2022年11月７日
JPAAWG 5th General Meeting

2022年版
フィッシング報告状況と対策
JPCERTコーディネーションセンター
フィッシング対策協議会 事務局
平塚 伸世フィッシング対策協議会の組織概要
 設立
 2005年4月

 名称
 フィッシング対策協議会 / Council of Anti-Phishing Japan https://www.antiphishing.jp/

 目的
 フィッシング詐欺に関する事例情報、技術情報の収集および提供を中心に行うことで、日本国内におけるフィッシング詐欺被害の抑制を目的として活動

 構成
 セキュリティベンダー、オンラインサービス事業者、金融・クレジットカード関連など
 会員+オブザーバー 118 組織 （2022 年 10 月時点）
正会員： 91 社、リサーチパートナー： 5 名、関連団体： 15 組織、オブザーバー： 7 組織)

 事務局およびフィッシング報告受付窓口
 一般社団法人JPCERTコーディネーションセンター

1Copyright ©2022 JPCERT/CC All rights reserved.

協議会の活動

URL フィルタリングを行っている
セキュリティベンダーや事業者へ URL 共有
2Copyright ©2022 JPCERT/CC All rights reserved.

フィッシング対策協議会 情報発信 緊急情報 (事例掲載)

https://www.antiphishing.jp/news/alert/
一般への影響度が高い（報告が多い、ユーザー数が多い）フィッシングのメール文面とサイト画像を掲載
フィッシングの事例を掲載！

フィッシング対策協議会「緊急情報」より

3

Copyright ©2022 JPCERT/CC All rights reserved.

フィッシング対策協議会 情報発信 フィッシング報告状況 （月次報告書)

https://www.antiphishing.jp/report/monthly/

フィッシングの最新動向がわかる!

受領した報告をもとに分析し、

報告数、URL、ブランドその月の傾向、分析有効な対策など、フィッシングの最新情報を掲載

2022 年 9 月のフィッシング報告件数は 102,025 件となり、2022 年 8 月と比較すると 7,052 件増加しました。
6 月に緊急情報を掲載した「クレジットカードの利用確認を装うフィッシング」の報告が引き続き多く、報告数全体の約 38.7 %となり、誘導元フィッシングメールが確認された 8 ブランドのうち、特に VISA、セゾンカード、JCB をかたるメール文面が多く報告されました。次いで報告が多かった Amazon、三井住友銀行、イオンカードをかたるフィッシングの報告をあわせると、全体の約 68.8 % を占めました。また、1,000 件以上の大量の報告を受領したブランドは 15 ブランドあり、これらで全体の約 90.2 %を占めました。
分野別では、クレジット・信販系は報告数全体の約 61.4 %、EC 系 約 17.5 %、金融系 約 9.9 %、交通系 約 4.0 %、省庁 約 2.9 %、オンラインサービス系 約 2.5 % となりました。
フィッシング対策協議会 「2022/9 フィッシング報告状況」より

4 4

Copyright ©2022 JPCERT/CC All rights reserved.

2022年フィッシング報告状況

5Copyright ©2022 JPCERT/CC All rights reserved.

フィッシング報告件数の推移 (年別)
 ここ2-3年で報告が急増、2021年には「社会問題」と言われるようになる
 報告数は 2022 年 9 月末時点で、2019年 (3 年前) の約 13.5 倍。
 URL件数は 2022 年 9 月末時点で、2019 年の約 11.4 倍。
 各事業者、利用者ともにフィッシングへの対応コストが増加
2019 年頃は Cutwailなどのマルウェアに感染した PC から成る
botnet からの配信や、踏み台送信が多かった

2020 年頃からホスティング事業者発のフィッシングメール配信が増える。同時になりすまし送信も増え始めた

6

Copyright ©2022 JPCERT/CC All rights reserved.

