DMARCが「推奨」ではなく「必須要件」に！？迫りくるメール運用への危機

メール周りのセキュリティ問題が取り上げられることが多くなっている昨今、その有効策として紹介される１つに送信ドメイン認証であるDMARCがあります。

DMARCという言葉を聞いたことがある方もいるかと思いますが、実はこのDMARCはメール運用を行う事業者にとっては「推奨」ではなく既に「必須」の要件になってしまっているのです。

今回は、DMARC未導入による脅威やその対応についてご紹介します。

DMARC導入を先送りにすることによるリスク

今後DMARCを導入しないままメール運用を継続すると、自社だけではなく関係のないユーザーにまでリスクが発生してしまう可能性が高まります。

そのリスクの１つが「なりすましメール」です。なりすましメールは自社の名前を騙って詐欺やウイルス被害を広める悪質な行為で、既に現時点で相当数の報告が上がっています。

このなりすましメールはDMARCを導入することで、自社を装って送信されるメールを顧客や第三者に配信されないように設定できます。

そして、この「なりすましメール」の横行により各メールサービス提供事業者側が、DMARCに対応していないメールは受信できないようポリシーを強化する動きが始まっています。

これがリスクの2つ目にあたる「メール不達」となります。

いずれも、メール配信者側・受信者側にとって不利益しか生まない状況に陥ってしまうため、ビジネス利用のメールにはDMARCが必要な時代となってしまっています。

早急な対応が要求される

このようにビジネス利用で使用するメールにはDMARCの導入は必須となっており、その対応が遅れれば遅れるほど自社・顧客問わず様々なリスクにさらされ続けることになります。

なお、DMARCの導入には事前に同じく送信ドメイン認証であるSPFやDKIMを導入・有効にしておく必要がありますので、一から自社で対応するには難易度が高くなります。

ただ、幸いなことに最近ではDMARCに対応しているメールサーバーも多数存在しますので、メールサーバーの乗り換え作業を行うことで専門知識がなくともDMARCの導入まで簡単に行うことが可能です。

問題はDMARCに対応しているメールサーバーであっても、片方のリスクに対してしか対応できないという落とし穴が存在します。

固定の専用IPアドレスを利用できるかどうか

DMARCに対応しているメールサーバーであれば、ひとまずは「なりすましメール」の対策としては有効です。

しかし、もう一つのリスクである「メール不達」問題に関しては、DMARC対応のメールサーバーであっても解消できない可能性があります。

というのも、メールが相手に届かないメール不達問題はDMARCに対応しているかどうかに加えて、メール送信を行っている「ドメイン」そして「送信メールサーバーのIPアドレス」がブラックリストに登録されていないかも重要な項目となります。

このうち「送信メールサーバーのIPアドレス」ですが、メールサーバーの中には不特定多数のユーザーと一緒に利用する共用IPアドレスを利用する送信メールサーバーと1つの専用IPアドレスを専有利用できる送信メールサーバーがあります。

前者の共有IPアドレスを利用する場合、共用するユーザーの中に迷惑メールもしくはそれに近いメール配信を行うユーザーがいた場合、そのIPアドレスがブラックリストに登録されてしまいメール不達の巻き添えになります。

その反面、専用IPアドレスを利用できるメールサーバーであれば、自社で問題のないメール配信を行っていればブラックリストも登録される心配はなく、DMARCにも対応しているので2つのリスクの対策として有効となります。

まとめ

DMARCの必要性は把握しているが、日々の業務に追われるあまり対応を先延ばしにしている方もいるかと思います。

ただ、このDMARC問題は自社だけではなく顧客を詐欺から守る行為でもあり、さらにはなりすましメールにより自社のイメージ悪化を防ぐという側面もあります。

記事内でもご紹介の通り、すでにDMARC推奨からDMARC必須にまで緊急度が上がってしまっていますので、これを機にご検討いただければと思います。