Gmailが「メール送信者のガイドライン」を改訂し、なりすましメールへの対策を強化する旨を発表しています。今までは原則、なりすましメール対策の有無にかかわらず、メールはいちおうは届いていました。しかし今後は、なりすましとみなされたメールは届かなくなる方向に向かいつつあります。 なりすましメールとみなされないようにするために、メール送信者には、「メール送信ドメイン認証」への対応が求められます。メール送信ドメイン認証の技術には、主に以下の3つがあります。 SPF: Sender Policy Framework (RFC 7208) DKIM: DomainKeys Identified Mail (RFC 6376) DMARC: Domain-based Message Authentication, Reporting, and Conformance (RFC 7489) SPFは従来
電子メール送信に関する技術
ふと気になって調べたことの備忘メモです ✍ （2022/4/2追記）Twitterやはてブで色々とご指摘やコメントを頂いたので、それに基づいて加筆と修正をおこないました 特に、幾つかの技術については完全に誤った説明をしてしまっており、大変助かりました…ありがとうございました🙏 なぜ調べたか メール送信機能のあるWebアプリケーションを開発・運用していると、 特定のアドレスに対してメールが届かないんだが とか MAILER-DAEMONなるアドレスからメールが来たんだけど といった問い合わせを受けて原因を探ることになります 実務においては、Amazon SES や SendGrid といったメール送信処理を抽象的に扱えるサービスを使うことが多いと思いますが、 ことトラブルシューティングにおいては、その裏にある各種技術についての概要を知っていると、状況把握や原因特定をしやすくなります ありが
Gmailに届かない神奈川県立高校入試のインターネット出願システムのメールを調べてみた | DevelopersIO
Gmailに届かないと報告されている2024年神奈川県立高校入試の出願システム自動返信メール、 2024年1月15日にYahooメールに届いたメールヘッダー情報などから、送信ドメイン認証(SPF、DKIM、DMARC)の確認を試みました。 2024年2月の神奈川県立高校の受験を予定している家族から、 "インターネット出願システムの登録を試みたが、システムからの返信メールがGmailのアドレスが届かないため、代わりにYahooメールを利用した。" との報告を受けました。 今回、2024年1月15日にYahooメールで受信したインターネット出願システムのメールを調査する機会がありましたので、紹介させて頂きます。 2024年1月19日 追記 ネット出願システムの不具合解消後のメールの調査結果を公開しました。 2024年1月18日 追記 ネット出願システムのメールサーバ側の問題について調査結果を公
AWS SESで信頼性の高いメール送信(SPF, DKIM, DMARC) with Terraform - 電気ひつじ牧場
メール認証の仕組みと、SESでのTerraformを使った設定方法について紹介します。 メール認証の種類 メールメッセージ MAIL FROM FROM SPF(Sender Policy Framework) DKIM(DomainKeys Identified Mail) DMARC SESの設定 SESで利用するドメイン認証 DKIM設定 DMARC with DKIM DMARC with SPF 参考 メール認証の種類 メールでは送信元のなりすましを検出するための認証の仕組みとして、主に以下の3つがあります。それぞれRFCで定められています。 SPF(Sender Policy Framework) DKIM(DomainKeys Identified Mail) DMARC(Domain-based Message Authentication, Reporting, and
Amazon SESとAmazon Route 53によるDKIM, SPF, DMARCの設定 － DMARCパラメータの概要と設定例 － - NRIネットコムBlog
小西秀和です。 2024年2月1日以降、Gmailでは迷惑メール削減を目的として、Gmailアカウントにメール送信する送信者は送信元アドレスのドメインにDKIM(DomainKeys Identified Mail)、SPF(Sender Policy Framework)の設定が必要となりました。 また、Gmailアカウントに1日あたり5000件以上のメールを送信する場合にはDMARC(Domain-based Message Authentication, Reporting, and Conformance)の設定も必要となっています。 参考：Email sender guidelines - Google Workspace Admin Help このような事情から最近再びDKIM, SPF, DMARCの設定に関する話題が多くなっていたので、今後の新規ドメインによるメール送信も考
