皆さんが事業でお使いのメールアドレス(ドメイン)は何点かご存知ですか?「そんなこと知らない」だったり「気にしたこともない」方が大半だと思います。実は、皆さんがお使いのメールアドレス(ドメイン)はいろいろなところで『評価』され、大抵の場合『得点評価(スコアリング)』されています。本日はその指標のひとつとして、「mail-tester」という迷惑メール度を判定してくれるサービスをご紹介します。mail-testerサービスの概要サイトに表示されるメールアドレスへ判定して欲しいメールアドレス/ドメインからメールを送信すると、様々な観点からチェックを行い、10点満点で評価をしてくれます。評価項目毎に採点理由を表示してくれるため、改善ポイントがわかります。送信したメールがどうして迷惑メールフォルダに入ってしまうのか判断の目安にすることができます。1日に3回までならユーザ登録不要・無料で利用できます。使い方もとても簡単です。サイトにアクセスして、テストメールを送信する宛先メールアドレスを確認します。上で確認したチェック用の宛先メールアドレスにテストしたいドメインのメールアドレスからメールを送信します。SCORE」ボタンをクリックします。今回は某レンタルサーバーのデフォルトドメインのメールアドレスからメールを送信してみました。5点というなんとも怪しい雲行きの評価です...減点5点の内訳は次の評価項目でご確認ください。「SCORE」が表示された下に、評価項目と項目ごとのマイナス点が表示されます。各項目の詳細な採点理由と対策が表示されます。SpamAssassin(スパムフィルタ)に「スパム」である可能性として約2点減点されています。電子署名ベースの送信ドメイン認証として、DKIMが設定されていないため、1点減点され、送信ドメイン認証で計3点減点されています。筆者の個人的見解ではありますが、7点未満のメールアドレス/ドメインをビジネスで使うことは避けた方がよいと思います。比較用に弊社”cast.works”ドメインの”info@cast.works”メールアドレスのテスト結果もご確認ください。メール関連だけではなく、もう少し詳細に調査の必要を感じられたら...是非インフラ無料診断サービスをご依頼ください。今お使いの電子メールサーバーとその付随するシステム、およびWebサーバーが抱えている脆弱性やリスク等を無料で診断させていただきます。送信ドメイン認証や25番ポートブロックといった迷惑メール対策技術は、効果的な迷惑メール対策として実用化が図られてきたところです。他方、こういった技術の中には、その利用が電気通信事業法に規定されている通信の秘密の保護及び役務提供における差別的取扱いの禁止に抵触するおそれがあるものもあります。そこで、総務省ではこうした迷惑メール対策技術に関して、法的な整理を行い、迷惑メール対策技術の導入を促進しているところです。認証メール配信GoogleのWEBメールシステムであるGmailをお使いの方は、御社のお客様にも多いのではないでしょうか。以前の記事でもお知らせ致しましたが、Gmailアドレスへ御社のドメインからメールを送信した場合、どのように表示されているかを知ると、お客様が御社をどのようなイメージで見ているか...がわかるかもしれません。下の図は、弊社のcast.worksメールサーバーからGmailへメールを送信したものを、画面キャプチャしたものです。・メールサーバー間のSSL/TLSによる暗号化を実装しているため、注意喚起すべき表示がありません。この記事では、図中の赤い文字の部分を解説させていただきます。御社のメールサーバーが送信ドメイン認証技術に対応していない場合WEB版GmailとAndroidでは、送信ドメイン認証技術である”SPF”または”DKIM”のどちらかで認証がされない場合、メールのプロフィールアイコンに“?”(はてなマーク)が表示されます。送信者の右側に「経由」と表示される場合があり、ドメインで署名したDKIMキーがFromアドレスで使用するドメイン名と異なる署名(第三者署名)であった場合に表示されます。Gmailで経路情報が表示されないようにするためには、正しく設定されたSPFと、DKIMが第三者署名ではなく作成者署名である必要があります。作成者署名で登録することで、この「署名元」に独自ドメインを表示することができ、受信者からみた際のメールの信頼度が上がります。赤い鍵アイコンが表示され、「暗号化」項目に【ドメイン名】はこのメッセージを暗号化していませんと表示されます。メール送信元のサーバー情報が表示されます。メールマガジンの配信システムなどを利用している場合は、サービス提供者のドメインが表示される場合もあります。自社のメールアドレスから送信したメールが、Gmailで赤い文字が多く表示されている事業者さまは、是非この際にメールサーバーの乗り換えをご検討ください。御社サーバーの送信ドメイン認証(SPF・DKIM・DMARC)化技術に関するお問い合わせメールサーバーのSSL/TLS化技術に関するお問い合わせなどのお困りごとについて、是非お問い合わせください。