2023年1月12日 11:00
株式会社デージーネット(本社：愛知県名古屋市、代表取締役：恒川 裕康)は、自社が無料で提供するメールサーバセキュリティ診断サービス『エムエスチェッカーMSchecker( https://mschecker.jp/ )』において、2022年1月～2022年12月に実施したセキュリティ診断の集計を行いました。この集計結果をもとに、株式会社デージーネットは日本企業のメールセキュリティ対策に警鐘を鳴らすべくメールサーバの安全性について課題の傾向・考察をまとめた統計レポートを公表します。
メールサーバセキュリティ総合評価
※小数点以下を四捨五入しているため、合計は一致しない場合がある
■メールサーバセキュリティ対策に関する結果サマリー
メールサーバのセキュリティ診断を行う『MSchecker』( https://mschecker.jp/ )での統計結果から、特に送信元ドメイン認証に関する対策が推進されていることが分かりました。
・メールセキュリティ対策において最低限必要な対策は実施されており危険と判定された企業は0％に
・DMARC(ディーマーク)(※1)は、すでに30％の企業が対応済み
・送信元ドメイン認証では、SPF(※2)とDKIM(ディーキム)(※3)両方の利用が進んでいる
・一方未だ40％の企業が、メールセキュリティを強化・改善する必要がある
■MScheckerについて
MScheckerとは、現在利用しているメールサーバのセキュリティ状態を誰でも簡単に確認することができるサービスです。MScheckerでは、以下のセキュリティ項目が無料でチェックできます。
・メールの通信が暗号化されているか(SSL／TLSメールの送受信)
・第三者によるメールの不正な中継が可能な状態になっていないか(メール不正中継)
・メール送信元がSPFレコードに登録されているか(SPFチェック)
・ドメインのDNSサーバに電子署名の公開鍵が正しく登録されているか(DKIMチェック)
・メールアドレスのドメインのDNS逆引きが正しいか(送信元DNS逆引き)
・ドメインのDNSサーバがDNSSECに対応しているか(DNSSEC対応)
・ドメインがDNSブラックリストに登録されていないか(DNSBL登録)
・メール送信元ドメインがDMARCレコードに登録されているか(DMARC対応)
■メールサーバセキュリティ対策調査概要
調査期間：2022年1月1日(土)～2022年12月31日(土)
調査方法：メールサーバセキュリティ診断『MSchecker』( https://mschecker.jp/ )
調査対象：『MSchecker』にてセキュリティ診断を受けたドメイン(ドメイン数：555)
有効回答ドメイン数：249(企業・個人含む)
■メールセキュリティ対策の必要性
近年、DXの実現化に伴い、サイバー空間がより一層拡大しています。その一方で、サイバー空間をめぐる脅威も深刻さを増しています。警察庁が2022年9月15日に公表した「令和4年上半期におけるサイバー空間をめぐる脅威の情勢等について」( https://www.npa.go.jp/publications/statistics/cybersecurity/index.html )によると、企業・団体等におけるランサムウェア被害は、2022年下半期以降、右肩上がりで増加しています。
ランサムウェアとは、PCやサーバに感染し、端末をロックしたりデータを暗号化することで使用不能にするウィルスの一種です。ランサムウェアの攻撃手口は様々ですが、その一つにメールを介した攻撃が挙げられます。このように、日々変化するDX時代において、サイバー攻撃に対応していくためにも、使用するメールサーバのセキュリティ対策をさらに強化していく必要があります。そこで、デージーネットは日本企業のメールセキュリティ対策に警鐘を鳴らすべく、統計レポートを公表致します。
■メールサーバセキュリティ対策結果
MScheckerでセキュリティ診断を受けたドメインのうち、「危険」と判定されていたメールサーバは、2021年の結果と比較すると減少し0％となりました。代わりに「見直しを推奨」とされていたメールサーバが2％増加しました。このことから、メールセキュリティ対策において最低限実施しておくべき対策が講じられ、対策が推進したことが分かります。(参照：グラフ「メールサーバセキュリティ総合評価」)
また、MScheckerでは、さらなるメールセキュリティ強化の判断材料として2022年6月1日より
DMARCのチェックを新たに追加しました。「DMARCに対応しているか」の結果を見てみると、すでに30％の企業がDMARCに対応していることが分かりました。
DMARKに対応しているか
※小数点以下を四捨五入しているため、合計は一致しない場合がある
■自社になりすましたメールによる被害に対策する「DMARC(ディーマーク)」
DMARCの対応を行うと、送信元ドメイン認証に失敗したメールを受け取らせないなど、送信者側が受信側の処理を強制させることができます。つまり、自社になりすましたメールは受信者に拒否させる、という設定や、隔離させるという設定が可能です。もちろんそのまま、受信させることもできます。