2024年度神奈川県公立高校入試の出願システムにおいて、1月9日よりメール受信障害が発生しています。神奈川県は「主に@gmail.comにおいて出願システムからのメールが受信できないという事象が発生」と説明していますが、送信元のアドレスにおいて適切な設定が行われていないとさまざまなサイトで指摘されています。 県入試 2024 出願システムからのメール、なぜ届かない？ | カナガク https://kanagaku.com/archives/69286 ちょっと調べたが超酷い。汎用JPはどうよとか、ドメイン認証ちゃんとできてないとか以前の問題で、基本的なメール設定が間違っている。MXにIPアドレスいきなり書くなよ。しかもIPアドレスとしても正しくないという。 / “高校入試の出願システム、Gmailにメール届かず……神…” https://t.co/4sxyz2wAiw— 上原 哲太郎/Te
送信ドメイン認証（SPF / DKIM / DMARC）の仕組みと、なりすましメール対策への活用法を徹底解説-エンタープライズIT [COLUMNS]
送信ドメイン認証（SPF / DKIM / DMARC）の仕組みと、なりすましメール対策への活用法を徹底解説 実在するメールアドレスを悪用して、マルウェアに感染させたり、ID／パスワードなどの重要情報を騙し取る「なりすましメール」の被害が後を絶ちません。偽の口座に直接金銭を振り込ませるなどの実害も発生しています。なりすましメールは実在の人物を騙り、ビジネスメールのような内容で送られてくるので、人が見分けるのは非常に困難です。この対策に有効な手法が「送信ドメイン認証」です。人では判別が難しいなりすましメールを識別し、被害を未然に防ぎます。その仕組みと効果的な活用法を詳しく紹介しましょう。 （関連記事）新潮流になるか？GoogleとYahooが発表した「今後は受信しないメール」の条件 なりすましメールの被害が拡大している理由とは ここ数年、情報や金銭を搾取される企業被害が相次いで報道されていま
![送信ドメイン認証（SPF / DKIM / DMARC）の仕組みと、なりすましメール対策への活用法を徹底解説-エンタープライズIT [COLUMNS]](https://cdn-ak-scissors.b.st-hatena.com/image/square/a8875d174039686c2e8efce10da0e4cd0d7a7650/height=288;version=1;width=512/https%3A%2F%2Fent.iij.ad.jp%2Fwp-content%2Fuploads%2F2019%2F06%2Fe-security-300x141.png)
【さくらのレンタルサーバ / マネージドサーバ】DKIMおよびDMARC対応予定に関するお知らせ（2024年1月23日 10:00更新） | さくらインターネット
【さくらのレンタルサーバ / マネージドサーバ】DKIMおよびDMARC対応予定に関するお知らせ（2024年1月23日 10:00更新） お客さま各位 平素よりさくらインターネットに格別のご愛顧を賜り、誠にありがとうございます。 「さくらのレンタルサーバ」および「マネージドサーバ」において、DKIM※1およびDMARC※2の対応を、2024年1月末日までに実施することを決定いたしました。 また、詳細な提供開始日が確定次第、改めてお知らせをいたします。 ■2024年1月23日 追記 2024年1月31日11:00から順次提供開始とすることが確定いたしました。 詳細は下記をご参照ください。 さくらインターネットでは、今後もよりよいサービスの提供が行えますよう、精一杯努めてまいります。引き続き変わらぬご愛顧を賜りますようお願い申し上げます。 ※1 DomainKeys Identified Ma
実は2月1日からメールが届いていないかも？ Gmailガイドラインで事業者、利用者が知っておくべきこと（1/2 ページ） 先日、神奈川県の高校出願システムでGmailドメインのアドレスにメールが届けられず、受験生による登録や出願に影響が出る問題が発生しました。ネットを大きく騒がせたこの問題、実はメールに関する比較的新しいルール変更が原因と考えられています。 神奈川県個別の問題についてはすでに掲載しているインタビューに譲りますが、この問題は他の事業者にとっても他人事ではありません。一体、いまGmailを巡って何が起こっているのか、簡単に解説します。 Gmailのガイドライン変更、詳細は そもそも電子メールの歴史は非常に古く、その原型は1970年代に遡るといわれています。一方でその仕組みは今も大きく変化はしておらず、悪意の混入が当たり前の現代インターネットには合わない部分も増えてきました。
こんにちは、セキュリティエンジニアの岩田です。今回はSmartHRで先月から導入したメールセキュリティ機能のBIMI(Brand Indicators for Message Identification)についてご紹介します。 BIMIとは? BIMIは、送信者ドメイン認証の仕組みであるDMARC(Domain-based Message Authentication, Reporting, and Conformance)により認証されたメールに対して送信元企業のロゴを表示することで、なりすましではない正規のメールであることを視覚的に判別できるようにするための仕組みです。 DMARCでは、SPF(Sender Policy Framework) または DKIM(DomainKeys Identified Mail) で認証されたメールの送信元ドメインと、メールヘッダの差出人(From
