アジア太平洋地域の小売業者におけるDMARCの導入状況
世界的な傾向と同様に、アジア太平洋（APAC）地域におけるフィッシング攻撃は後を絶たず、パンデミック以降、指数関数的に増加しています。こうした状況を踏まえ、本稿では、売上高の推定値に基づき、APAC地域の小売ドメイン上位500社およびニュージーランド・オーストラリアの小売ドメイン上位100社の導入統計を提示し、小売業界におけるDMARCの導入状況について検証します。
前回のDMARC導入に関する調査記事でも触れたように、小売業者はサイバー攻撃から免れているわけではありません。むしろ、犯罪者にとって格好の標的となっているのです。
オーストラリア通信情報局（ASD）は、2023-24年度サイバー脅威年次報告書において、「詐欺の大部分は、フィッシングなどのサイバー犯罪に関連している。フィッシングは、被害総額の55％、報告件数の74％を占めている。合計で15万件強の報告があり、被害額は3,300万ドルを超えた」と報告している。
フィッシング攻撃により、組織が引き続き金銭的損失、ブランドイメージの毀損、信頼の喪失に見舞われていることから、メールエコシステムの大手各社は自主規制に乗り出し始めている。2024年2月、GoogleとYahooは、2023年10月に発表された大量送信者向けのDMARC要件の適用を開始し、これにより大量送信者の間でDMARC導入のラッシュが起きている。
DMARCが、貴社のPCI DSS要件への準拠にどのように役立つかをご覧ください。
アジア太平洋地域の小売企業トップ500社のDMARCステータス
当社のドメイン調査によると、アジア太平洋地域の上位500ドメインのうち46％が、ベストプラクティスに沿ったDMARCレコードを公開しています。これは、ドメインを悪用から守るための第一歩となります。
24％が、DMARCポリシーをp=quarantine 」p=quarantine p=rejectといった強制レベルに引き上げています。最後に、調査対象となったアジア太平洋地域の小売ドメインの76％は、レコードが存在しない、レコードに問題がある、あるいはp=none を採用していることから、フィッシングやソーシャルエンジニアリングによる侵入のリスクにさらされています。p=none 、DMARCの監視フェーズの一つであり、自社のドメインから誰がメールを送信しているかを確認できるようにするものの、保護機能は提供しません。
小売業者はEメールマーケティングに大きく依存しています。スパムスコアに関連して「評判」という言葉がよく使われますが、「ブランド」の評判という文脈ではあまり語られません。フィッシングはスパムの観点から評判に影響を及ぼしますが、それと同様に重要なのは、一般の人々からの評判にも影響を与える可能性があるということです。貴社からのメールは信頼できるのでしょうか？
dmarcian APAC事業部門 ディレクター、タス・カルフォグルー
RUAレポートの宛先が指定されていない
調査の結果、アジア太平洋地域（APAC）の小売業界トップ500社のドメインのうち、19％にエラーが見られたり、メールセキュリティ業界の標準に準拠していなかったりすることが判明しました。これらの問題の大部分（12％）は、DMARCレポートの送信先となるメールアドレスを指定するRUAレポートアドレスの欠如によるものでした。RUAアドレスを記載することはベストプラクティスであり、これがなければ、メールセキュリティ戦略の進捗状況を把握する手段がなくなります。
RUA（集計）レポートは、SPF、DKIM、DMARCの認証ステータスを含む、ドメインのトラフィック状況を示します。メールレポーターはRUAおよびRUFレポートをXML形式で発行しますが、この形式は人間が直接読み取るには適していません。DMARCレコードにRUAアドレスが設定されていない場合、ドメイン所有者はDMARCの中核機能の一つである「ドメインの利用状況の可視化」を活用できておらず、事実上、手探りの状態で運用していることになります。
RUAアドレスを当社のプラットフォームに設定すると、プラットフォームが生のDMARCレポートを処理し、ドメインの状態を一目で把握できる分かりやすいダッシュボードに変換します。
RUAアドレスを設定していないドメインが多数存在することは、小売業者が今年前半にGoogleやYahooが定めたメール認証要件を満たすためだけに、必要最低限のDMARCレコードを導入する傾向にあることを示唆している可能性がある。
