NewsRelease2020年10⽉20⽇
⼀般財団法⼈⽇本情報経済社会推進協会（法⼈番号︓1010405009403）
株式会社TwoFive（法⼈番号︓4012701012582）

防災メールのなりすまし対策の強化が急務－JIPDEC と TwoFive が⾃治体防災メールなりすまし対策状況調査結果公表－

⼀般財 団 法⼈⽇ 本情 報経済 社会 推進協 会（所在地︓東 京都港 区、会⻑︓杉⼭ 秀⼆、以 下︓JIPDEC）は、株 式 会 社 TwoFive（所 在 地 ︓東 京 都 中 央 区 、代 表 取 締 役 ︓末 政 延 浩 、以 下 ︓TwoFive）と共同で⾃治体が発信する防災メールのなりすまし対策状況（SPF と DMARC の設定状況）について調査を⾏いましたので、その結果を公表します。
調査結果のポイントは以下の３点です。
1. 防災メール発信を⾏っている⾃治体は全体の62.8％
2. なりすまし対策のSPFとDMARCは両⽅設定していないとなりすましメールと判断されることがあるが、SPF の設定は全体の90％なのに対しDMARCの設定ができている⾃治体は14.2％
3. 都 道 府 県 別 の設 定 割 合 ではSPFもDMARCも両 ⽅ 設 定 できている⾃ 治 体 は、どの都 道 府 県 も50％未満※SPFとDMARCは両⽅とも設定しておかないと、受信側の設定によってはなりすましメールと判断されることがあります。
SPF（Sender Policy Framework）
送信元が⾃分たちがメールを送るときに使⽤するIPアドレスを登録しておく仕組みで、電⼦メールの送信者の詐称を防ぐ技術の1つとして、普及している技術。SPFが設定されていないメールは受信者によっては迷惑メー
ルと判断されたり、受信拒否されることがあります。
DMARC（Domain-based Message Authentication, Reporting, and Conformance）
電⼦メールの送信者の詐称を防ぐ技術で、SPF等が設定されていない、またはSPF等により正規のルートで送られていないと判断されたメールを受信側がどう扱うべきかを送信元が宣⾔することができる仕組み。英国政府や⽶国政府では詐称メールを駆除するように設定しており、迷惑メールの削減に貢献しています。
調査の背景
⾃然災害、害獣など住⺠の⽣命や財産に被害が想定される脅威、もしくは既に発⽣しているという情報を各⾃治体が電⼦メールで登録したメールアドレスに送るサービスは防災メールと呼ばれています。災害情報は災害⾏政無線、アプリ、エリアメールなどいろんな情報伝達⼿段がありますが、電⼦メールは、配信登録さえすれば、離れたところに暮らす家族も確認できるというメリットがあります。
⼀⽅で、なりすまし対策をしておかないと受信者側で迷惑メールと判定され、メールが迷惑メールフォルダに⼊ってしまうなど相⼿に届きづらくなる恐れがあります。また、迷惑メール送信者とみなされると、メールを送ること⾃体ができなくなることもあります。
実際に 2018 年 7 ⽉にも、岡⼭県の⼤⾬特別警報を知らせるメールが迷惑メールと判断され、3 千⼈に対し配信できなくなり、延べ 192 万通の配信が最⼤ 2 時間遅延したという事件が発⽣しています。このため、総務省が公表している「地⽅公共団体における情報セキュリティポリシーに関するガイドライン」（平成 30 年9 ⽉版） https://www.soumu.go.jp/main_content/000592786.pdf にも、なりすまし対策として送信ドメイン認証技術を採⽤しなければならないと記載されています。
調査の⽅法と調査対象
本調査は、2020 年 6 ⽉から 8 ⽉にかけて都道府県と市区町村、全国あわせて 1,788 ⾃治体を対象に、Web サイトの⽬視調査を⾏いました。
1,788 ⾃治体で防災メールを配信していることが確認できた 1,122 ⾃治体（62.8%）のうち、配信サービスを⾏っていて、かつメール配信登録前に送信者メールアドレス（ドメイン）を確認することができた 1,026
⾃治体について、送信ドメイン認証技術である SPF と DMARC の設定状況を調査しました。（図 1）

調査結果
防災メールの SPF と DMARC の設定状況
防災メールの発信元メールアドレスを確認できた 1,026 ⾃治体のうち、SPF に対応していたのが 923 ⾃治体（90.0%）で、DMARC に対応していたのが 146 ⾃治体（14.2%）でした。SPF と DMARC を両⽅とも設定していたのは 144 ⾃治体（14.0％）のみでした。（図２）2Copyright JIPDEC and TwoFive, All rights Reserved.