外部リンク米Googleがメールサービス「Gmail」に認証に関する警告機能を追加します。この機能の追加により、Web版とAndroid版のGmailで、SPFまたはDKIMで認証されないメールの送信者プロフィール画像・企業ロゴ欄に?マークを表示して、メールが認証されていないことをひと目で確認できるようになり、利用者が「このメールに使われているメールアドレスは危険かもしれない」という判断ができるようになります。(IPA)が推奨する、『受信メールの真正性を保証する仕組みの導入』である「送信ドメイン認証」(SPF・DKIM)は、キャスト・ワークスが提供するサーバーに実装済みです。プラン)御社サーバーの送信ドメイン認証(SPF・DKIM・DMARC)化技術に関するお問い合わせ顧客情報などの管理に関するシステムの構築と運用に関するお問い合わせなどのお困りごとについて、是非お問い合わせください。外部リンク米Verizonの分析では2015年に発生した900件以上のデータ侵害になりすましメールが使われた。データ漏えい事案のうち900件以上で、フィッシングメール(なりすましメール、標的型攻撃メール)が使われ、受信者の30%が開封していたことが分かった。13%はマルウェアなどが密かに埋め込まれた添付ファイルを開き、11%はメールのリンクから誘導されるフィッシングサイト(なりすましサイト、偽サイト)にアクセスして個人情報などを入力してしまっていたことも判明した。「あやしいメールを開くな」とよく言われるが、同社は補完的な対応が不可欠だと指摘する。IPAが標的型攻撃に注意喚起」でも記載しましたが、もう一度さらに平易な言葉な置き換えて記載しておきたいと思います。「あやしいメールを開くな」と普段から指示を行うことについて、間違っているとは思いません。...現在のシステムにおいては「作業者が故意に開かなくても」システムの脆弱性を突いてセキュリティ上の重大な問題を引き起こすマルウェア・ウイルスが存在します。このような状況を利用者(従業員)がしっかりと認識をしたうえで警戒心の向上・維持を行うことが求められています。最近のメールは見た目で「あやしいメール」かどうかが判断できないほど巧妙になっています。なりすましメールへの対応策として「見た目」ではなく、「送信ドメイン認証」(SPF・DKIM)等のシステマチックな対応が必要です。個人情報を保有するデータベースをインターネットにアクセスするネットワークから切り分ける外部からのメールを受信するためだけに、VirtualBOXなど仮想化された環境を準備し、その仮想化PCの中のメール受信ソフトでメールを受信するようにします。このようにすることにより、万一ウイルス等に感染しても、会社内のネットワークを直接汚染することがなくなります。『受信メールの真正性を保証する仕組みの導入』である「送信ドメイン認証」(SPF・DKIM)は、キャスト・ワークスが提供するサーバーに実装済みです。プラン)御社サーバーの送信ドメイン認証(SPF・DKIM・DMARC)技術化に関するお問い合わせメールサーバーの送信ドメイン認証技術に関するお問い合わせ顧客情報などの管理に関するシステムの構築と運用に関するお問い合わせ社内でメールを安全に運用するための社員教育/勉強会/コンサルティングなどのお困りごとについて、是非お問い合わせください。メールを起因とした個人情報流出の事案が後を絶ちません。三位一体で対策をする必要があると企業・組織に対して注意喚起を行いました。非常に巧妙化している標的型攻撃メールの文面・タイトル等の内容に対し、従業員に定期的な教育を行い、攻撃メールに対する警戒心の向上・維持を図ることを勧めています。誤ってメールを開いてしまった場合も含めた、従業員から所定の担当部門への報告訓練などにも言及されています。受信メールの真正性を保証する仕組みの導入なりすましメールへの対応策として「送信ドメイン認証」(SPF・DKIM)などメールの真正性を保証する仕組みの導入も検討に値する...としています。いう側面から個人情報を保有するデータベースをインターネットにアクセスするネットワークから切り分けることが必要...としています。(IPA)が推奨する、『受信メールの真正性を保証する仕組みの導入』である「送信ドメイン認証」(SPF・DKIM)は、キャスト・ワークスが提供するサーバーに実装済みです。プラン)御社サーバーの送信ドメイン認証(SPF・DKIM・DMARC)技術化に関するお問い合わせメールサーバーの送信ドメイン認証技術に関するお問い合わせ顧客情報などの管理に関するシステムの構築と運用に関するお問い合わせなどのお困りごとについて、是非お問い合わせください。氏名や住所・電話番号・パスポート番号などを含む顧客情報を不正アクセスにより流出した可能性があると発表しました。外部リンク今回発生した事例では、「取引先を装ったメール」により偽の添付ファイルを開かせることでウイルスに感染させるという「標的型攻撃」と呼ばれる手口が使われていたようです。