また、認証に失敗したときの詳細な認証情報を、送信者が受信者からレポートとして受け取ることができます。これにより、なりすましメールの送信元を把握したり、さらなるメールセキュリティの対策について考えることができるようになります。
■なりすましメールに対策する「送信元ドメイン認証」
そもそもDMARCの対応を行うには、メール送信側が「送信元ドメイン認証」の設定を行う必要があります。
「送信元ドメイン認証」の対策がされていない場合、正当な送信者である証明ができないため、自社になりすましたメールを顧客が関係するメールだと信じてしまう可能性があります。その結果、顧客がマルウェアの仕込まれた添付ファイルを開封したり、リンクをクリックしてしまい、ウィルスに感染してしまうリスクが高まります。ウィルスに感染した場合、感染したパソコン内だけでなく、そこからネットワーク経由で繋がったサーバに侵入され、最悪の場合、企業の機密情報や個人情報が盗まれたり顧客情報の漏洩にも繋がりかねません。
このように、メールセキュリティ対策が不十分の場合、自分の企業だけでなく取引先や顧客もウィルスに感染するリスクも高まります。そして、受信者である取引先や顧客は、なりすまされた企業からのメールによってウィルスに感染するため、送信者側である企業は思わぬところで信頼の失墜を起こすことになります。
送信元ドメインの認証を行うためには、SPFやDKIMという技術があります。
「SPF／DKIMに対応しているか」の結果では、SPFとDKIMの両方に対応している企業は2％増加していることが明らかになりました。
SPF／DKIMに対応しているか
※小数点以下を四捨五入しているため、合計は一致しない場合がある
■考察
MScheckerを用いたメールサーバのセキュリティ診断では、「危険」とされていたメールサーバは2021年と比較し減少していることが明らかとなりました。
このことから、2021年から2022年の間で、最低限実施しておくべきメールサーバセキュリティの対策が講じられたことが分かります。
さらに、「DMARCに対応しているか」や「SPF/DKIMに対応しているか」の結果から、企業のメールサーバセキュリティ対策は、自社へのメールセキュリティ対策だけでなく、取引先や顧客へ影響のある「送信元ドメイン認証」などの対策強化に取り組んでいると考えられます。
また、新たに追加されたDMARCのチェックでは、30％以上の企業でDMARCの対応がされていることが分かりました。しかし、アメリカでは80％以上がDMARCに対応しているという調査結果もあります。このことから、日本企業におけるDMARCの対策が遅れていることが分かります。日々変化するDX時代におけるサイバー攻撃に対応していくためにも、今後日本企業のDMARCの導入がさらに進んでいくと思われます。
■デージーネットについて
株式会社デージーネットは、メールサーバの構築やコンサルティングを行っている会社です。オープンソースソフトウェア(OSS)を利用し、お客様のご要望に応じたシステムをご提案しています。これまでに、企業やISP向けに多くのメールサーバを構築してきました。診断結果を受け、メールサーバの改善を行いたい場合には、サーバのリプレースや改善コンサルティングについてご相談を受け付けています。システム導入後には、発見されたセキュリティホールの問い合わせにも対応しています。
■参考URL
・ https://mschecker.jp/ (MSchecker)
・ https://www.designet.co.jp/system/ (デージーネットのシステム構築サービス)
・ https://www.designet.co.jp/system/support/ (デージーネットの導入後支援)
■用語注釈
(※1)DMARC(Domain-based Message Authentication Reporting and Conformance)とは、なりすましメールやフィッシング攻撃の対策を目的とした、送信元ドメインを認証するための技術です。
(※2)SPF(Sender Policy Framework )とは、電子メールの送信ドメイン認証を行うための技術のひとつです。認証情報にIPアドレスを使用し、送信元のメールアドレスが他のドメイン名になりすましされていないか検出します。
(※3)DKIM(DomainKeys Identified Mail)とは、電子メールの送信ドメイン認証を行うための技術のひとつです。SPFの認証方法とは異なり、電子署名を用いて検証を行います。なりすましメールやメールの改ざんなどの対策に有効です。
■会社概要
会社名： 株式会社デージーネット
代表者： 代表取締役 恒川 裕康
本社 ： 〒465-0025 愛知県名古屋市名東区上社四丁目39-1
資本金： 4,000万円
URL ： https://www.designet.co.jp/
＜一般の方からのお問い合わせ先＞
https://www.designet.co.jp/contact/
