フィッシング対策への取組

警察庁サイバー警察局
サイバー企画課
令和４年11月15日

1ＤＭＡＲＣの導入背景
・
１ フィッシングの増加
フィッシングの増加
フィッシング報告件数の推移
600,000

526,504

500,000

400,000
300,000

224,676

200,000
100,000

9,812

19,960

2017年

2018年

55,787

0

2019年

2020年

2021年

フィッシング対策協議会(https://www.antiphishing.jp/)月次報告書より作成

２ フィッシングによる被害例
フィッシングによる被害例
・◆ キャッシュレスサービス運営会社を装ったメールにより偽サイトに誘導されてＩＤ・パスワード等が盗み取られ、不正な決済が行われた。（令和３年９月）◆ メモアプリの運営者を装ったメールにより偽サイトに誘導されてＩＤ・パスワードが盗み取られ、メモアプリ内に記録していたインターネットバンキングのＩＤ・パスワードを悪用されて不正送金された。（令和３年５月）◆ 大手通販サイトを装ったメールにより偽サイトに誘導されてクレジットカード情報等が盗み取られ、ＥＣサイトで不正決済が行われた。（令和３年５月）

2民間事業者、関係機関等と連携したフィッシング対策
・
１ フィッシングの増加
フィッシング問題への取組に関する意見◆ 金融機関やＥＣサイト等を装った電子メールやＳＭＳを送り、ログインＩＤ、パスワード、クレジットカード番号等の個人情報を詐取する行為が増加◆ 令和２年１２月３日消費者委員会「フィッシング問題への取組に関する意見」
１ フィッシングメールの受信防止対策の普及促進及び効果検証
２ 不正アクセス禁止法等に基づく取締りの強化
３ 消費者への注意喚起の一層の強化

２ フィッシングによる被害例
民間事業者、関係機関等と連携した対策の推進
・◆ 警察が把握したフィッシングサイト等に関する情報をウイルス対策ソフト事業者等に提供するほか、関係団体等と連携し、民間事業者に対して、送信ドメイン認証技術（ＤＭＡＲＣ等）の導入等のなりすましメール対策を講じるよう働き掛ける。
【具体的事例】
令和４年９月 金融庁と連携して銀行関連団体へ働き掛け
令和４年10月 総務省と連携して通信事業者へ働き掛け

3

ＤＭＡＲＣの仕組みの概要
DMARCを導入することにより、なりすましメールを迷惑メールフォルダに隔離（quarantine）したり、メールボックスに到達させない（reject）ようにすることができます。
下図は、隔離の際の仕組みの概要について説明しています。
メールボックスＡ社

example.co.jpのサーバ（ＤＭＡＲＣ設定※済み）

メール
サーバ

def@ example.co.jp

１
２

問合せ
３

受信トレイ
送信済トレイ４

4’

回答(対応通知)

削除トレイ※メール受信側の対応を「隔離」としている場合

迷惑メール

def@ example.co.jp（実際はdef@ example-co.xyz）

なりすまし １’正規メール
１ 正規のメールの場合を送信

受信者なりすましメールの場合

１’ なりすましメールを送信

２ Ａ社のサーバに問合せ

２ Ａ社のサーバに問合せ

３ Ａ社のサーバが回答

３ Ａ社のサーバが回答

４は受信トレイに4’

は迷惑メールフォルダに（隔離）4ＤＭＡＲＣの導入事例① Ａ社
導入の経緯⚫ 2017年頃、同社を騙ったフィッシングメールを認知⚫ ホームページでの注意喚起とともに抜本的な対策としてＤＭＡＲＣ対応を検討
事前準備⚫ 企業内で使用しているメール棚卸し【使用ドメイン、送信サーバ情報】
ＤＭＡＲＣの運用⚫ 最初はp=none（隔離も拒絶もしない）で情報収集⚫ 送られてくるレポート情報を分析【社内から送信している正規なメールがFailになっていないか確認】⚫ Failになっている社内メールの設定を改善【ＳＰＦ、ＤＫＩＭ設定の改善】⚫ 社内メールの設定改善が終了した時点でp=reject（破棄）設定
ＤＭＡＲＣの効果⚫ なりすましメールが減少【３か月後に８割減少、最大時は９割以上減少】⚫ コールセンターへの顧客からの問合せが減少【３か月後に８割減少】
ＤＭＡＲＣについて⚫ 顧客を守るための企業の責任、姿勢を示す意味でもＤＭＡＲＣ対策は必要⚫ 企業内で使用するメールに関する継続的なガバナンスが必要

5

ＤＭＡＲＣの導入事例②

Ｂ社（１／２）

導入の経緯⚫ ２０１８年頃、同社サービスを騙ったなりすましメールを認知⚫ 送信ドメイン認証とブランドマーク表示サービスへの対応を開始
対応の状況⚫ ２０１８年４月⚫ ２０１８年10月⚫ ２０２１年５月⚫ ２０２１年８月⚫ ２０２１年12月

ＤＭＡＲＣ/ＤＫＩＭ対応開始（p=none）
ヤフーメールのブランドアイコン表示に対応
ドコモメール公式アカウントに対応
ＤＭＡＲＣ破棄設定対応（p=reject）
ＢＩＭＩ(ブランドロゴ表示・証明書設定サービス)対応開始

