[事例ニュース]

2019年1月15日(火)日川 佳三（IT Leaders編集部）

リスト

　BANDAI SPIRITSは、キャラクター製品を販売するバンダイ公式通販サイト「プレミアムバンダイ」を運営している企業である。受発注などの連絡手段やメルマガによるキャンペーンなど、数百万人規模の顧客とのコミュニケーション手段として、メールが不可欠となっている。

　同社はこれまで、プレミアムバンダイのブランド価値と信用を守るため、なりすましメール対策技術を採用してきた。メールの送信者を認証できる技術としてSPFとDKIMを導入したほか、一般財団法人日本情報経済社会推進協会（JIPDEC）の「安心マーク」などを導入してきた。今回、新たにDMARCを導入した。2018年夏に試験導入し、2019年1月から本稼働を開始した。

　DMARCを導入したことで、同社を騙ったなりすましメールがどのくらいあるかを確認できるようになった。メール受信サーバーがなりすましメールをどのように扱ったのかも確認できるようになった。フィッシングメールなどの危険ななりすましメールの存在を確認できるので、同社のメールを受信する可能性がある顧客や取引先に対して警告を通知して被害を抑止できるようになった。

　併せて、なりすましメールの状況を可視化するクラウドサービス「DMARC / 25 Analyze」も導入した（関連記事：TwoFive、なりすましメールを可視化するクラウドサービス「DMARC / 25」）。

　DMARC / 25 Analyzeによって、BANDAI SPIRITSを騙ったなりすましメールを受信したメールサーバーがBANDAI SPIRITSに報告するXML形式の認証結果情報（DMARCレポート）を、容易に収集して可視化できるようになった（画面1）。DMARCレポートを可視化するアプリケーションを自前で開発しなくても、なりすましの状況を分かりやすく把握できる。

画面1：DMARC / 25 Analyzeの画面
拡大画像表示

　なお、DMARCは、メールの送信者が正規の送信者かどうかを調べる送信ドメイン認証技術であるSPFとDKIMを前提としている。SPFは、DNSから得たメール送信サーバーのIPアドレスと実際のメール送信元IPアドレスが一致するかを判定する。一方のDKIMは、DNSから得た公開鍵を使ってメールに含まれる電子署名を検証して判定する。

　DMARCは、SPFとDKIMの認証結果を元に、アクセス制御やレポーティングを自動で行えるようにする仕組みである（図1）。SPFとDKIMの認証に失敗したメールの受信を拒否するといったアクセス制御を機械的に処理できるようになるほか、認証結果をメール送信者に伝えて情報を共有できる。

図1：DMARCの概要。SPFとDKIMの認証結果を元に、アクセス制御やレポーティングを自動で行えるようにする（出典：TwoFive）
拡大画像表示