DMARC：それは何ですか+それが電子メール詐欺からあなたのブランドを保護するのにどのように役立つか

公開: 2016-10-04

電子メールの世界では、自分ではない人になりすますのは驚くほど簡単です。電子メールの仕組みを基本的に理解しているほとんどの人は、選択した送信者からのメッセージのように見せることができます。もちろん、詐欺師はこれを利用します。

犯罪者がブランドになりすまし、ブランドの信頼できる評判を利用して、電子メールの受信者から個人情報やクレジットカードの詳細を盗む例は無数にあります。それはマーケターの悪夢です。

ありがたいことに、ブランドがこのタイプの電子メール詐欺を回避するのに役立つメカニズムが存在します。電子メール認証プロトコルです。

ドメインベースのメッセージ認証、レポートおよび適合性（またはDMARC）は、電子メール認証プロトコルのリストに最近追加されたものです。これは、Sender Policy Framework（SPF）プロトコルとDomainKeys Identified Mail（DKIM）プロトコルの2つの既存の広く展開されているフレームワークに基づいて構築されています。

あなたのSPFからあなたのDKIMを知りませんか？

これは混乱を招く可能性があることを私たちは知っています！ DMARCの本質的な詳細に飛び込む前に、電子メール配信の基本をブラッシュアップしてください。

基本をブラッシュアップ→

DMARCを他の電子メール認証プロトコルと区別し、各マーケティング担当者にとって特に価値のあるものにしているのは、そのレポート機能です。 DMARCを使用すると、ドメイン（ブランド）に代わって誰が電子メールを送信しているかを確認し、スパマーがそれを使用して不正な電子メールを送信するのを防ぐことができます。

電子メール認証を理解することは簡単ではなく、ほとんどの場合、電子メールマーケターがすべてを自分で処理できるものではありません。それでも、あなたのブランドの声として、すべてのメールマーケティング担当者はメールの基本的な理解を持っている必要があります smj_headshot 認証とDMARC、および電子メール詐欺からブランドを保護するために利用可能なツールの使用方法。

混乱している電子メール認証の世界をもう少し明確にするために、 DMARC.orgのエグゼクティブディレクターであるSteven Jonesと話をし、電子メール認証とDMARCについて知りたいことをすべて尋ねました。

認証とは何ですか？Eメールマーケターがそれを気にする必要があるのはなぜですか？
DMARCとは何ですか、どのように機能し、他の認証プロトコル（DKIMおよびSPF）と何が違うのですか？それらはどのように連携しますか？
DMARCを設定する利点は何ですか？それは私のブランドを保護するのにどのように役立ちますか？
設定しないとどうなりますか？
DMARCレポートはどのように見えますか？どのような情報が含まれていますか？
DMARCが受信トレイプロバイダー（ISP）にとっても重要なのはなぜですか？
すでにDMARCを使用しているブランドとISPはいくつありますか？
受信トレイプロバイダーが受信メールでDMARCをチェックしているのに、ブランドがまだ設定していない場合、配信率が低下する可能性がありますか？
受信トレイプロバイダーは、認証されていないブランドからの電子メールにセキュリティ警告を添付しますか？電子メールの受信者は認証の失敗を認識していますか？
メールを送信しないドメインはどうですか？それらも認証されるべきですか？
通常、ブランドのDMARCの設定を担当するのは誰ですか？私の会社の誰かまたは私のESPですか？誰が技術的な実装を手伝うことができますか？
DMARCの設定にはどのくらいの費用がかかりますか？
DMARCに加えて、電子メール詐欺から保護するために他にどのような方法をお勧めしますか？

1.認証とは何ですか？Eメールマーケターがそれを気にする必要があるのはなぜですか？

電子メール認証とは、fromフィールドの特定のインターネットドメインを使用するメッセージが実際にそのドメインの使用を許可されていることを確認するためのメカニズムまたはプロトコルを指します。つまり、fromアドレスが[email protected]のメッセージを受け取った場合、BigBank.comは本当にそのメッセージを承認しましたか？

過去10年間で、さまざまな電子メール認証プロトコルが導入されてきました。最も一般的なプロトコルは次のとおりです。

Sender Policy Framework、またはSPF
DomainKeys Identified Message、またはDKIM
ドメインベースのメッセージ認証、レポートおよびコンフォーマンス、またはDMARC。