フィッシング報告の推移 (2022年 月別) フィッシング報告件数の傾向
 2022年3月以降、急増。7月には 10 万件突破
 報告数は昨年同時期の倍以上となっている メール配信規模が非常に大きくなってきている あるブランドは 1カ月に数億通以上のなりすましフィッシングメールを配信されたことが、DMARCレポートから確認された
 漏えいデータ等から配信先メールアドレスを収集しており、配信範囲が広がっている フィッシングサイト (URL) 件数の傾向
 2022年5月以降、急増。9月には 5 万件突破
 大量のドメイン、サブドメインを組みあわせて、大量にURLを生成。(全体の7-8割以上を占める)
 同一のURLが少なく、ブラウザーのURLフィルターが有効に機能しない
 日本以外からアクセスするとフィッシングサイトが見れない、同じIPアドレスから１度しか見れない等、テイクダウンされづらい仕組みが実装されている

7

Copyright ©2022 JPCERT/CC All rights reserved.

分野別報告数の割合 (2022年 9月末まで)
 クレジットカードを利用できるサービスであれば、特に分野は限らず、ユーザー数が多いブランドを中心に、成功率が高かった誘導メール文面で繰り返し狙う
 2021年後半からキャッシュレス決済の不正利用目的のフィッシングが増え始め、4月～6月頃、特に増えた 4月頃から金融機関をかたるフィッシングの報告が増え始め、8月～9月頃、特に増えた
 8月国税庁をかたるフィッシング（メール、SMS）が発生し、以降、定番入りし続いている

 2022年報告数TOP3

金融
EC

クレカ

8Copyright ©2022 JPCERT/CC All rights reserved.

分野別 URL 数の割合 (2022年 9月末まで)
 6月～9月、クレジットカードブランドのフィッシングサイトのURLが大量に報告される
 フィッシングサイトのデザインは同じだが、誘導メールは多数のブランドが使われた

 2022年URL数TOP3

金融
EC

クレカ

9

Copyright ©2022 JPCERT/CC All rights reserved.

メールによるフィッシングへの誘導
 ほぼ同一文面で、ブランド名と署名欄だけ変更
 2020年頃から使われている。
 今まで確認されたブランド


フィッシング対策協議会
クレジットカードの利用確認を装うフィッシング (2022/06/24)
https://www.antiphishing.jp/news/alert/creditcard_20220624.html

10

Copyright ©2022 JPCERT/CC All rights reserved.

三井住友銀行
三菱UFJ銀行
PayPay銀行
イオン銀行
鹿児島銀行
三井住友カード
三菱UFJニコス
JCB
JACCS
オリコ
アプラス
エムアイカード













エポスカードイオンカードUC カードUCSカードビューカード楽天
楽天カード
ライフカード
VISA
Mastercard
au PAY
えきねっと など
（順不同）

 このタイプは配信量が非常に多く、報告が多い
 本物と同じドメインを使ったなりすまし送信率が高い
 2022年6月以降に増えた大量のURLを使用したフィッシングもこのタイプ

大量に生成されたURLの例
 確認された誘導元フィッシングメールのブランドの例 (2022年6月以降)


三井住友カード
三菱UFJニコス
JCB
エポスカード

イオンカードセゾンカードエムアイカード
楽天カード





VISA
Mastercard
au PAY
えきねっと など

 クレカブランドのケースでは誘導元メール文面でかたるブランドに関係なく、同一デザインのフィッシングサイトへ誘導された
 URL 内の文字列もメール文面でかたるブランドではないブランドの文字列が含まれる

今まで主流だったURLフィルタリングによる対策で効果が出にくい状況
誘導元となるフィッシングメールへの対策を行うことが、ますます重要となる
フィッシング対策協議会
クレジットカードの利用確認を装うフィッシング (2022/06/24)
https://www.antiphishing.jp/news/alert/creditcard_20220624.html

11

Copyright ©2022 JPCERT/CC All rights reserved.

2022年報告からみる効果的なフィッシング対策「なりすましメール対策」

12

Copyright ©2022 JPCERT/CC All rights reserved.

