自治体の防災メールなりすまし対策実施状況

一般財団法人日本情報経済社会推進協会（JIPDEC）と株式会社TwoFiveは10月20日、自治体が発信する防災メールのなりすまし対策状況（SPFとDMARCの設定状況）について調査結果を発表した。

調査・レポート・白書・ガイドライン調査・ホワイトペーパー

2020.10.22 Thu 8:05

一般財団法人日本情報経済社会推進協会（JIPDEC）と株式会社TwoFiveは10月20日、自治体が発信する防災メールのなりすまし対策状況（SPFとDMARCの設定状況）について調査結果を発表した。

同調査では、2020年6月から8月にかけて都道府県と市区町村、全国あわせて1,788自治体を対象にWebサイトの目視調査を実施。1,788自治体で防災メール配信を確認できた1,122自治体（62.8％）のうち、配信サービスを行っていて、かつメール配信登録前に送信者メールアドレス（ドメイン）を確認できた1,026自治体について、送信ドメイン認証技術であるSPFとDMARCの設定状況を調査した。

調査結果によると、防災メールの発信元メールアドレスを確認できた1,026自治体で、SPFに対応していた自治体数は923（90.0％）で、DMARCに対応していた自治体数が146（14.2％）、SPFとDMARCを両方とも設定していた自治体は144（14.0％）であった。都道府県別の設定割合では、SPFは70％から100％の自治体が設定していたが、SPFもDMARCも設定している自治体は50％も無く、青森県、石川県、兵庫県、鳥取県、山口県、徳島県、香川県、高知県の8県はSPFとDMARCの両方を設定してメール送信できている自治体がない県であった。また、SPFの設定自治体の割合と、SPFとDMARCの両方を設定している自治体の割合を比較したところ、各都道府県ともにSPFとDMARCの設定割合に大きな乖離が発生していた。

調査結果から、9割の自治体がSPFを設定しているが、さらにDMARCも設定している自治体は14％と低くSPFの設定率と乖離が生じており、SPFに比べDMARCは技術として新しいため、認知が低いからではと推測している。また、発注元である自治体が送信ドメイン認証を理解することも必要だが、委託業者が配信する場合は、委託先がDMARCの設定をできるかが重要となる。送信ドメイン認証が設定されていないと相手にメールが届かない可能性が高くなるため、送信者側で送信ドメイン認証の設定をしておくことが重要としている。

《ScanNetSecurity》