p=none ポリシーがp=none で、かつレポート用アドレスが設定されていない DMARC レコードは、DMARC レコードが全く存在しない場合と何ら変わりません。 レポート（RUA）アドレスを追加することで、DMARCの重要な利点、すなわち、ドメインがどのように使用されているか（善意か悪意か）に関するインターネットからのフィードバックが得られるようになります。このフィードバックには、これらのメールがどのように認証されたかという情報が含まれており、メールの設定が正しく行われていることを確認するために不可欠な情報です。これにより、自信を持ってセキュリティポリシーの強化に着手することが可能になります。
また、当社の調査では、一般的なベストプラクティスに準拠していないドメインが多数存在することが判明しました。具体的には、SPFルックアップの過剰実行、外部DMARC検証エラー、SPFレコードの権限付与の過剰などが挙げられます。これらはすべて、是正されない限り、攻撃対象領域の拡大や配信率の低下といったリスク要因となります。当社のDMARC管理プラットフォームは、お客様のメール認証およびDNS運用を包括的に分析し、問題解決に向けた指針を提供します。
オーストラリアの小売業者トップ100社のDMARCステータス
APAC地域のトップ500ドメインと比較すると、オーストラリアの小売業トップ100ドメインのうち、より多くのドメインでDMARCレコードが設定されており、以下のDMARCポリシーが適用されています。 p=quarantine または p=reject が適用されており、ドメイン保護のないまま放置されているケースは少ない。
とはいえ、このグループのドメインの68%はDMARCによる完全な保護を受けていません。13%はDMARCレコードがなく、31%は p=none ポリシーを採用しています。さらに24％は技術的なエラーを抱えているか、ベストプラクティスに準拠していません。
つまり、SPFおよび／またはDKIM認証に失敗したメッセージをスパムとして振り分けるポリシーを採用しているのは32%となります（p=quarantine）とする、あるいは全く配信しない（p=reject）というポリシーを採用しています。後者は、DMARC導入の究極の目標です。
電子メールのなりすまし防止におけるDMARCの重要性を認識し、オーストラリア・サイバーセキュリティセンター（ACSC）は、DMARCの具体的な導入に関する推奨事項を含むガイドライン『悪意のある電子メール対策戦略および偽メールへの対処法』を発表しました。
SPF および／または DKIM を強化するために DMARC を導入する：ドメインベースのメッセージ認証、報告、および準拠（DMARC）により、ドメイン所有者は、送信者ポリシーフレームワーク（SPF）チェックおよび／またはドメインキー識別メール（DKIM）チェックに失敗した場合、受信側のメールサーバーがどのような措置を講じるべきかを定めたポリシーを指定することができます。
悪意のあるメールへの対策
ニュージーランドの小売業者トップ100社のDMARCステータス
「ニュージーランドにおける詐欺の実態」報告書によると、2023年8月30日から2024年8月30日までの間に、ニュージーランド国民はオンライン詐欺により約23億ドルの被害を受けた。同報告書はまた、金銭的損失の主な原因として、これまで首位だった個人情報盗用をオンラインショッピング詐欺が追い抜いたことを指摘し、犯罪者がより効率的かつ巧妙に活動できるようになった背景には人工知能（AI）の活用があると分析している。
同様に、ニュージーランドの「eCommerceNews」は、「ホリデーショッピングシーズンを控え、2024年には8万件近くの偽サイトが検出された」として、偽のオンライン小売業者の増加を報じている。 これらの不正なウェブサイトは、パンドラ、スウォッチ、H&M、プリンセス・ポリー、ザラといったブランドを装い、ニュージーランドの消費者を標的にしている。それらは正規のオンラインショップとそっくりな見た目や動作をしており、人々を騙してショッピングカートに商品を入れたり、クレジットカード情報を入力させたりしている。