なりすまし送信とは
 「なりすまし」送信とは

実在するメールアドレスをかたり、偽メールを送信することサービスの本物のドメインのメールアドレスをかたる場合が多い(メールアドレスの@より後ろの部分＝ドメインが本物と同じ）
最近はDMARC対応していない他事業者のメールアドレスを使うケースもよく見られる なぜ「なりすまし」をするのか

本物と同じメールアドレスは信用されやすい（見分けがつかず、フィッシング成功率が高い）
迷惑メールフィルター等でブロックされづらい（届きやすい）
メールを送るためにドメインを取らなくて良い（コストがかからない）
なりすまし送信メール メールソフトでの表示例

フィッシングを行う側にとっては成功率が高くなり、コストもかからないでもなりすまし対策技術を行えば、メール着信率 (成功率) を下げられる13

Copyright ©2022 JPCERT/CC All rights reserved.

なりすまし送信メールの例 (フィッシング)
 国税庁のドメイン (e-tax.nta.go.jp) を使ったなりすまし送信 (2022/9/19 配信)
e-Tax（国税電子申告・納税システム） <info@e-tax.nta.go.jp>
本物メールにも使われている差出人

e-Tax を利用して納税している利用者は、差出人が本物と同じであるため、ついアクセスしてしまう

クレジットカード情報の詐取を狙った
フィッシングサイトなどへ誘導する

14

Copyright ©2022 JPCERT/CC All rights reserved.

なりすまし送信メールの例（マルウェア）
厚生労働省のドメイン (mhlw.go.jp) を使ったなりすまし送信 (2021/12/4 配信)
マルウェアのインストールへ誘導

変種のオミクロン株が発見された、と時事ネタを入れて誘導
Excel ファイルを装い、ウイルス対策ソフトを閉じるよう誘導

それはなりすましメールです！
弊社は送っておりません！と言ってるだけでは被害は減らず、なんの効果もない。
なりすましメール対策を行い、正規メールを証明する手段を提供することが、サービス提供者としての最低限の義務と考える。
またドメイン=ブランドを不正利用から保護することは、現代のセキュリティの基本と心得る
15

Copyright ©2022 JPCERT/CC All rights reserved.なりすましメール対策
 送信ドメイン認証

メールが正規の送信元から送られてきたか、検証できる技術。現状、SPF、DKIM、DMARC の 3 種類ある

16

SPF

Sender Policy Framework

検証方法

正規のサーバー (IPアドレス）から送信されたかを検証

検証対象

メールソフトで表示されないほうのメールアドレス（エンベロープFrom）

導入

送信側の設定はSPFレコードをDNSへ登録するだけで容易。

利点

受信時に検証を行っている事業者が多い（しかし多くは fail も素通し）

欠点

単体ではエンベロープFromに独自ドメインを使用してSPFの検証をpass(回避) するなりすまし送信は検出できない

DKIM

DomainKeys identified mail

検証方法

電子署名でメールを検証。S/MIMEはメール本文のみが署名対象だが、DKIMはメール配信時につけられるヘッダー情報やメール本文も署名対象にできる

検証対象

署名対象の情報（差出人、日付時刻、受信者などのヘッダー情報およびメール本文）

導入

S/MIMEと同様に、送信側は各メールへ DKIM署名するためのシステムが必要

利点

メールを転送されても検証可能

欠点

署名に使うドメインを指定できるため、単体では検証を回避可能

Copyright ©2022 JPCERT/CC All rights reserved.

なりすましメール対策
 送信ドメイン認証 DMARCSPFとDKIMの欠点を補い、有用な機能を実現
DMARC

Domain-based Message Authentication, Reporting, and Conformance

検証方法

SPFとDKIMの検証結果を使って検証。SPF＋DMARCなど、片方だけでも可

検証対象

メールソフトで表示されるほうのメールアドレスで検証

導入

すでにSPFまたはDKIMが設定されていれば、送信側の設定はDMARCレコードをDNSへ登録するだけで容易。

利点

SPF のみでは正規メールとして誤判定される なりすまし送信を検出できる
ドメイン管理者側が、検証失敗したメールの扱いを指定できる
none: モニタリングのみ (何も効果なし)、quarantine: 隔離 (迷惑メールフォルダーへ配信)、reject: 拒否
迷惑メールフィルターも送信ドメイン認証結果を利用するため、組み合わせることで、より効果が高くなる
受信側から送られるDMARCレポートで、検証結果を確認できる。
正規メールの検証成功数、なりすまし送信の検知、配信規模の把握など。
国内でユーザー数が多い大手のメールサービスや大手企業は対応しており、特にモバイルユーザーのカバー率はこの１年で上がっている

欠点

国内 ISP のメールサービスでは対応が遅れている

SPFだけでは検出できない なりすまし送信メールが検出できるようになる
17

Copyright ©2022 JPCERT/CC All rights reserved.