世界中の多くのメールボックスプロバイダーは、これらのプロトコルを使用して着信メッセージをフィルタリングしています。マーケターは、平均的なリストの半分以上が3つのプロトコルすべてについてチェックされていることを見つけるために、Google、Yahoo、およびMicrosoftを探す必要があります。

多くの電子メールマーケターは、差出人アドレスのクライアントのドメインを使用して、クライアントに代わってメッセージを送信しますが、クライアントのインフラストラクチャからメッセージを送信していません。これは基本的にスパマーやフィッシング詐欺師が行っていることであるため、悪意のある攻撃者と正当なマーケターを区別するには、メールボックスプロバイダーによる作業がさらに必要になります。

電子メール認証プロトコルは、そのタスクを容易にすることを目的としており、マーケターは、送信するメッセージが正当であると検証できるようにする意欲を高める必要があります。これにより、遅延や誤ってスパムフォルダに転送されるのを防ぐことができます。

2. DMARCとは何ですか、どのように機能し、他の認証プロトコル（DKIMおよびSPF）と何が違うのですか？それらはどのように連携しますか？

DMARCは基本的に、DKIMとSPFの上にあるポリシーとレポートのレイヤーです。

レポート側は、DMARC対応の受信者が次のことを通知することを意味します。

From：アドレスでインターネットドメインを使用して受信したメッセージの数
これらのメッセージはどこから来たのか
これらのメッセージがDKIMおよびSPFチェックに合格したかどうか。

これは、電子メール認証を導入している組織にとって非常に便利であり、犯罪者が偽装していないかどうかを確認できます。

DMARCのポリシー側では、ドメイン所有者が差出人アドレスでドメインを使用するメッセージの特定の処理を要求できますが、DKIMまたはSPFは渡しません。言い換えると、誰かがあなたのドメインを使用しているが認証に失敗した場合、受信トレイプロバイダーはどのようなアクションを取る必要がありますか？あなたはそれを尋ねることができます：

アクションは実行されません
失敗したメッセージは隔離されます
失敗したメッセージは拒否されます。

これは明らかに詐欺との戦いにおいて非常に強力であり、SPFのみが使用された場合、受信トレイプロバイダーはこれを行うことをほとんど望んでおらず、DKIMには広く受け入れられているポリシーメカニズムがなかったため、画期的です。

DMARCが導入するもう1つの要素があります。これは、アドレスアラインメントとして知られています。 DKIMおよびSPF認証は、メッセージごとに特定のドメイン名を使用します。 SPFの場合、これは「バウンスアドレス」内のドメイン、より正確にはRFC5321.MailFromです。 DKIMの場合、これはDKIMがメッセージに添付する暗号署名に含まれるドメインです。

まだ混乱していますか？これはまさに問題です。 DKIMとSPFはどちらも、エンドユーザーには表示されないドメイン識別子を使用します。そのため、悪意のある攻撃者は、送信元アドレスに好きなものを入れながら、自分が制御するドメインを使用してメッセージに単純なDKIMまたはSPFチェックを通過させる可能性があります。ユーザーは「[email protected]」と表示され、メッセージを信頼してはいけないときに喜んで信頼します。

DMARCでは、これらのドメインはfromヘッダーのアドレスと一致する（または「整列」している）必要があります。これは、アドレスまたはドメインアラインメントと呼ばれるものであり、最も簡単で効果的なフィッシングの防止に役立ちます。

3. DMARCを設定する利点は何ですか？それは私のブランドを保護するのにどのように役立ちますか？

誰も彼らの顧客または彼らの潜在的な顧客に対する詐欺に関係することを望んでいません。ただし、ドメイン（ブランド）を電子メール認証で保護しないと、犯罪者がドメインになりすますことで、慎重に築き上げた評判を簡単に利用できるようになります。

ブランド所有者にとっての最初の利点は、DMARCレポートがドメインを使用した電子メールアクティビティのスナップショットを提供することです。 DKIMとSPFをまだ展開していない場合でも、スパマーやフィッシング詐欺師があなたになりすましていないかどうかを確認するために、これを取得できます。さらに、ドメインを使用してメールを送信するすべての内部エンティティのアイデアを得ることができます。たとえば、マーケティングが顧客にメールを送信するために2つの会社を雇い、HRが従業員にメリットについて伝えるために会社と契約したことを発見するかもしれません。購買には、注文を処理するベンダーがあります。

