楽天グループサービスにおけるメール送信ドメイン詐称、フィッシングメール対策
2022年11⽉7⽇
楽天グループ株式会社
執⾏役員
テクノロジーマネジメントディビジョン
情報セキュリティ・プライバシーガバナンス部
ジェネラルマネージャー 財津健次

Agendaü楽天グループ、楽天グループ株式会社紹介
ü楽天グループのなりすまし,偽楽天メール対策概況üDMARCレポートの利⽤üBIMIの実装状況と課題
üまとめ2

楽天グループ・楽天グループ株式会社

楽天グループは、Eコマース、トラベル、デジタルコンテンツなどのインター ネットサービス、クレジットカードをはじめ、銀⾏、証券、電⼦マネー、スマホア
プ リ決済といったフィンテックサービス、携帯キャリア事業などのモバイルサービスといった多岐にわたる分野で70以上のサービスを提供

サービスに対応したドメイン、サブドメインから注⽂、発送等、各種お知らせのメールを送信
楽天グループコーポレートレポートから引⽤

3

楽天グループのなりすまし,偽楽天メール対策概況

4

“なりすまし”、”偽”楽天メール対策の⽅法① メール送信ドメイン詐称対策= 楽天の正規ドメインを詐称して送付されるメールへの対策② 中⾝がコピー、送信ドメインが似て異なる”look-alike”ドメインを利⽤したメールへの対策①“偽”楽天メールを受信側でフィルターする②”真正”楽天メールにマークを付与する

送信側(楽天が利⽤するメール送信,ドメイン管理システム)にて、デジタル署名、宣⾔(DMARC)を⾏い、条件に合わないものはプロバイダ側でリジェクトない
しは迷惑メールフォルダ等に移動する

楽天によってデジタル署名されたメールに、メールサービスプロバイダー側でマークをつけることで、利⽤者が本物の楽天メールを確認可能にする

E-Mail Service Provider
Rakuten
E-Mail System

DMARC(p=reject/quarantine)

DKIM/SPF

DKIM/SPF

No Valid Sign

Rakuten
E-Mail System

E-Mail Service Provider
BIMI/プロバイダ独⾃Mark on

Malicious

DigitalSign/SPFCheck

No Valid Sign

いずれの場合も、送信側（楽天サービス側)で送信ドメイン認証技術(DKIM,SPF,DMARC)の設定が必須

No Mark5楽天グループおけるなりすまし、”偽メール対策実装状況
20182019

楽天サービス・店舗様を騙る偽楽天メールが多数報告される

DKIM/DMARC

2020

2021
ルートドメインへのDMARC p=reject設定(2021年8⽉)

Yahoo︕メール
ブランドアイコン機能に参加
2018年10⽉

BIMI実装開始/⽇本国内(2021年12⽉)

フィッシング対策協議会報告より楽天の名前が消える(2021年8⽉分)
BIMI実装開始

送信ドメイン認証設定
社内マニュアル制定
全社的に送信ドメイン認証技術(DKIM/DMARC) 導⼊の推進開始

2022/海外サービス(2022年3⽉)

DMARC分析ツール導⼊（エクセルからの移⾏）

99%

送信ドメイン認証技術
DMARC/BIMI導⼊率99%を達成予定(グローバル送信数ベース)

ドコモメール公式アカウント機能に参加
2021年5⽉**2022年11⽉中旬

6カスタマーサービスへの問い合わせ数の傾向と協議会への報告数の⽐較
DMARC,ブランドアイコン表⽰が”⼀定レベル”のCS問い合わせ数の削減、もしくは”ターゲットブランド”になる機会の減少に寄与していると考えられる協議会への報告数

