARCは、インターネット標準のメール認証プロトコルです。
メールに表示される送信元アドレス(header-from)のドメインがなりすまされていないか、信頼できるものかどうかを判断することができる最初で唯一の認証技術です。

調査結果に対する考察

日本でDMARCの対応がなかなか進まない理由は、そもそもこの認証について知らないという理由のほかに、縦割り組織が影響している可能性があります。
「欧米では、サイバーセキュリティは組織全体の課題として、経営会議で取り上げられる経営問題です。しばしばトップダウンで対策がなされます。しかし日本では、経営陣がサイバーセキュリティに関与することは少なく、IT部門やセキュリティ部門まかせのことが多く、そうなると他部門への影響を調整しつつセキュリティを進めていくのに時間がかかります。」と日本プルーフポイント株式会社サイバーセキュリティエバンジェリストの増田幸美は述べています。

Eメールの複雑なエコシステムを持つ大規模な組織にとって、DMARC認証を完全に導入することは困難な場合があります。DMARCレポートに付加されている洞察を追加することで、組織は送信者をより迅速かつ正確に特定することができます。これによりDMARC認証の導入プロセスを加速化し、正当なメールをブロックしてしまうリスクを低減することができます。

DMARCの専門知識を持つプロフェッショナルサービスコンサルタントは、組織がすべての正当な送信者を特定し、認証問題を解決し、メールサービスプロバイダと協力して、適切に認証がおこなわれているかどうかを確認するのに役立ちます。サードパーティのメールサービスプロバイダを含むすべての正当なメール送信者を適切に特定し、認証の問題を修正することで、組織はDMARCポリシーで”Reject(拒否)”を実施する前に、高い信頼性のレベルに到達することができます。

DMARCを導入することにより、自組織になりすまして送る詐欺メールを防ぐことができ、自組織だけでなく付き合いのあるパートナー組織や一般消費者を守ることが可能で、ひいては自組織のブランドを守ることにつながります。

DMARC認証を実施する方法については、以下をご覧ください。
https://www.proofpoint.com/jp/products/email-protection/email-fraud-defense

Proofpointについて

Proofpoint, Inc.（NASDAQ:PFPT）は、サイバーセキュリティのグローバルリーディングカンパニーです。組織の最大の資産でもあり、同時に最大のリスクともなりえる「人」を守ることに焦点をあてています。Proofpointは、クラウドベースの統合ソリューションによって、世界中の企業が標的型攻撃などのサイバー攻撃からデータを守り、そしてそれぞれのユーザーがサイバー攻撃に対してさらに強力な対処能力を持てるよう支援しています。また、Fortune 1000の過半数を超える企業などさまざまな規模の企業が、プルーフポイントのソリューションを利用しており、メールやクラウド、ソーシャルメディア、Web関連のセキュリティのリスクおよびコンプライアンスのリスクを低減するよう支援しています。
詳細は www.proofpoint.com/jp にてご確認ください。