株式会社 TwoFive は 10 月 26 日、同社の note で「DKIM replay attack とは何か? ふんわり解説」を公開した。DMARC、SPF、DKIM を適切に設定していても、自社ドメインのフィッシングメールが正規のメールとして届いてしまう事例があるとして、その原因となりうる DKIM replay attack の仕組みと対策を解説している。
DKIM replay attack は、署名付きで送信された正規のメールを署名が壊れない範囲で書き換えて送信する攻撃である。DKIM では h= タグで指定されたヘッダの変更は検知できるが、指定されていないヘッダが変更されても署名は有効なままとなる。
悪用例として、署名対象外の Content-Type ヘッダを書き換え、問い合わせフォームの返信メールに引用させたフィッシング文面だけを表示させる手口や、SaaS のシステム名にフィッシング文面を設定して正規の署名が付いた通知メールを転送する手口を紹介している。
対策として同社は、h= タグに Content-Type や MIME-Version など表示形式に関わるヘッダを含めること、l= タグを指定しないこと、有効期限を示す x= タグを設定することなどを挙げている。