正規メール、なりすまし送信メール、ユーザー側での確認例
 Yahoo! メール スマホアプリでの表示例
正規メール

なりすましメール１
なりすましメール２

メール送信者はすべてフィッシング対策協議会の正規メールアドレス<info@antiphishing.jp>



正規メール
本物のサーバーから送信
SPF=pass
DKIM=pass
DMARC=pass

なりすましメール１
偽サーバーから送信
SPF=fail
DMARC=fail なりすましメール２
偽サーバーから独自ドメインでSPFを pass するよう送信
SPF= pass
DMARC= fail正規メールなのでDMARC=pass

18

Copyright ©2022 JPCERT/CC All rights reserved.

現在、日本で普及しているSPF＋DMARCでも検出可能SPFは回避できても、DMARC=fail となり、ニセモノの可能性が高いと判別できる！

送信ドメイン認証結果の表示（正規メールの視認性向上） Yahoo!メールブランドアイコン

https://announcemail.yahoo.co.jp/brandicon_corp/ 迷惑メール、なりすまし、フィッシングを Gmail 認証で防止する

https://cloud.google.com/blog/ja/products/identity-security/bringing-bimi-to-gmail-in-google-workspace Apple メールの BIMI サポートについて

https://support.apple.com/ja-jp/HT213155
Yahoo！メール

ブランドアイコン

Gmail で表示した BIMI

ユーザビリティーを大きく向上！
正規メールの視認性向上のため、Yahoo! メール はブランド
アイコン、Gmail と Apple iCloudメールは BIMI を使いブランドロゴ表示に対応している。
ユーザーには、正規メールがひとめでわかる効果がある
また、なりすまし対策を行っている安全なメールサービス、安全なブランドをユーザーに認識してもらえる
BIMI 対応後は本物のメールにロゴ表示
BIMI対応前はロゴ表示なし

SPFまたはDKIMの検証をPassした
本物のメールにアイコン表示

19

Copyright ©2022 JPCERT/CC All rights reserved.

BIMI (Brand Indicators for Message Identification)
DMARC検証をpassした正規メールにブランドロゴを表示する技術

送信ドメイン認証結果の表示（正規メールの視認性向上）
ドコモ公式アカウント

https://www.ntt.com/business/services/official_account.html
送信ドメイン認証 (SPF または DMARC) を pass したメールにマークを表示する機能※ DMARC は 2022年8月23日より対応開始
併せてDMARC ポリシーに従った処理を行っており、p=quarantine/reject のドメインのなりすましメールは利用者の受信トレイに届かない

ドコモメールアプリ、Web メールで表示対応（標準機能）
銀行、クレジットカード系などを中心に、フィッシング対策に力を入れている事業者（サービス）が主に対応している20

Copyright ©2022 JPCERT/CC All rights reserved.

フィッシングメールに対するDMARCの効果
 あるメールアドレス着フィッシングメールを2021年の1年分調査

なりすましメールの 80% 以上が

 2020年からフィッシングメールの半数以上がなりすましメール。
DMARC で検出可能
なりすまし送信被害ブランドが DMARC 対応すると、検知率が上がる
 DMARC p=reject 対応したブランドを避け、DMARC 対応を行っていないブランドが次々と狙われる
 現在は p=none のまま運用中のブランドが集中的に狙われ続ける傾向がある
迷惑メールフィルターを素通りし、フィッシングメール到達率、成功率が高いからと思われる
現在もフィッシングメールの半数以上がなりすましメール
DMARC ポリシー p=quarantine/reject で運用することで排除できる

しかし、DMARC p=none では効果がないため、狙われ続ける21

Copyright ©2022 JPCERT/CC All rights reserved.

