「メールセキュリティの年」：ドイツが注力するDMARC

電子メールおよびドメインの保護強化の必要性を認識し、ドイツ連邦情報セキュリティ局（BSI）は2025年を「電子メールセキュリティ年」と宣言した。 

「電子メールのセキュリティについて考えるとき、真っ先に思い浮かぶのは、電子メールがいかに広く普及しているかということです」と、BSI社長のクラウディア・プラットナー氏は述べています。「電子メールは、個人的なやり取りから重要な企業取引に至るまで、よく利用される手段となっています。その普及度の高さゆえに、サイバー犯罪者にとって格好の標的となっており……彼らは世界中の個人や企業にとって直接的な脅威となっています。」

こうした背景から、BSIは教育、協力、および業界主導の取り組みを通じて、SPF、DKIM、DMARCのより広範な導入を推進しています。同機関は、組織向けの指針を提供するため、CS-155を公表しました。 

SPF、DKIM、DMARCといった電子メール認証規格の採用に焦点を当てたBSIのTR-03182「電子メール認証ガイダンス」を基盤として、CS-155はフィッシング攻撃を阻止し、スパムを削減することで、より安全で信頼性の高い電子メール通信を実現するための取り組みを推進しています。

CS-155は主にメール配信業者（ESP）を利用する企業を対象としていますが、その推奨事項は、規模の大小を問わずすべてのドメイン所有者にとって有益なものです。 

SPF、DKIM、DMARCの各規格は、電子メールサーバーの認証において世界的に定着しています。これらの規格を導入することで、信頼できる送信者ドメインの身元を偽装する攻撃（なりすましやフィッシングなど）に対する防御が強化されます。これらの規格はすでに実務で広く利用されていますが、導入の際には簡単に修正できるようなミスがしばしば見受けられます。 

—CS-155

BSIによるDMARCのトラブルシューティングに関する推奨事項

組織がDMARCを効果的に導入・運用できるよう支援するため、CS-155の勧告1「SPF、DKIM、およびDMARCにおけるよくある間違いを避ける」では、以下のトラブルシューティングのアドバイスを掲載しています：

• タイプミスは、DNSレコードの誤りの一般的な原因です。これらは、DNSの値（例：IPアドレス内のスペース）と関連するタグ（例：「include」の代わりに「include」）の両方に影響を及ぼす可能性があります。このようなタイプミスは、レコード内の個々のエントリやレコード全体を無効にしてしまうことがあります。
     
• 引用符で囲まれたDNSレコード：SPF、DKIM、DMARCという3つの技術のいずれも、対応するDNSレコードの作成が必要です。DNSツールは、文字列の開始と終了を明確に示すために、これらのレコードを引用符で囲んで出力することが多いため、DNSではこれらのレコードを引用符で囲んで作成しなければならないという誤解が広く見られます。
  
  
• 複数のエントリ：SPF、DKIM、およびDMARCは、ドメインのDNSに1つのエントリとしてのみ登録する必要があります。外部サービスプロバイダーとの連携に必要と思われるため、追加のSPFエントリが登録されることは珍しくありません。
  
  
• 無効なバージョン名：基盤となる標準規格のバージョン管理は、識別用の固有値（v=spf1、v=DKIM1、v=DMARC1）を用いて行われます。バージョンタグに指定された仕様がこれらと異なる場合、標準規格の範囲外となるため、受信サーバーによって無視されるか、誤って解釈されることになります。
  
  
• 孤立したDNSレコード：時間の経過とともに、SPFを通じて送信許可が与えられたメールサーバーなど、参加システムのDNSエントリが蓄積されることがあります。エラーやセキュリティ上のリスクを回避するため、不要になったエントリは直ちに削除する必要があります。
  
  
• 構文エラー：構文要件が無意識のうちに無視されてしまうことがよくあります。その一例として、DKIMやDMARCにおいて、異なるタグの間にセミコロンで区切られていないことが挙げられます。また、SPFエントリとDMARCエントリなどの異なるエントリを混在させることもエラーの原因となります。すべてのエントリがそれぞれの標準の要件を満たしているかを確認する必要があります。
  