ターゲットに送信されるメールは「スパムメールとわかりにくく」なってきています。特定の企業や団体、組織を狙い、ウェブ上に公開されている組織の情報を用いたり、実在する企業名や担当者を用い、メールヘッダーを偽装することで、見かけ上本物の業務メールのように見える点が特徴で、メールの内容も「お世話になっております」など一般的にビジネスで使われる文章を使い、スパムメールに気をつけていても見分けがつかないほど巧妙に作成されている場合が多くなってきました。偽装された添付ファイルを開かせることでウイルスに感染させるパターン(主流)悪意を持ったURLへのアクセスを誘導するパターンとなってきます。ばら撒き型攻撃また「標的型攻撃」に似た手法として「ばら撒き型攻撃」という手法も存在します。「ばら撒き型攻撃」は標的型攻撃のように特定の企業や団体を標的にしたものではなく、不特定多数のメールアドレスに向けて発信され、個人のメールアドレス宛てに届くメールでも、ウイルス感染のリスクが増えてきました。送信ドメイン認証(SPF・DKIM)このように「スパムメール」を配信する悪質な利用者は「他者に成りすます」ことで自分たちの目的を遂行します。どのようにすれば、自社に成りすまされることがなく、自社の顧客を守ることができるのか?この問いに答えるのが「送信ドメイン認証」という技術(SPF・DKIM)です。「自社のサーバーから送信した」ことを証明する「送信ドメイン認証」(SPF・DKIM)を実装したサーバーからメールを送信することは、「自社であること」を証明します。言い換えれば「他社の証明されていないメール」は「スパムである」ことを証明することに繋がります。自社のドメインを「送信ドメイン認証」に対応させることにより、自社とお客様を守るという需要はますます増えきます。顧客の信用は、自社のセキュリティ向上により守るのです。注:今回のJTBの事案では、メールに対するセキュリティ向上だけではなく、社内のネットワークについてのセキュリティ向上も必要となってくる可能性もあります。本文が長くなりますので、本投稿ではこの内容を扱いません御社サーバーの送信ドメイン認証(SPF・DKIM・DMARC)技術化に関するお問い合わせメールサーバーの送信ドメイン認証技術に関するお問い合わせメールマガジン/ニュースレター配信における送信ドメイン認証に関するお問い合わせなどのお困りごとについて、是非お問い合わせください。セキュリティフィッシング対策協議会が「フィッシング対策ガイドライン」を改訂し、2016年度版を公開しました。同ガイドラインは2008年より継続して提供されており、利用者におけるフィッシング詐欺対策だけではなく、サービス事業者におけるフィッシング詐欺対策として提供されて提供されている点が重要です。被害が発生した際の対応事項について『三段階の優先度』が設定されており、サービス利用者がフィッシングメールを判別できるようにする対策として、送信ドメイン認証技術「DMARC」についての記載が初めて追加されています。「認証メール配信」に利用している技術、第四回は「送信ドメイン認証」についてまとめをしてみたいと思います。書いてきましたとおり、送信ドメイン認証という技術は、大きく二種類に分けられます。一つは送信元IPアドレスを根拠に、正規のサーバーから送られたかどうかを検証する技術で、もう一つは、送られたメールの中に電子署名を挿入し、その正当性を検証する技術です。IDという技術があり、後者にはDKIM以外にDomainKeysという技術があります。IDはライセンスの自由性に問題があるため普及率が低く、DomainKeysは後継技術としてDKIMが策定されたため、普及しませんでした。現在最も普及しているSPFとDKIMの送信ドメイン認証技術の認証結果を基に、自動でアクセスを制御したりレポーティングしたりできるようにする仕組みとしてDMARCが策定されましたが、未だ一般的に利用されている技術ではないのが実情です。2012年1月、Google・Facebook・Microsoftをはじめ15社の企業がスパムやフィッシングの脅威撲滅を目的としたワーキンググループ。「認証メール配信」に利用している技術について。第三回は「DKIMの署名」についてです。メールのFromアドレスに記載されているメールアドレスのドメイン名で署名した場合を作成者署名といい、それ以外を第三者署名といいます。作成者署名で電子メールを正しく認証できた場合は、間違いなくメール送信者のドメインから送信されたメールであることが確認できます。第三者署名で電子メールを正しく認証できた場合であっても、メール送信者のドメインであることは確認できず、どのドメイン名のメールサーバから送信されたのか...であれば確認できる...という、署名の違いが存在します。提供しておられる事業者様が居られますが、弊社のサービス提供価格とは比べ物にならない程高価な状況です。当認証メール配信サービスでは、この作成者署名を利用しており、電子メールの身元について明らかなサービスであるため、迷惑メールフォルダに送られにくいサービスであると言えます。