2022年報告からみる効果的なフィッシング対策
まとめ

22

Copyright ©2022 JPCERT/CC All rights reserved.

フィッシング対策 (フィッシングサイト対応)
 URLフィルタリング
 各事業者での監視による、URL フィルターへの早期登録を推奨

 フィッシングサイトのサイト閉鎖調整 (テイクダウン)

フィッシング対策協議会ホームページにも記載することで、より情報が集まる

 各事業者から直接ホスティング事業者等へのサイト閉鎖依頼を推奨

 情報収集: フィッシング報告受付窓口設置
 一般からのフィッシングメールの報告が、一番早い検知となることは多い メールで報告できる窓口を作る
情報収集目的と明記し、返信しない。大量報告の場合、返信は逆に報告者にとって迷惑となる
返信が必要な場合は、従来通りのサポート窓口へ問い合わせるよう案内する 検知サービス
 組織内に専門の人員や設備がなくても、早期に URL フィルタリングへの登録、サイト閉鎖調整を行える
ため、被害抑制に効果が期待できる 2022 年度版の「フィッシング対策ガイドライン」で検知サービスの利用を「必要に応じて」から「推奨」へ変更
2022年3月、フィッシング対策協議会に報告された (実際にフィッシングサイトへの誘導が行われた) URL と、検知サービスで検知した URL とのデータ突合を実施。
検知率良は良好だった。
23

Copyright ©2022 JPCERT/CC All rights reserved.

フィッシング対策 (メール関連)

被害ブランドへの推奨事項





DMARC 未対応の場合は、テスト運用開始 (p=none モニタリングモード)
DMARC レポートの定常監視、異常時のフィッシングメール配信検知と規模の把握
DMARC 正式運用を開始する (p=quarantine または reject へ変更)
重要！ p=none では効果なし！
ブランドアイコンや BIMI、公式アカウントなど、正規メールの視認性向上
利用者への注意喚起、ブランドアイコン等の機能を周知(フィッシングメールの見破り方を説明しても効果は期待できない）

利用者側での推奨事項（入口対策）迷惑メールフィルターの利用 (フィッシングメールは迷惑メールの一種)
電気通信事業法の「通信の秘密」を守るため、国内 ISP のメールサービスでは、迷惑メールフィルターがデフォルトで「無効」になっているので、有効にする
ブランドアイコンや BIMI、公式アカウント、認証情報の確認など、正規メールの見分け方を知る
メール転送していないメールアドレスの使用（届かない可能性があるため）安全なメールシステム、不正メール対策が強化されたサービスの選択
DMARC ポリシーに従い、なりすましメールを隔離、拒否する主なメールサービス
・ Gmail (BIMI に対応)
・ iCloud.com (BIMI に対応)
・ Yahoo! メール (ブランドアイコン)
日本国内では利用者が多く、・ドコモ (ドコモ公式アカウント)
カバー率が高いため
・ NIFTY
十分に効果が見込まれる
・楽メール

24

Copyright ©2022 JPCERT/CC All rights reserved.

DMARC 正式運用前のオンライン
サービス事業者は、これらのメールアドレスを使っている利用者数を確認すると、期待できる効果の測定を行うことができるフィッシング対策 (メール関連)
DMARC は p=reject がゴールです

対応後

対応前

対応前

なりすまし送信メール対策について
https://www.antiphishing.jp/enterprise/domain_authentication.html
25

Copyright ©2022 JPCERT/CC All rights reserved.