ニュージーランドの小売ドメイン上位100件は、アジア太平洋地域（APAC）の小売ドメイン上位500件とほぼ一致しており、その72％がDMARCが提供する完全な保護を受けていません。ドメインの28％は p=quarantine または p=reject のDMARCポリシーで保護されていますが、22％は技術的なエラーがあるか、ベストプラクティスに準拠していません。
ニュージーランド政府通信保安局（GCSB）が作成・更新した『情報セキュリティマニュアル（NZISM）』では、サイバーセキュリティのベストプラクティスが概説されており、第15.2節「電子メールインフラストラクチャ」においてDMARCについても言及されている。
そこでは、DKIM、SPF、およびDMARCを p=quarantine または p=reject ポリシーで実装し、フィッシングやマルウェア配布攻撃から人々を守るよう推奨しています。NZIMは政府ドメインを対象としていますが、「王室関連機関、地方自治体、および民間組織も、このマニュアルを活用することが推奨されています。」
電子メールはコミュニケーションに不可欠なツールですが、サイバー攻撃の標的となることがよくあります。電子メールは歴史的にセキュリティが脆弱であり、ソーシャルエンジニアリングの影響を受けやすいため、保護するのは困難です。 メール認証は、スプーフィングやフィッシングといったなりすまし攻撃からメールを保護します。フィッシングやマルウェア配布攻撃は、インターネットセキュリティにおける一般的な脅威です。機関のドメインが不正に使用される（スパムやスピアフィッシングなど）のを防ぐため、Sender Policy Framework（SPF）、DomainKeys Identified Mail（DKIM）、Domain-based Message Authentication, Reporting & Conformance（DMARC）レコードを導入する必要があります。
NZISM Section 15.2.5.
DMARCポリシーの適用状況の比較
APAC地域におけるDMARCの導入率は、他の地域と同様に国や業界によってばらつきが見られ、DMARCに対する認知度、規制上の圧力、およびリソースの確保状況の影響を受けています。
DMARCの導入率がこれほど低いことを考えると、小売業者はまだDMARCの価値を十分に理解していないと言えるでしょう。サイバーセキュリティへの投資額は年々増加しているにもかかわらず、サイバー犯罪は増え続けており、その主な攻撃経路は電子メールです。DMARCは、自社ドメインを装ったフィッシング攻撃が組織に侵入するのを防ぐだけでなく、攻撃者が貴社のドメインを利用して、顧客やサプライチェーンに関わる人々を標的にすることを防ぐ役割も果たします。 DMARCを導入した組織がサプライチェーンに対し、自社の慣行を是正するよう促し、結果としてエコシステム全体に利益をもたらした事例を私は目にしてきました。メールエコシステムの主要プレイヤーたちはその重要性に気づき、メールの世界をより良いものにするためにできる限りのことを行っています。しかし、この取り組みはまだ終わっていません。インターネット上で自社のドメインがどのように利用され、あるいは悪用されているかを可視化する、スケーラブルなメールセキュリティポリシーであるDMARCの真の利点を周知し、普及させるための取り組みは、依然として必要とされています。
dmarcian APAC事業部門 ディレクター、タス・カルフォグルー
ご不明な点がございましたら、お気軽にお問い合わせください
強制ポリシーを伴うDMARCの導入率は約24%ですが、アジア太平洋地域は北米や欧州などの地域に比べて遅れをとっています。しかし、メール業界の規制や、DMARCがメールドメインの使用状況を監視・制限するための主要な手段であるという認識の高まりにより、DMARCの導入は勢いを増しています。
メールセキュリティの専門家チームを擁し、ドメインセキュリティを通じてメールとインターネットの信頼性を高めることを使命とするdmarcianとパートナー各社は、小売業者がDMARCの適用を実現し、顧客とブランドを保護できるよう支援してきました。私たちは、フィッシングからドメインを守り、長期的な視点でメールセキュリティを管理できるよう、皆様をサポートするチームです。
さらに詳しく議論を続けたい方は、ぜひ dmarcian Forum へお越しください。
