主要ファストフード店のDMARCステータス
マクドナルドのデータ漏洩に関するニュースを目にしたとき、ファストフード店が標的となり、システムに侵入されるという過去の事例が思い浮かびました。2013年のザクビーズ（Zaxby’s）におけるPOSシステムの侵害、2018年のダンキンの認証情報漏洩、そして2021年のチポトレ（Chipotle）のメールアカウント乗っ取り事件は、セキュリティ対策が不十分なITネットワークへの侵入を日々企てている犯罪者たちにとって、こうした飲食店がいかに狙いやすい標的となっているかを如実に示しています。
これまでの報道によると、先日の「McBreach」事件は被害規模が小さく、機密データが流出することはなかったものの、事態はさらに深刻化していた可能性もあった。「なぜファストフードチェーンが標的にされるのか」と疑問に思う方もいるだろう。 従来、金融機関は巨額の資金のやり取り、個人情報の保有、そして「一刻を争う」業務の性質から、サイバー攻撃の主要な標的と見なされてきました。しかし、こうした機関は一般的にサイバー防御策の導入に非常に積極的であり、その結果、犯罪者たちは防御体制がそれほど整っていない他の業界に目を向けるようになったのです。
調査の結果、主要なファストフード店のドメインの大部分が保護されていないことが判明しました。そのため、サイバー犯罪者がネットワークへのアクセス権を得るためのフィッシング攻撃の格好の標的となっています。保護されていないドメインに加え、これらの飲食店がPOS端末を通じて管理しているクレジットカードやデビットカードのデータが、どれほど膨大な量に上るかを想像してみてください。
ネットワーク保護の脆弱性と金融関連の認証情報の組み合わせにより、狡猾なサイバー犯罪者はネットワークに侵入して保存されたデータにアクセスしたり、接続されたPOS端末に侵入してそこを通るデータを盗み出したりする機会を得ることになります。攻撃者がフィッシングやその他の攻撃経路を通じてアクセス権を獲得すれば、POS端末にリモートからアクセスすることも可能です。多くの場合、こうした悪意のある攻撃者がクレジットカード番号や認証情報を盗むと、その複製版をダークウェブで販売します。 何も知らないカード所有者は、明細書に不正な請求が記載されるまで、その事実に気づくことはありません。
ファストフードチェーンの立場から見れば、こうした情報漏洩はブランドのイメージを損ない、顧客の信頼を失うことにつながりかねない。また、チェーン各社は情報漏洩の対応費用を負担しなければならず、IBMによると、その費用は1件あたり平均424万ドルにまで急増しており、過去最高額となっている。
本調査の発表時点で、世界中の店舗数に基づき、上位99社のファストフードチェーンについて以下のことが判明しました：
- 約59％にDMARCレコードがなかった
- 約27％が、p=none を持つ DMARC レコードを有していた
- 約7％が、p=reject を設定したDMARCレコードを持っていた
- 約7％が、p=quarantine を持つ DMARC レコードを設定していた
これらの企業の41％はDMARCレコードを設定しており、メールエコシステムの標準規格を認識していることがわかります。また、基準を満たしていない企業についても、犯罪者が自社のドメインを利用してフィッシング攻撃で顧客や取引先を騙すのを防ぐため、DMARCポリシーを徹底し、ドメインの保護に取り組んでいると推測できます。残念ながら、59％の企業にはDMARCレコードが設定されておらず、これらの企業のドメインはメールのなりすましや、それによる損害から守られていない状況です。
詳細はこちら dmarcian DMARC導入に関する調査：
dmarcianは、ファストフード店（ピザハット、ウィング・ストリート、タコベル）がDMARC準拠を達成できるよう支援してきました。セキュリティの専門家チームを擁し、ドメインセキュリティを通じて電子メールとインターネットの信頼性を高めることを使命として、お客様がDMARCを長期的に導入・運用できるようサポートいたします。
当社のDMARC管理プラットフォームを無料でお試しください。導入およびサポートチームが、導入の全過程をサポートいたします。
この件について議論を続けたいですか？ぜひdmarcianのフォーラムへお越しください。