---

---

2012年の登場以来、DMARCはその実証済みの価値と有効性により、電子メール認証およびドメインセキュリティにおける基本基準かつ必須要件へと発展してきました。AIの進歩に伴いますます巧妙化しているフィッシングやスプーフィングに対する不可欠な防御手段を提供するDMARCは、ドメインの信頼の象徴であり、配信可能性の基盤となっています。  

ドイツにおけるDMARCの導入状況

2025年をドイツの「メールセキュリティの年」と位置づけるにあたり、同国の主要企業、銀行、ビールメーカーを対象に、DMARCの導入状況について調査を行いました。

これらのセクターにおいて、ドメインの31%が、以下のいずれかによってDMARCの強制適用を実現していることが判明しました。 p=quarantine または p=rejectのDMARCポリシーにより、DMARCの強制適用を実現していることが判明しました。ドイツにおけるDMARCの導入は拡大しつつありますが、調査対象となったドメインの大部分はDMARCの強制適用を行っておらず、依然として p=none という監視ポリシーに留まっているか、DMARCレコードを公開していません。

ドイツは今年を「メールセキュリティの年」と宣言しており、その可能性は計り知れません。現在、DMARCの強制適用を行っているドメインはわずか31%にとどまっており、最大の成果はまだこれからです。ドイツでは、上位250社の企業でさえp=reject の割合は26%にとどまりp=reject 上位100p=reject 19%に過ぎません。  この格差を埋めることは単なる「あれば良い」というレベルの話ではなく、信頼される企業が強制適用に移行すれば、攻撃者は好んで利用する侵入経路を失うことになる。

—ダーモット・ハーネット、dmarcian EMEA ビジネス・ディレクター 

ご想像の通り、高度なデジタルリソース管理機能を備えているため、銀行や大企業はドイツのビールメーカーに比べて、DMARCの導入率および適用率がより高くなっています。大手ビールメーカーの多くはDMARCを導入し、適用ポリシーも策定していますが、その大半は最低限のメールセキュリティ対策で基準要件を満たしているに留まったり、デジタルアイデンティティを保護するためのDMARC対策にまだ注力していない状況です。

残念ながら、ドイツをはじめ世界中の醸造所が犯罪者の標的となっています。今年初め、ドイツの醸造会社オエッティンガーは、ランサムウェア・アズ・ア・サービス（RaaS）のコンソーシアムである「RansomHouse」によるランサムウェア攻撃を受けました。RaaSによる攻撃では、フィッシングやスピアフィッシングメールを利用したり、一般公開されているアプリケーションの既知の脆弱性を悪用したりして、組織を標的にすることがよくあります。   

ドイツは電子メールのセキュリティプロトコルの導入において大きな進展を遂げていますが、他国と比較するとまだ道半ばです。サイバーセキュリティの全体的な強靭性を真に高めたいのであれば、遅れを取り戻さなければなりません。だからこそ、eco協会のような業界団体との協力が極めて重要となるのです。 我々の共同の取り組みを通じて、フィッシングやスプーフィングといった電子メールを悪用した脅威を大幅に削減できると楽観視しています。最終的な目標は、ドイツ発の電子メール通信の安全性を確保し、世界的な電子メールセキュリティの新たな基準を確立することです。

—クラウディア・プラットナー、BSI会長

お手伝いいたします

メールセキュリティの専門家チームを擁し、ドメインセキュリティを通じてメールとインターネットの信頼性を高めることを使命とするdmarcianとパートナー各社は、ドイツのドメイン所有者がDMARCを適用し、顧客とブランドを保護できるよう支援してきました。私たちは、フィッシングからドメインを守り、長期的な視点でメールセキュリティを管理できるよう、皆様をサポートするチームです。

---

さらに詳しく議論を続けたい方は、ぜひ dmarcian Forum へお越しください。