ただし、DKIMとSPFの両方をデプロイする必要があります。受信者が正当なメッセージを簡単に確認できるようにすることは、送信するすべてのメッセージのコンテンツの分析の遅延が少なくなることを意味します。これらはすべて疑わしい可能性があるためです。これは、各キャンペーンの固有のプロパティに応じて、メッセージの一部がスパムフォルダーに送信されるのではなく、各受信トレイプロバイダーでより一貫して処理されることを意味します。

4.設定しないとどうなりますか？

DMARCを設定しないと、何も起こらない可能性があります。または、誰かがあなたのドメインを使用して100万通のメッセージを送信し、人々に銀行口座の詳細をあきらめさせようとしている可能性があります。 DMARCの報告がなければ、それについて聞くことはできません。 DMARCやその他のプロトコルを使用すると、そのようなメッセージが消費者に届かないようにする機会があります。消費者は、詐欺の場合、被害に遭ったドメインやブランドとの関連性が当然悪くなります。

以前の雇用主で働いていたときに、退職したドメインにDMARCを導入しましたが、1か月間何も起こりませんでした。その後、ある週末、詐欺師はそのドメインを使用してほぼ200万件のメッセージを送信しました。幸いなことに、私たちが公開したDMARCポリシーのために、ほとんどすべて（99％）がブロックされましたが、DMARCがなければ、新聞を作成しない限り、私たちは知ることができませんでした。

DMARCレコードは正しく設定されていますか？

Litmus Spam Testingは、DMARC、DKIM、SPFなどの電子メール認証が成功するように設定されていることを確認するのに役立ちます

スパムテストを調べる→

5. DMARCレポートはどのように見えますか？どのような情報が含まれていますか？

レポートには2種類あります。私たちが通常話しているのは集計レポートと呼ばれ、各受信トレイプロバイダーには、ドメインを使用して表示されたすべてのメッセージに関する要約情報が含まれています。つまり、メッセージの数、送信元のIPアドレス、DKIMまたはSPFのどちらで認証されたか、DMARCの「パス」があったかどうか、メッセージで何が行われたかなどです。これは、データベースまたはスプレッドシートの行のようなもので、XMLと呼ばれる形式を使用してテキストとしてパックされています。レポートは数十キロバイトまたは数百キロバイトになる可能性があり、すべて受信トレイプロバイダーのサイズやトラフィックソースの量などによって異なります。

他の種類のレポートは障害レポートであり、すべての受信ボックスプロバイダーから送信されるわけではありません。 MicrosoftのHotmailは、おそらくそれらを送信する最も有名な米国のメールボックスプロバイダーです。この場合、ドメイン所有者がDMARCポリシーを介して要求した場合、受信ボックスプロバイダーは、ドメインを使用するが認証に失敗するメッセージを受信するたびに1つの失敗レポートを送信します。

障害レポートを要求すると、多くのメッセージが生成される可能性があることに注意してください。ただし、これらのレポートには、送信システムに関する詳細や、メッセージ内のURLまたはリンクが含まれている可能性があるため、電子メール認証を展開して問題をトラブルシューティングする人や、詐欺師が何をしているのかを理解しようとするセキュリティスタッフの両方に非常に役立ちます。

これらのレポートはどちらも非常に価値がありますが、それらを読むこと、特に集計レポートは、ほとんどの人が楽しむものではありません。ドメイン所有者または電子メール送信者は通常、レポートを自動的に処理する必要があります。フォーマットは標準で文書化されているため、独自のツールを作成するオプションがあります。開始するためのオープンソースパッケージがいくつかありますが、ほとんどの組織は、いくつかのサービスの1つを使用して支援を求める傾向があります。 Agari、dmarcian、Return Pathが最も長く続いていますが、最近では250ok、Easy Solutions、Fraudmarc、ValiMailなどの企業がこれらのサービスなどを提供しています。

6.送信者と、送信者がDMARCを採用して行動しなければならない理由について説明しました。しかし、DMARCが受信トレイプロバイダー（ISP）にとっても重要なのはなぜですか？

