身も凍るような現実：世界の菓子大手におけるDMARCの導入状況
ハロウィンがまた近づいてきました。お化け屋敷や不気味な仮装、そしてもちろん、山のようなお菓子が楽しめる季節です。この機会に、売上高ベースで世界トップ100に入るお菓子メーカーにおけるDMARCの導入状況を見ていきましょう。
その結果は、まあ、ぞっとするようなものでした――菓子メーカーのドメインの半数以上が、適切なDMARCレコードや、 p=quarantine または p=rejectといった強制ポリシーが欠如していることが判明した。これらのドメインは、フィッシングやドメインスプーフィングに悪用される恐れがある。
- 43%はDMARCレコードが存在しなかったか、エラーが含まれていた
- 23%が、 p=none ポリシーが設定されたDMARCレコードを持っていた
- 22%には、 p=reject ポリシーを持つDMARCレコードを持っていた
- 12%には、 p=quarantine ポリシー
嬉しいニュースとして、2021年に菓子メーカー上位100社を調査して以来、各社のDMARC処理状況が改善されていることが分かりました。DMARCレコードを設定していないドメインが30%減少しており、この減少には新たな大量送信者向け要件が影響しているのではないかと考えられます。また、ポリシーの適用状況も向上しており、 p=reject（ドメインに対する最終的なポリシー状態）が144％増加し、 p=quarantineの状態にあるドメインも100％増加しました。
菓子業界からの教訓
フィッシングは依然として組織にとって最大のサイバーセキュリティ上の脅威であり、たとえウィリー・ウォンカのような人物であっても例外ではない。
今年初め、150年以上にわたりお菓子を作り続けてきたある家族経営の菓子メーカーが、電子メールを介したランサムウェア攻撃の被害に遭いました。悪意のあるペイロードにより業務システムが機能不全に陥り、生産システムが停止したほか、犯人らは人事データや契約データなどの個人識別情報（PII）が保存されたサーバーにアクセスしました。
サイバー空間には割れた窓も壊れた錠前もありませんでしたが、フィッシングメールやパスワードの盗難が犯行の兆候として浮上しました。後に、食品メーカーに対するサイバー攻撃の76％がフィッシングメールから始まっていることを知ることになりますが、もし私たちもその統計に含まれていても、まったく驚かないでしょう。
—Ganong Bros.
「トリック・オア・トリート？」メールトラフィックの正体を暴く時が来ました
DMARCを導入する際は、いかなるドメインも、特にパーキングドメインを放置してはいけません。組織の全ドメインポートフォリオにわたりDMARCを適用することで、組織全体の可視性が確保され、管理者はすべてのメールが組織の基準に従って送信されていることを確認するための新たなツールを手に入れるため、導入自体がはるかに容易になります。
サイバーセキュリティは、規模の大小を問わず、あらゆる組織にとって絶えず変化し続ける課題です。脅威の全体像を魔法のように解決する万能な解決策は存在しないため、多層的なアプローチが不可欠です。このようなアプローチを採用することで、防御策や手順が相互に補完し合い、組織のシステムや資産を確実に保護することができます。DMARCは、メールセキュリティの基盤となる技術であり、ドメインの使用状況を可視化し、どのユーザーが、どのようなメールをドメイン名を使用して送信するかを制御することを可能にします。
他の業界におけるDMARCの導入率をご覧ください
あなたのドメインの背後に潜むものに向き合う準備はできていますか？
dmarcianは、強制的な p=reject ポリシーを通じて、組織がDMARCコンプライアンスを達成できるよう支援します。セキュリティの専門家チームと、「ドメインセキュリティを通じてメールとインターネットをより安心できるものにする」という使命のもと、私たちは皆様が長期的にDMARCを導入・運用できるようサポートいたします。導入支援およびサポートチームが、その過程を全面的にサポートいたします。
さらに詳しく議論を続けたい方は、ぜひ dmarcian Forum へお越しください。