なお、1 つの⾃治体で配信メールアドレスが複数あった場合、全てのメールアドレス（ドメイン）が対応していた場合のみ、設定ができているものとしました。

都道府県別の SPF と DMARC の設定割合
都道府県別に設定割合を確認したところ、SPF は 70％〜100％の⾃治体が設定していましたが、SPF もDMARC も設定できている⾃治体は 50％もありませんでした。⻘森県、⽯川県、兵庫県、⿃取県、⼭⼝県、徳島県、⾹川県、⾼知県の 8 県は SPF と DMARC の両⽅を設定してメールを送信できている⾃治体がない県でした。（図３）3Copyright JIPDEC and TwoFive, All rights Reserved.

SPF の設定⾃治体の割合と、SPF と DMARC の両⽅を設定している⾃治体の割合を⽐較したところ、各都道府県ともに、SPF と DMARC の設定割合に⼤きな乖離が発⽣していることが確認できます。

まとめ
今回の調査結果から、9 割の⾃治体が SPF を設定しつつも、SPF だけでなく DMARC も設定している⾃治体は 14％と低く、SPF の設定率と乖離が⽣じていることがわかりました。
両者の設定⽅法はほぼ同じなため SPF が設定できれば DMARC も設定できるはずですが、SPF に⽐べDMARC は技術として新しいため、あまり認知されていないからではないかと考えられます。
発注元である⾃治体が送信ドメイン認証を理解することも必要ですが、防災メール配信は委託業者が配信することも多いため、委託先が DMARC の設定ができるかどうかが重要なポイントとなります。
送信ドメイン認証である SPF と DMARC が設定されていないと、相⼿にメールが届かない可能性が⾼くなります。
すぐに情報を届けることが⽣死に関わる性質のメールを確実に届けるために、⾃治体は IT ベンダーへの防災メール配信を業務委託する場合、業務委託時には仕様書に必須要件として記載する等、送信者側で送信ドメイン認証の設定をしておくことが重要です。
そもそも、防災メールの配信元の情報にアクセスすることが簡単ではないということがわかりました。「⾃治体名+防災メール」と検索しても、⾃治体保有のページではないサイトが検索結果の上位に現れるという検索サイトの機能による原因もありますが、⾃治体のサイト⾃体もそれが本当に⾃治体のサイトなのかドメインから判別ができかねるサイトもありました。都道府県や気象台のリンクからたどり着ける⾃治体もありましたが、リンクが既に無効になっている⾃治体もありました。サイトのリニューアル前のページにリンクが残っていてリニューアル後のトップページに⾶ばされてしまいそこからたどり着けなくなることもあり、住⺠に必要な情報を届けるという⽬的に沿った IT の利活⽤の必要性を改めて感じました。
安⼼、安全なインターネットの利⽤を推進している JIPDEC としては、今後も、わが国のなりすましメール対策の普及状況を調査し、随時情報発信していきます。
【JIPDEC について】
名 称︓ ⼀般財団法⼈⽇本情報経済社会推進協会
法⼈番号︓1010405009403
会 ⻑︓杉⼭ 秀⼆
所在地︓〒106-0032 東京都港区六本⽊⼀丁⽬ 9 番 9 号 六本⽊ファーストビル内
URL︓https://www.jipdec.or.jp /JIPDEC は、1967 年よりわが国の情報化推進を⽬的に、技術的・制度的課題を解決するため、施策を⽀える制度の運営（プライバシーマーク制度、トラストサービス評価事業）や、データ活⽤・保護に関する各種調査研究とそれに基づく政策提⾔、電⼦契約やなりすまし対策、情報マネジメントシステムに関する普及啓発等の活動を⾏っています。
4
Copyright JIPDEC and TwoFive, All rights Reserved.

【株式会社 TwoFive について】
名 称︓株式会社 TwoFive
法⼈番号︓4012701012582
代表者︓末政 延浩
所在地︓〒103-0027 東京都中央区⽇本橋 3-1-4 画廊ビル３F
URL︓https://www.twofive25.com/
株式会社 TwoFive は、⽇本の電⼦メール環境を向上させることを使命としてベンダーニュートラルな⽴場で最適な技術とサービスを組み合わせ、メールシステムの設計・構築、電⼦セキュリティなどについてコンサルティング、ならびに各種レピュテーションデータを提供しています。本共同調査においては、SPF と DMARC の設定を調査しました。また、国内最⼤のメールセキュリティベンダーとして、DMARC を普及するとともに、DMARC レポートの機能提供を⾏っています。
■本件についてのお問い合わせ先
⼀般財団法⼈⽇本情報経済社会推進協会（JIPDEC）
インターネットトラストセンター
TEL:03-5860-7562
お問い合わせフォーム https://www.jipdec.or.jp/dtac_inquiry.html

5
Copyright JIPDEC and TwoFive, All rights Reserved.