ＤＭＡＲＣの運用⚫ 最初はp=none （隔離も拒絶もしない）で情報収集⚫ 【社内から送信している正規なメールがFailになっていないか確認】⚫ Failになっている社内メールの設定を改善【ＳＰＦ、ＤＫＩＭ設定の改善】⚫ 社内メールの設定改善が終了した時点でp=reject（破棄）設定⚫ ＤＭＡＲＣレポートの分析は、エクセルからクラウドサービス利用に移行
導入に係る苦労点⚫ Rejectによる被害抑止のメリットとメール不達（可能性）によるデメリットを比較して事業判断を下すのが難しい⚫ レポートを分析するには、ＤＭＡＲＣを理解する人員の確保が必要

6

ＤＭＡＲＣの導入事例②

Ｂ社（２／２）ＤＭＡＲＣの効果⚫ コールセンターへの顧客からの問合せが最大９割減少
問合せの内８割がメール関連だったが、少ない月は２割未満まで減少⚫ なりすましメール総数が少ない月は前年比９割減少
ＤＭＡＲＣについて⚫ ＤＭＡＲＣを導入してもなりすましメールの全てがなくなるわけではない
無関係なドメインを使ったなりすましメールはＤＭＡＲＣでは防げない→ 併せてブランドマーク表示サービス（ＢＩＭＩ）への対応も重要⚫ 社内で顧客向けのメールを使っている部署が多い場合、経営層の理解と会社としての方向性を示す必要がある

7

ＤＭＡＲＣの導入手順概要
１

ＳＰＦ、ＤＫＩＭの設定
送信元メールサーバ認証（ＳＰＦ）及び電子署名の付与（ＤＫＩＭ）を設定
ＳＰＦのみを設定している場合は、ＤＭＡＲＣの導入を慎重に検討（後述）２

自社内のドメインの見直し
自社で使用するメールのドメイン、送信メールサーバ情報の棚卸し

３

ＤＭＡＲＣの導入（試行）
受信側の振る舞い（DMARCポリシー）を【none（何もしない）】として運用開始

４

ＤＭＡＲＣのレポート確認
自社からの正規なメールが認証失敗になっていないか確認

５

ＤＭＡＲＣの本格運用DMARCポリシーを【reject（拒否）】に設定し、なりすましメールを排除（参考）送信ドメイン認証技術導入マニュアル【第３版】

DMARCを含めた送信ドメイン認証に関する技術的な導入マニュ
アルが、迷惑メール対策推進協議会から公表されています。

https://www.dekyo.or.jp/soudan/aspc/report.html

8

ＤＭＡＲＣの導入に関する留意事項
１

法的な整理

【電子メールの受信サーバにおいて、電子メールの送信ドメインを認証し、認証できない場合は一定の措置を講ずる行為】は電気通信事業法第４条に規定する「通信の秘密」を「侵害する行為」に該当する。

しかし
メールサービス提供者においてフィルタリングサービスが顧客の有効な同意に基づいて提供される場合、ドメイン認証は正当業務行為に該当し、このことは、DMARC実施のために行われるドメイン認証行為においても同様である。
※顧客の有効な同意 ～ 以下の条件を満たす場合、約款等による包括同意が有効
・利用者が、随時、任意に設定変更できること
・同意の有無に関わらず、その他の提供条件が同一であること
・同意の対象・範囲が明確にされていること・レポートを送信する場合、レポートの内容に本文及び件名が含まれないこと
・DMARCの内容について、事前の十分な説明を行うこと
総務省「送信ドメイン認証技術等の導入に関する法的解釈について」(https://www.soumu.go.jp/main_sosiki/joho_tsusin/d_syohi/m_mail/legal.html)

9ＤＭＡＲＣの導入に関する留意事項
受信側の転送設定への対応
２・ 受信側の転送設定時の動作
ＤＫＩＭを導入していない場合、受信者がメール転送設定をすると「なりすましメール」と判定される。したがって、ＳＰＦのみを設定している場合には、ＤＭＡＲＣの導入を慎重に検討する必要がある。
メールボックスＡ社

example.co.jpのサーバ（ＤＫＩＭ設定なし）

メール
サーバ

転送設定

受信トレイ

２

１

送信済トレイ3’※メール受信側の対応を「隔離」としている場合

削除トレイ
迷惑メール

転送メールの場合

１ 正規のメールを送信

２ 正規のメールを転送

3’

送信元が異なるのでなりすましと判定

10

【参考】公式ブランドマークについて

BIMIヤフーブランドアイコン

ドコモメール公式アカウント

提供元

ヤフー株式会社

株式会社NTTドコモ

Google

Apple

対応
ソフト

Yahoo!メール

ドコモメール

Gmail

iOSメールアプリ

判定

SPF又はDKIM

SPF又はDMARC

DMARC

DMARC

提供開始 2022/1

2021/52021/72022/9登録料金 無料

無料

ドメインごとにVMC（認証マーク証明書）登録料(Brand Indecators for Message Identification)

11