フィッシングメールの排除には DMARC が有効

フィッシング対策協議会の月次のレポートを読んでいたら、フィッシングメールに対して DMARC が有効であるという記述を見つけたのでメモ。

ただ、DMARC の設定はメールサーバの管理者にしかできないので、一般のコンシューマーは DMARC に対応したプロバイダを選ぶということでしか自衛のしようがないのが問題なんですよね。このあたりに対応しているかどうかは、プロバイダの比較とかにも出てこない場合が多いですし。

ちなみに自分がメールサーバの管理者の場合には、DMARC の具体的な設定方法は送信ドメイン認証技術導入マニュアルが参考になります。

フィッシング対策協議会　Council of Anti-Phishing Japan | 報告書類 | 月次報告書 | 2021/10 フィッシング報告状況

メール文面に違和感のない見破ることが困難なフィッシングメールでも、送信元メールアドレスと DMARC の検証結果の確認、あわせて迷惑メールフィルターを使用することで、検出ができるものが多いことを確認しています。事業者は送信元メールアドレス (ドメイン) を利用者へ掲示するとともに、ドメイン=ブランドであることを認識し、最低限 SPF と DMARC でドメインを保護して、DMARC レポートでなりすまし送信を検知することを検討してください。
また、フィッシング報告の多くは、受信時に送信ドメイン認証 DMARC の検証を行っていない国内 ISP およびモバイルのメールサービス利用者から寄せられています。DMARC 検証＋迷惑メールフィルターを提供しているメールサービス利用者からの報告は少ないため、大量の「なりすまし」メールを排除できていると考えられます。