Google グループのセキュリティ上の脆弱性
メールセキュリティ分野における最近の議論では、Googleグループ宛てのメールの取り扱いに関するセキュリティ上の脆弱性が指摘されています。この問題は、特に、DMARCポリシーが p=quarantine p=rejectに設定されているドメインから送信されたメールにおいて顕著に現れます。
Google グループはメーリングリストと同様の仕組みで機能します。グループアドレスにメールが届くと、Google はそのコピーを各メンバーに転送しますが、その際、元の「From:」ヘッダーは保持されます。この「From:」ヘッダーは極めて重要であり、受信システムが DMARC 準拠を確認するために参照するドメインを特定するために使用されるからです。 つまり、Google がこれらのメールを転送する際、あたかも Google が転送先のドメインをなりすましているかのような状態になります。AOL や Yahoo などのドメインでは、受信システムが Google に代わって送信する権限がないことを認識し、メールを拒否してしまうため、これが問題となります。
詐欺師たちがGoogleグループのメール転送機能をどのように悪用しているか
- ドメインの取得：詐欺師たちはまず新しいドメインを取得し、p=quarantine p=reject の DMARC ポリシーを設定することから始めます。
- メールの送信：その後、彼らはこのドメインからさまざまなGoogleグループのアドレス宛てにメールを送信します。
- Googleによる送信者アドレスの書き換え：これらのメールがGoogleグループに届くと、Googleは自動的に「From:」アドレスをGoogleグループのアドレスに合わせて書き換えます。
- 「Reply-To」アドレスの偽装：元の送信者（詐欺師）のドメインが、「Reply-To」アドレスに巧妙に組み込まれています。
- 認証を通過：Googleによる書き換えにより、これらのメールはSPFおよびDKIMの認証チェックを通過し、正当なメールとして表示されます。
この手法は、Googleのメール処理機能を利用し、「via」フィールドを用いてあらゆるメール認証基準を通過させることで、受信者を欺くことを目的として、あたかも正当なメールであるかのような偽りの印象を与えます。
この問題は、2014年にAOLとYahooが「p=reject 」のDMARCポリシーを採用した際に初めて注目を集めました。 これに対しGoogleは、DMARC保護下にあるドメインから転送されたメールをGoogleグループが処理する方法を変更しました。具体的には、「From」アドレスをグループのアドレスに書き換え、元の送信者のアドレスを「Reply-To」ヘッダーとして追加するようになりました。この手法はGoogleに限ったものではありません。L-Soft社のメーリングリスト管理ソフトウェア「LISTSERV」を含む多くのメーリングリストサーバーでも、同様の処理が採用されています。
この動きに対する懸念は、10年近く前から指摘されていた。それ以来、何が変わったのだろうか。まず第一に、DMARCの認知度と導入が進んだことが挙げられる。これは、DMARCの重要性を強調する米国BOD 18-01のような取り組みも一因となっている。
では、これは皆さんにとってどのような意味を持つのでしょうか？その責任の大部分は、Google グループやメーリングリストの管理者にあります。Google グループを管理している場合は、以下の点について検討してください：
- Google グループと共有メールボックスのどちらが最適か検討してください。
- グループを公開にする必要性を検討してください。投稿を組織のメンバーに限定した方が、より安全かもしれません。
- ユーザーの意識を高めます。別のアドレス「経由」でメールを受信する際に、従業員が注意を払えるよう、研修プログラムを導入します。
最終的には、「自分の組織の重要なメールチャネルを管理するためにメーリングリストを使うだろうか？」と自問してみてください。答えが「いいえ」なら、そのような目的でGoogleグループを使うのは避けたほうが賢明でしょう。
ご質問がございましたら、お気軽にお問い合わせください。
dmarcianは、メールセキュリティの専門家チームを擁し、ドメインセキュリティを通じてメールとインターネットの信頼性を高めることを使命として、組織のドメインカタログの評価、およびDMARCの導入と長期的な運用管理を支援します。
さらに詳しく議論を続けたい方は、ぜひ dmarcian Forum へお越しください。
