マーケティングとドメインセキュリティの接点

dmarcianのマーケティングディレクター、ジョン・バウアーズ氏は、教訓となる事例を紹介し、マーケティング部門が自社のIT部門と連携を図る必要性について語っている。

マーケティングとドメインセキュリティの境界線は、今や危険な場所となっています。10代の息子が米国の大手銀行に口座を開設するのを手伝ってから6ヶ月も経たないうちに、彼と私に、口座の新機能を紹介するマーケティングメールとSMSが届きました。SMSとメールに記載されていた行動喚起（CTA）は、一見すると単純明快なものでした。 「このリンクからアカウントにログインするだけで、新機能をご覧いただけます」。

私はその銀行の本店へ足を運び、SMSやメールを通じて同銀行のドメインがなりすまされていることを伝えました。対応してくれた担当者は首を横に振り、両手を上げて、「これを止める手立てはありません」と言いました。特に、これまで顧客の信頼問題を抱えてきた銀行から聞かされる言葉としては、私が期待していた答えとは言い難いものでした。

私の体験談は、 数多くのサイバー犯罪事例のほんの一例に過ぎません。私たち一人ひとりに、サイバー空間への恐怖や不信感を抱くようになった経緯があります。ピュー・リサーチ・センターの調査によると、「アメリカ人は自身の個人情報の管理を失ったことを恐れており、多くの人が政府機関や大手企業が収集した顧客データを適切に保護できるかどうかを懸念している」ことが明らかになりました。

では、これはマーケティングとどう関係しているのでしょうか？

一言で言えば、信頼です。

あるブランドがビジネスメール詐欺（BEC）の被害に遭い （BEC）に遭い、その事実が公になると、消費者は その組織への信頼を失う。原因は従業員のミス、サーバーの設定ミス、あるいは不十分なファイアウォールなど、さまざまです。理由が何であれ、ネットワークが侵入されると、マーケティングや広報部門は、積極的な事業拡大や顧客育成モードから、危機管理へと対応を転換せざるを得なくなります。BECは年々増加の一途をたどっています。その背景には規模の拡大があります。電子メールはインターネット上で最大のアプリケーションであり、それゆえに最も一般的な攻撃経路となっているのです。 

マーケティングがますますデータ主導型になり、データ中心のマーケティングキャンペーン向けにプロモーションツールが普及・利用可能になるにつれ、機会を伺う標的型攻撃の温床はますます肥沃なものとなっている。

犯罪者にとって最も利益率が高く、組織にとって多大な損害をもたらす攻撃の一つがBECです。金銭的な損失に加え、BECは特定の業界におけるデジタルインフラを混乱させる可能性を秘めています。例えば 電力網 や 病院など）のデジタルインフラを混乱させる可能性を秘めています。導入できる抑止策の一つが DMARCです。DNSにSPF、DKIM、そして厳格なDMARCポリシーを追加することで、ドメインが悪用される可能性を大幅に低減できます。決定的な解決策というわけではありませんが（そのようなものは存在せず、複数の対策が必要です）、ドメインと関連するブランドを安全に守るためには、DMARCの導入は当然の選択です。 

マーケターとして、私たちはITチームとより頻繁に連携し、メールキャンペーンの技術的な側面やソーシャルエンジニアリングについて検討すべきです。例えば、IT部門はマーケティング部門がどのメールサービスプロバイダーを利用しているか把握しておく必要があります。彼らの意見は、 エンゲージメント率向上に役立つでしょう。

マーケティング部門やマーケティングのリーダーたちは、サイバーセキュリティの最前線について理解を深め、IT部門と協力すべき時が来ています。現状では、セキュリティ侵害が発生し、謝罪のプレスリリースを作成したり、侵害後の「改善しました」というメッセージを伝えるための戦略を練るために呼び出された時だけ、IT部門と顔を合わせているのではないでしょうか。 

ここで先手を打つようにしましょう。最先端のマーケティング手法や外部ベンダーを活用した新しいマーケティングキャンペーンを提案する際は、表面的にはリスクが全くないように見えても、必ずIT部門と連携し、セキュリティチェックを行うようにしましょう。 

サイバー犯罪者にとって、私たちが綿密に計画したマーケティングキャンペーンは格好の標的となります。組織内の縦割り構造を打破し、企業のイメージを守るためにマーケティング部門が関与する必要があり、また関与したいと望んでいることを示すこと――それが私たちマーケターの役割です。 デジタル媒体、特にEメールを扱う際には、クリエイティブ・ブリーフのテンプレートに「サイバーセキュリティレビュー」の項目を追加することを検討してください。最初は理解できないという顔や、あきれたような反応が返ってくるかもしれませんが、あなたの意図はミッション中心であり、組織全体の利益のためなのです。セキュリティプロトコルを業務に組み込み、IT部門と組織全体で強固な連携を築きましょう。 

フィッシング攻撃があった当時、私はその銀行のドメインを確認したところ、ドメインのセキュリティに不備がありました。最近改めて確認したところ、DMARCレコードが設定されており、適切な p=reject ポリシーが適用されていました。

デジタル時代においてマーケティングが経験してきた変革の勢いは衰えることなく、目標達成のために革新を追求し、新たなリソースを活用する私たちの取り組みも、決して緩めてはなりません。ビッグデータと大規模な情報漏洩が相次ぐ昨今、ステークホルダーは私たちの組織を信頼できると確信する必要があります。私たちの使命を推進するためには、彼らの信頼が不可欠なのです。デジタルトランスフォーメーションが進む中、信頼と誠実さはこれまで以上に求められています。

この件について議論を続けたいですか？ぜひdmarcianのフォーラムへお越しください。