電子メールのなりすましによって詐欺が行われたり、アカウントの認証情報が奪われたりといった被害が依然として増加傾向にある中、なりすましメール対策の 1 つとして重要な役割を担う DMARC の導入機運はかなり高まっています。例えば、国内では、日経225企業の 90 % 以上が DMARC を導入しており、その他の企業や自治体、教育機関なども徐々に導入が増加しています。
そこでふと、政治の世界はどうなのだろう…と気になりましたので、国連常任理事国各国に加えて G7各国の主要な政権政党について DMARC導入の有無、DMARCレコード(reject、quarantine、none)設定状況を調べてみました。
2008 年米国大統領に当選したオバマ大統領の陣営はデジタル技術を駆使し、選挙キャンペーン終了までに 10 億通ものメールを送信したそうですが、今では多くの政党、政治家がメールを積極的に活用しています。
ちなみにおさらいになりますが、DMARCレコードで指定されるポリシーは、認証失敗時のメールの取り扱いを指定するもので、最も強制力のある reject は「拒否」、続いて quarantine は「隔離」を意味します。Reject の場合には「DMARC認証に失敗したメールは受け取りを拒否してくださいね」という意味になります。しかし、ポリシーが none の場合は「何もしない」ですので、メール送信状況を可視化するには有効ですが、なりすましメールを制御することはできません。
●中国、ロシアは DMARC未導入。Reject設定はアメリカの民主党のみ
中国、ロシアを除く主要国の 12 の主要政党は DMARC を設定しており、DMARC を設定している政党の約 6 割は p=none に設定されています。次に多いのは quarantine で約 3 割を占めます。Reject に設定していたのはアメリカの民主党のみという結果となりました。
DMARCポリシーの none はドメインがなりすまされていたとしてもそのメールを受信できてしまいますので、DMARC が設定されていたとしても、なりすましに対してはまだ弱い状況といえます。政策や国民の生活に関わる情報を発信する政党のドメインがなりすまし可能な状態になっているということはやや危険な状態かもしれません。
●日本の国政政党の 4 割は DMARC未導入。ポリシー設定は none が半数
翻って日本の政党ですが、次のような状況です。
日本の国政政党の約 6 割は DMARC を導入していますが、その半数がポリシーを none に設定しています。前述の通り、none の設定では、認証に失敗したメールを把握できても、そのメールは受信者に届いてしまいますので、受信者をなりすましから守るという目的は達成されていません。
メール等での情報発信を行っていない政党もありますが、ドメインの悪用をされてしまう可能性はあります。つまり悪意ある第三者が特定の政党のドメインになりすましてメールを送信することが出来てしまいます。メール配信を行っていない政党こそポリシーは reject にした方がいいとも言えます。DMARC はメールドメインにだけ設定すればいいと解釈されがちですが、公開されているドメイン全てに設定することが推奨されています。
それ以外に気になった点としては、RUAレポートの受信先が、Google社が昔サンプルとして公開していた DMARCレコードの “コピペ” になっている政党があり、集計レポートが Google社に送信されるよう設定されています。この宛先にメールを送信しても受取拒否されるので現在は使用されていない可能性が高く、実際にはレポートは届いてはいないと考えられますが…。
また、p=none にもかかわらず pct=50 が設定されている政党がありました。pct は、DMARCポリシーを適用するメールの割合である pct（パーセンテージ）タグで、例えば、p=reject の場合で pct=50 であれば、50 % が拒否され、50 % が隔離されます。しかし、pctタグはポリシーが none の時には動作しませんので、pct=50 と設定しても意味がありません。ただし、これによって問題が起きるわけではありませんので、このままでも影響はありませんが…。取り立てて実害を生じるものでなくても、適切な設定をして頂くに越したことはありません。
全体として日本の政党の約 4 割は DMARC未設定の状況です。フィッシングやなりすましで政党ドメインが悪用される可能性もあります。一国民としては、政治という我々の生活に深く関わる部分になりすましメールが入ってくるのは避けて欲しいと言わざるを得ません。
なりすましを防ぐ為にも DMARCレコードを設定することとポリシーを quarantine 以上に設定されることを願ってやみません。
[著者]
株式会社TwoFive 高橋 尚也（たかはし なおや）
海外メールベンダー製品のプリセールスとしてスパムフィルタの国内展開・導入サポートに従事後、2014年からは、株式会社TwoFiveにてメールシステムのプリセールスやコンサルティング、サポート等を担当。