対応後フィッシング対策 まとめ
なりすましメール対策はブランドとドメインを不正利用から守るための基本的なセキュリティ対策と考える
システム部門と連携し、平常時のログや DMARC レポートの分析を行っておき、異常の発見や、フィッシング対応の効果測定を行う
フィッシングサイトへの対応 (発見、URLフィルター登録、テイクダウンなど)は、早期に行うほど効果が高い。自社内で対応が難しければ、検知サービスを利用することも検討する
URLフィルターやテイクダウンは、被害抑制に効果が出にくい状況もあるため、一定の効果がある正規メールの視認性向上を検討する
フィッシング手法は日々進化しているため、他ブランドのフィッシング事例を収集し、自ブランドでの対応方法を検討しておく
一度フィッシングの標的になると、なりすましメール対策を行わない限り、狙われ続けることを認識する（DMARC p=reject にするとフィッシングメールが届かなくなるので減る）

26

Copyright ©2022 JPCERT/CC All rights reserved.

以上、ご参考になりましたら幸いです27

Copyright ©2022 JPCERT/CC All rights reserved.

参考資料（今回、説明できなかった資料）

28

Copyright ©2022 JPCERT/CC All rights reserved.

DMARC レポートによる正規メール配信状況の確認
DMARCレポートの例

フィッシング対策協議会 (@antiphishing.jp) が差出人になっているメールの判定例
がフィッシング対策協議会の正規サーバから Gmail へ直配送されたメール
それ以外は別のメールアドレスに配送したものがGmailに転送されたもの
送信元サーバのIPアドレス

転送によりSPF判定はfail でも、DKIM判定でpassで検証可能

全て正規メールなので、DMARC判定もpass

DMARC レポートは xml 形式で1日1回くらいの頻度で届く。
Excel で開くと、上記のように表で見られるが、定常的な監視には向かない。
配信の異常を検知するには、DMARCレポート分析ツールを使うことを検討する
29 Copyright ©2022 JPCERT/CC All rights reserved.

DMARCレポートの活用

フィッシング対策協議会をかたるフィッシング (2022/05/06)
https://www.antiphishing.jp/news/alert/apc_20220506.html
メール文面やサイトの作りが雑であり、嫌がらせが目的の可能性が高いと判断

30

Copyright ©2022 JPCERT/CC All rights reserved.

DMARCレポートの活用
 DMARCレポートによるフィッシングメール送信元の検知
メール配信は 2022年 5月 4日の 2:55am 頃～4:00am 頃。協議会への報告数は 7 件のみ
差出人は ****@antiphishing.jp というメールアドレス（なりすまし）
DMARCレポートを Yahoo.com、Google、Outlook.com、NIFTY 等から受領
全2,453 通分のレポートを受領し、うち216 通についてはフィッシングメールの転送と判断（5月4日は祝日なので、正規メールは送られていない）
 特定の IP アドレスから数十通～数百通単位のなりすまし送信を検知報告されたフィッシングメールの送信元 IPアドレスとも一致

DMARCレポートにより、なりすまし送信の検知、送信元事業者の特定、配信規模の把握ができる31

Copyright ©2022 JPCERT/CC All rights reserved.

DMARCレポートの活用

DMARCレポート(xml)を Excel で開いて編集して集計するとこのような感じ
今回のケースでは通数が少なくenvelope-from が国内ISPなどの場合は転送と判断
envelope-from は SPF 単体での検証を pass するドメインを使って送信設定

大量にメールを送っている
IP アドレスを中心に調査

DMARCは header-from のドメイン(antiphishing.jp) で検証するので SPF fail する
DKIM 署名もついてないので fail する結果、送信数が多かったのが前ページの４IPアドレス

毎日こういう手作業は大変なので、DMARC レポート分析ツールをお使いになることをお勧めします。
32

Copyright ©2022 JPCERT/CC All rights reserved.

DMARCレポートの活用 大量配信の検知、規模の把握

2022年5月になりすまし送信被害にあったブランドへDMARCレポートによる情報提供を依頼
結果、特定の国内ホスティング事業者から5 月だけで約1億2,243万通以上のなりすましメールが発信されていることを確認

中略

1日多い日で5,000万通以上、メール送信649 台のサーバーを使い、1 台当たり数万通 ～ 約 43 万通の配信を行っていた

DMARC ポリシーを p=reject にすると、この「1 億通以上の不正メールから受信者を守る」
ことができる
しかし、DMARC p=none では不正メールは素通し、受信者へ届いてしまうので効果がない

33

Copyright ©2022 JPCERT/CC All rights reserved.