受信トレイプロバイダーとしてDMARCを実装すると、コストがかかる可能性があります。あなたの会社に電子メールを送信するすべての個々のドメインに関するデータベースを維持することを想像してみてください。今、あなたが百の会社をホストしていると想像してください。まだ私と一緒に？ここで、GoogleAppsまたはOffice365を使用するすべての企業をホストしていると想像してください。これは、時間、スタッフ、およびリソースの多大な投資です。

しかし、ISPにもメリットがあります。電子メール認証は、メッセージの内容に基づいて何かがスパムであるかフィッシングであるかを判断する場合と比較すると、非常にプログラム的です。前者は簡単な計算セットですが、後者は非常に主観的であり、自然言語の解析、画像の使用の解釈、メッセージ内のリンクの行き先の分析などが含まれます。

各メッセージに適用する必要のある分析が高度になるほど、ISPがユーザーの受信トレイをクリーンに保つためのコストが高くなります。電子メール認証、および送信者がそれを使用するときに評判の送信者がより迅速に構築することで、それらの初期決定をはるかに迅速に、したがってより安価にすることができます。 ISPは依然としてウイルスなどをスキャンする必要がありますが、メッセージが信頼できる送信者からのものであることを知っていると、大きな違いが生じます。

ドメインの所有者と送信者がメッセージの認証を容易にするために、ISPやその他のDMARC受信者は、これらの集計レポートをコンパイルして送信するオーバーヘッドを受け入れます。送信者はこれらのレポートを使用して、正当なメッセージが100％の時間認証されるようにします。これにより、受信者の運用コストを抑えることができます。誰もが恩恵を受けます。特に、受信トレイに不正なメッセージが少ないエンドユーザーはそうです。

7.すでにDMARCを使用しているブランドとISPはいくつありますか？

その質問に正確な答えを提供することは非常に難しいでしょう。 DMARCを使用して受信メッセージをフィルタリングするすべての組織がDMARCを使用することをアドバタイズするわけではなく、一部の商用電子メールゲートウェイは現在フィルタリングを実行していますが、レポートはまだサポートしていません。送信者側では、1つのデータセットが100,000を超えるドメインが有効なDMARCレコードを公開していることを示していると言えます。これは限られたデータセットであり、インターネット全体にリモートで近いものはすべてカバーしていません。

読者がDMARCの十分な使用法があり、後でではなく早く採用する必要があるかどうかを理解しようとしている場合、私の答えは「はい」です。マーケティングの観点から、AOL、Comcast、GMail、Microsoft、およびYahooの対象となるクライアントの顧客の数を検討してください。それらはすべてDMARCを使用しているので、自分もDMARCであることを確認する必要があります。そして、それはすべて北米、そしておそらくヨーロッパ、中国最大のメールボックスプロバイダーの1つであるNetEaseに非常に固有のように見えるかもしれません。フランスのLaPoste; ロシアのMail.ruとYandex。そして、世界中の大小さまざまな他の多くのメールボックスプロバイダーがDMARCを使用しています。

8.受信トレイプロバイダーが受信メールでDMARCをチェックしているのに、ブランドがまだ設定していない場合、配信率に悪影響を与える可能性がありますか？

メッセージが悪くないことを判断するのが簡単であるほど、メッセージは迅速に間違いなく配信される可能性が高くなります。メール認証を持っていないときに配信率を損なうことはそれほど多くありません。メール認証を持っているときに誤った扱いを受けるのを避けることができるからです。

たとえば、メッセージを送信すると、最近の大規模なスパムキャンペーンの何かに似たフレーズやリンクが含まれます。メールボックスプロバイダーがコンテンツフィルタリングとパターンマッチングに依存する必要があり、メッセージが既知の優れたアクターから送信されたという証拠がない場合、これらのメッセージの一部またはすべてがスパムフォルダーに送信される可能性が高くなります。最良の場合、メッセージはより多くのスキャンとチェックの対象となり、メッセージの配信が遅れます。

または、これはますます一般的になっています。認証チェックに合格しないと、メッセージの送信元を確認できなかったために、メッセージ内のリンクが削除または無効になったり、画像がブロックされたりする可能性があります。

9.受信トレイプロバイダーは、認証されていないブランドからの電子メールにセキュリティ警告を添付しますか？電子メールの受信者は認証の失敗を認識していますか？

実際のところ、上位のメールボックスプロバイダーのいくつかは、認証されなかったメッセージが受信トレイに表示されたときに、ユーザーにさまざまなインジケーターを表示することを試みています。特にGmailは、暗号化された接続を介して送信されないメッセージに対して行っていたのと同じように、これを行っています。