協議会へのフィッシング報告数,DMARC設定率,CSへの問合せ数

ルートドメインへのDMARC
p=reject設定(2021年8⽉)
87.7%

5000

78.2%

80%
4000

59.2%

20,000

送信数ベースDMARC設定率

CSへの問い合わせ数

-O
ct

22-S
ep

22-A
ug

-Jul

2222-Jun22-M
ar22-Apr22-M
ayb22-F
e22-Janov
21-D
ec

ct

協議会へのフィッシング報告数*フィッシング対策協議会⽉次報告より引⽤

21-N

21-O

21-J
ul
21-A
ug
21-S
ep

0
ar21-Apr21-M
ay
21-J
un

0

40,000b0%

60,000Yahoo!メール
ブランドアイコン
2018年10⽉対応

21-M

1000

80,000ドコモ
公式アカウント対応

20-Jul
20-A
ug
20-S
ep
20-O
ct
20-Nov20-Dec
21-J
an20%

BIM
実装開始

61.6%

3000

2000

99.0% 100,000
(予定)

97.4%

91.9%

76.2%

21-F
e40%

協議会レポートに楽天が含まれない期間

楽天なし

100%

60%

120,000

226000

送信数ベースDMARC設定率7

DMARCレポートの利⽤

8DMARCレポートの徹底利⽤** DMARCレポート
ツールサンプル画像

クロス
ファンクションチームの優先順位の決定

DMARCがFailしているプラットフォームの特定、影響状況の推測・掘り下げ“Reject”メール数の把握= 効果報告に有効
9DMARCレポート例は講演のみ

10

DMARCがFailしている当該ドメイン利⽤プラットフォームの特定
DMARCレポートからDMARCがFailしているプラットフォームを特定し,当該プラットフォーム利⽤部⾨にDKIMの適正な設定を促す

DMARCがFailしている

11

BIMI の 実装状況と課題

12

BIMI (Brand Indicators for Message Identification) 利⽤条件概要

ü DMARC(p=reject/quarantine)実装時 に利⽤可能となる
ü VMCの購⼊,DNSへのBIMIレコードの設定が必要

ü 表⽰するブランドアイコンには登録商標が必要(VMC購⼊時に確認される)

Email Body

Inbox View

クライアント側条件
Gmail クライアント
ü iOS
ü Android
2. iOS16 Apple iCloud メール
3. ブラウザ
1.

BIMI Implemented Domain
楽天Edy
楽天Edy 11月25日*サムネールでのアイコン表⽰なし

対応メールサービス
Gmail,Yahoo.com,Apple他*bimigroup.org参照
BIMI サポートなしメール表⽰
13グローバル楽天サービスで主要サービスにBIMI実装済み

Rakuten France

Rakuten Rewards
⽇本むけ各種サービス
Rakuten Viki

Rakuten TV
Taiwan Rakuten Ichiba** BIMI : Brand Indicators for Message Identification

ü ⽇本むけサービスは、2021年12⽉から実装開始ü 海外サービスは2022年3⽉から実装開始
ü グローバル楽天サービス
で90%以上の実装

14

BIMI – 海外サービスでの Gmail/Yahoo.com表示対応(2022年3月対応済)
Rakuten Rewards / USA

楽天フランス / Rakuten France

ブランドアイコン
ブランドアイコン
台湾楽天市場

楽天フランス / Rakuten France

ブランド
アイコン

ブランドアイコン

15

Apple Mail (@iclould.com) iOS 16 でのBIMI画⾯イメージ
クリック

ブランド
アイコン

クリック

クリック

ブランド
アイコン

***同じメールを iOS15 で表⽰した場合**サムネールでのブランドアイコン表⽰はない
16

BIMI実装課題
1. 良いところü

Gmail,Yahoo.com,Appleが対応しているので、グローバル展開が容易

2. チャレンジüVMC(Verified Mark Certificate)購⼊,維持の予算,⼈員確保が必要üプラットフォームで⾒え⽅が少しづつ違うü

サービスによっては、BIMIで使いたいアイコンが商標登録されてない場合がある

ü

DMARC p=reject / quarantine にまで持っていく必要がある

17

まとめ18

まとめ
1. 2022年はDMARCをサポートするメールサービスプロバイダの増加、楽天グループでのBIMI実装と⼤きく進展があった
2. 2023年は課題となっている残り数パーセントのサービスへの実装も⾏い、楽天グ
ループ全体のサービスの信頼性を⾼めたい
3. インターネットサービスをご利⽤のユーザ様へのよりわかりやすいお知らせを⾏う
ことで、なりすまし、偽メール対策の有効性を⾼める必要があると考えている

19