DMARC の段階的導入
 DMARC ポリシー宣言

DMARCレポートを取得して状況を把握するため、モニタリングモードで始める。
 Google : チュートリアル: DMARCおすすめのロールアウト方法
https://support.google.com/a/answer/10032473?hl=ja
 設定例_dmarc.●●●●.jp. IN TXT “v=DMARC1; p=none; rua=mailto:レポート受信用メールアドレス"

 レポート確認

いくつかのメールサービスは DMARC 検証結果レポートを送信してくれる（Gmail 、Outlook など）
 実際にレポートを受け取り、正規メールが正常に配送されていることを確認する
 管理できていない「未承認」「野良」メールサーバーがいないか、確認する

 ポリシー変更 レポートを確認しながら、問題点を解決する
 正規メールが配信できていることを確認できたら、p=reject または quarantine に変更し、正式運用を開始する。
(pct パラメータで適用割合を指定できる)

 【推奨】メールを送信しないドメインへのポリシー宣言
 ポリシーを宣言していないサブドメインやドメインを使って、なりすまし送信されるケースも非常に多くみられるため、メール送信しないドメインにもポリシーを宣言する
 取得済で未使用の Parked domain も忘れずに（自組織が保有するドメインを確認）
 M3AAWG パークドメインを保護するベストコモンプラクティス
https://www.m3aawg.org/sites/default/files/m3aawg_parked_domains_bp-2015-12-japanese.pdf
34

Copyright ©2022 JPCERT/CC All rights reserved.

BIMI 対応手順
 BIMI (Brand Indicators for Message Identification)
DMARC 検証をpassした正規メールにブランドアイコンを表示する技術
 Google: Add a brand logo to your email with BIMI
https://support.google.com/a/topic/10911234?hl=ja&ref_topic=9061731
BIMI 対応手順の例
1. DMARC 対応(p=quarantine or reject)

BIMI では DMARC 設定は以下の制限があるため、メール環境を整備していく
 DMARC ポリシーは p=reject または p=quarantine pct=100
 サブドメインのポリシーで sp=none は指定不可

2. ロゴ準備

BIMIではロゴは複数切り替えて指定可能なため、必要なロゴを準備 正方形や円に表示されても視認可能なロゴか確認
 ロゴの商標登録
 SVG 形式ロゴファイル作成
 HTTPS ウェブサーバー上にロゴファイルを配置

3. VMC 取得

Verified Mark Certificate の略。日本語では「認証マーク証明書」
BIMI 仕様上は必須ではないが、Gmail でロゴ表示するには VMC が必要
 取得には商標登録されたロゴが必要
 ロゴごとに VMC が必要。(1ドメインで複数ロゴ申請、利用可能)
 HTTPS ウェブサーバー上に VMC ファイルを配置

4. BIMI 対応開始

 BIMI レコードを DNS に登録、公開 1ドメインで複数のロゴを BIMI-selecor で切り替えることも可能 チェックサイトで確認
BIMI Group : BIMI Lookup & Generator
https://bimigroup.org/bimi-generator/

35

Copyright ©2022 JPCERT/CC All rights reserved.

DNSからわかるドメインセキュリティ対策状況


ドメイン名に対するセキュリティ対策状況
 統計情報https://dnsops.jp/stats/ 日本の政府関連ドメイン名のDNSSECステータス
 日本の地方公共団体関連ドメイン名のDNSSECステータス
 日本の高等教育機関のドメイン名のDNSSECステータス
 日本の金融機関のドメイン名のDNSSECステータス
 TOPIX銘柄企業ドメイン名のDNSSECステータス
上記のDNSSECだけでなく、SPF、DKIM、DMARC 等への対応状況もわかる どのような情報が外部から判別可能か、把握することは重要
 DNSは公開情報。隠すことはできない
なりすましメール対策を行っていないことは、外部から丸見えとなっていることを認識する36Copyright ©2022 JPCERT/CC All rights reserved.