金融サービス

金融サービス向けDMARC

メール詐欺から資産をどのように守っていますか？

オンラインバンキング、バーチャル金融サービス、そして仮想通貨への移行が進む中、金融サービス業界がサイバー犯罪者の主要な標的となっているのは当然のことだ。

ドメインにDMARCの強制ポリシーが適用されていない場合、犯罪者は銀行や投資会社を装い、顧客にフィッシングメールを送信して、口座へのアクセス権の取得、個人情報の窃取、支払いの転送、ランサムウェアのインストールなどを図ることが可能です。

金融機関のドメインがフィッシング攻撃に悪用されると、資金の不正流用や復旧費用による金銭的損失が生じるだけでなく、メディアの注目やブランドイメージの低下により、顧客からの信頼を失うことにもつながります。DMARCを利用することで、ドメイン所有者は誰が自分の名義でメールを送信しているかを確認し、正当な送信元を特定して、それ以外の送信元を排除することができます。

このプロジェクトでアッシュ・モリン氏とご一緒できたことを大変嬉しく思います。DMARC準拠やメールセキュリティ全般に関する彼の専門知識は、プロジェクト全体を通じて明らかでした。私とチーム一同は、この成功した協業を通じて貴重な知見を得て、多くのことを学びました。これは当社にとって真の付加価値となりました。

ルーベン・コラレスユナイテッド・ビジネス・バンク上級副社長兼情報技術部長

dmarcianのデプロイメント・マネージャーは、プロジェクトの進行中に発生したあらゆる問題に対して非常に親身に対応してくださり、問題を回避したり解決したりするための豊富な知識も持っていました。メールへの返信は常に迅速で、私たちの納得のいく回答を必ず提供してくれました。プロジェクトの立ち上げ期間中、彼は私にとって大きな支えとなりました。改めて感謝申し上げます。

リー・カルースフェネルゴシステム管理者

サイバー脅威が、他のセクターの企業に比べて、金融サービス業界全体を標的とする可能性は300倍高い。

ボストン・コンサルティング・グループ

DMARCがPCI要件の遵守にどのように役立つか

この動画では、DMARCの主要な考案者であり、dmarcianの創業者兼CTOであるティム・ドレイゲン氏が、DMARCが組織のPCI DSS要件への準拠にどのように役立つかについて解説しています。

詳細はこちら

概要：
世界的な金融ソフトウェアプロバイダーである同社は、自社のCEOを装ったフィッシング攻撃を検知しました。この攻撃を受け、同社は自社のドメインとブランドの評判を守るために断固たる措置を講じる必要があると判断しました。

状況：
電子メールは同社にとって極めて重要なコミュニケーション手段であり、Microsoft 365やAmazon SESをはじめとする複数のメールサービスを通じて、毎月数千通もの重要なメールを送信しています。目標は、メール環境全体にDMARCを導入し、 p=reject ポリシーを実現することでした。

への挑戦 クライアントが初めてdmarcianのプロフェッショナル・サービスに初めて依頼した際、その状況はよくある現実を反映していました：

プライマリドメインのDMARC設定は p=noneに設定されていました。多くのサブドメインには、DMARCポリシーが全く設定されていませんでした。
サポートや請求先を装ったなりすましメールに関する報告が増加していた。
複数のサードパーティベンダー（CRM、決済代行業者、マーケティングプラットフォームなど）が、SPFやDKIMを適切に設定せずにメールを送信していました。
メールの送信状況や認証に関する可視性が極めて低い。
DMARCレポートを確認したり、送信元の一致状況を評価したりするための体系的なプロセスが確立されていない。
シャドーITや管理対象外の送信者に対する懸念が、さらなるリスクをもたらした。

結果
導入プロジェクトの完了に伴い、当社はクライアントが すべてのアクティブなドメインに対して「p=rejectのDMARC適用ポリシー を実現できるよう支援しました 。その結果、なりすましに関する苦情は発生しなくなり、クライアントは全社的な正式なメールセキュリティレビュープロセスを導入しました。また、メールの送信フローや送信者を完全に管理できるようになり、ITセキュリティ部門、DevOps部門、マーケティング部門の連携が完全に強化されました。

主なポイント
初期の調査からDMARCレポートの作成に至るまで、dmarcianの導入スペシャリストがフィンテック企業を各段階において支援し、技術的な課題、戦略的な判断、そして同社のメールセキュリティ体制を一変させた具体的な成果を明らかにしました。

フィンテック企業は、なりすまし攻撃の格好の標的となっています 。DMARCはメールの信頼性を確保するために不可欠です。
部門横断的な連携 不可欠です。IT、セキュリティ、マーケティングの各チームを、できるだけ早い段階で連携させましょう。
可視化ツール 複雑さを軽減する DMARCレポートを圧倒的なものではなく、役立つものにするため。
複雑な環境であっても、 複雑な環境であっても可能である。A p=reject 効果的なプロジェクト管理があれば、p=rejectポリシーは実現可能です。
DMARCは単なるポリシーにとどまらず、 信頼と管理のための枠組みです。

世界の銀行トップ100のDMARCステータス

IBMによると、「金融機関を標的とするサイバー脅威のアクターのうち、金銭目的のサイバー犯罪者が最大の割合を占めており、サイバー犯罪者にとって金融会社が持つ魅力は明らかだ。攻撃が成功すれば、数百万ドル規模の巨額かつ迅速な利益が得られる可能性があるからだ」。また、金融・保険業界は4年連続で最も多くの攻撃を受けている。

金融機関は依然としてフィッシング攻撃の主要な標的となっているため、我々は、公表されている資産規模に基づき、世界の上位100行の銀行のDMARCの状況を調査した。

dmarcianは、金融機関がDMARC認証を導入し、ビジネスメール詐欺、フィッシング、なりすましに対抗できるよう、当社のDMARC管理プラットフォーム、教育リソース、および専門家のサポートを通じて支援いたします。