10.メールを送信しないドメインはどうですか？それらも認証されるべきですか？

これは特殊なケースであり、認証で対処する必要があります。現在または近い将来にメールを送信しないドメインがある場合（予約済みまたは「パーク」など）、SPFレコードを簡単に設定して、偽装したユーザーが受信トレイに到達できないようにし、DMARCレコードを受信するように設定できます。誰かが試みたときに報告します。

これは、単にドメインの潜在的なブランドエクイティを維持するために、すべてのパーキングドメインに対して実行する必要があることです。予約したドメインが悪用され、使用したいときまでに評判が悪い場合は、時間とお金を無駄にしています。最初からそれを保護する方が良いです。

11.通常、ブランドのDMARCの設定を担当するのは誰ですか？私の会社またはESPの誰かですか？誰が技術的な実装を手伝うことができますか？

すべての会社がこの責任を異なって組織しているようです。マーケティングチームが名前を作成して登録し、社内チームまたはベンダーと協力して運用する場合があります。また、ある部門がドメインを管理し、別のグループが電子メールを処理し、マーケティングが複数のESPと調整する内部顧客である場合もあります。これらのグループのいずれかが悪用を防止する任務を負っている場合もあれば、情報セキュリティまたはリスク管理チームからのものである場合もあります。

私が提供できる最善の提案は次のとおりです。

ブランドを所有する会社は、登録済みドメイン所有者である必要があり、
ブランド管理が通常会社全体で組織されているのと同様に、会社全体のドメイン管理の責任者を決定する必要があります。

経営幹部がドメインを保護しないことのリスクを理解していることを確認し、明確なポリシーと、仕事を遂行する権限を持つ責任者または部門を設定してください。次に、それらのドメインを保護するための計画の作成と実行に関与する必要があるチームを決定します。

テクノロジーと運用の問題に関して言えば、企業が社内に専門知識を持っていない場合、支援できるベンダーがあります。 DMARC Webサイトに、実装と分析をサポートするプロバイダーをいくつかリストしました。

12. DMARCの設定にはどのくらいの費用がかかりますか？

プロジェクトの規模は企業ごとに大きく異なるため、これは簡単な答えにはなりません。例えば：

いくつのドメインが関係していますか？
いくつの異なる内部部門が電子メールを送信しますか？
外部ベンダーはいくつですか？
それらのベンダーが送信するメッセージの側面を変更する必要がある場合、料金はかかりますか？
プロジェクトの責任者は誰ですか。また、必要に応じて他の部門に運用上の変更を強制することはできますか？
必要な技術的専門知識は社内で利用できますか、それとも調達する必要がありますか？

表面を傷つけるだけのこれらの質問で武装して、ターゲット組織を知っている誰かが努力の範囲を広げ始めるかもしれません。同時に、DMARCで何ができるかを理解するには、1つのドメインのDNSレコードを公開してレポートを確認するのが簡単な方法であり、それらのレポートの内容に基づいて実際のプロジェクトの必要性を示すことができます。

13. DMARCに加えて、電子メール詐欺から保護するために他にどのような方法をお勧めしますか？

メッセージを簡単に識別できるように、できることは何でもしてください。ドメインを長期にわたって一貫して使用します。理想的には、メッセージ全体でアドレス、画像、リンクなどに1つのドメインまたはサブドメインを使用します。ベンダーやパートナーなど、さまざまなドメインからアセットを取得するのは簡単で魅力的ですが、同じように見える場合があります。フィッシング詐欺師が差出人アドレスに関係のないドメインからアセットをプルするときのように。少なくとも、作業している他のドメインのセットを制限し、それを長期間安定させてください。

メッセージが自分からのものであることがわかりやすいほど、自分のIDを使用するメッセージがどこか別の場所からのものであり、受信トレイに配信されるべきではない場合にわかりやすくなります。

スパムフォルダではなく、受信トレイに移動します

受信トレイからあなたを遠ざける可能性のある問題を特定し、Litmusスパムテストでそれらを修正する方法について実用的なヘルプを入手してください。

Litmusを無料でお試しください→