概要 1月9日頃からX上で「神奈川県公立高等学校入学者選抜インターネット出願システム」でGoogleドメインのアドレスへのメール不着が発生し、受託会社の設定が問題視されました。 X上で設定方法が炎上しましたが、正直「〜が問題であって、〜したら良かった」という解決方法を説明できないので、私も批判を受けるレベルだなぁと思って、すぐに勉強しました。 この記事は、そのアウトプットですので、間違っている認識の箇所がありましたら、温かい目でお知らせください。 前提 この記事は、今回、問題になった設定箇所を取り上げています。 基本の範囲をはっきりと定義できませんが、基本的なメールサーバーの処理等は記載していません。 事例 1. MXレコードについて 神奈川県高校出願システムだけど、何気にMXレコードをみたらとんでもない設定ミスしてる。こんな基本的な事に気づかないなんてダメでしょ。 このツイートの指摘、何
ヤフー株式会社は、2023年10月1日にLINEヤフー株式会社になりました。LINEヤフー株式会社の新しいブログはこちらです。LINEヤフー Tech Blog こんにちは。エンジニアの中村成陽と申します。Yahoo!メールを担当しております。 今回の記事ではなりすましメールについての説明と、その対策としてYahoo!メールに導入した送信ドメイン認証技術のひとつである「DMARC」についてご紹介します。そしてこれらを踏まえ、なりすましメール対策のために何ができるのかをご紹介しますので、参考になれば幸いです。 なりすましメールとは？ なりすましメールとは、送信者自身のものではない、うそのメールアドレスを詐称、つまり別のメールアドレスからのものであると偽って送られたメールのことです。 送信元メールアドレスには、手紙でいえば封筒に記載する差出人となる EnvelopeFrom アドレスと、中身の
Cloudflareから簡単に「メールアドレス使い分け」ができる新サービスが登場、ワンクリックで可能なフィッシング対策も
アカウントへの侵入を防ぐためにパスワードを使い分けているという人でも、IDとして用いるメールアドレスを使い分けているというケースはあまり多くないはず。こうした現状を踏まえた新たなセキュリティ対策サービスとして、Cloudflareが2021年9月28日に、複数のメールアドレスが受信したメールを1つのメールアドレスに統合する「Cloudflare Email Routing」と、なりすましやフィッシング対策を強化する「Email Security DNS Wizard」を発表しました。 Easily creating and routing email addresses with Cloudflare Email Routing https://blog.cloudflare.com/introducing-email-routing/ Tackling Email Spoofing an
AWS SESを使うときは必ずDKIM鍵設定をしよう - SO Technologies 開発者ブログ
DKIM (Domainkeys Identified Mail) という公開鍵をSESに登録したメールアドレスに設定しないとG Mail(G Suite)等のメールサービスが提供するメーリングリスト(ML)にメールが届かないことがあります。 ということについて書こうと思います。 自己紹介 こんにちは。 AG-Boost事業部の開発責任者の清水(@shimizu_yoo)と申します！ 現在はAG-Boost という広告提案支援をするツールの開発をしております。 今日はタイトルの通り社内のシステムにおいてAWSのSESを使ったときにDKIM設定が原因で起きたなかなか気づけなかった障害の話をしようと思います。 AWS SESについて 多くは説明する必要ないと思うので省きますが、SES(Simple Email Service)はAWSにおけるメール送信サービスです。 aws.amazon.co
【さくらのレンタルサーバ / マネージドサーバ】DKIMおよびDMARC対応完了のお知らせ | さくらインターネット
お客さま各位 平素よりさくらインターネットに格別のご愛顧を賜り、誠にありがとうございます。 「さくらのレンタルサーバ」および「さくらのマネージドサーバ」において、DKIM※1およびDMARC※2の対応を2024年1月31日（水）に完了いたしました。 詳細は下記をご参照ください。 さくらインターネットでは、今後もよりよいサービスの提供が行えますよう、精一杯努めてまいります。引き続き変わらぬご愛顧を賜りますようお願い申し上げます。 ※1 DomainKeys Identified Mail / 送信する電子メールに電子署名し、受信者がDNSを経由して署名を検証することで、間違いなく送信されたドメインから送られてきていることを確認し、送信ドメインのなりすましをしていないことが証明できる機能。 ※2 Domain-based Message Authentication, Reporting &
この記事は、Security Product Marketing の Leader Gabrielle Bridgers によるブログ「Return to Sender: Why DMARC is no longer a “nice to have”」（2023/11/27）の抄訳です。 Eメールの脆弱性は依然として広がっており、高度なエンタープライズ DMARC ソリューションの必要性が高まっています。DMARC ソリューションによって、シスコのお客様は高いレベルの実装とサポートを受けながら自社のドメインを迅速に保護し、最小限の労力でEメールセキュリティのニーズを効率的に管理できるようになります。 先月、Google と Yahoo はそれぞれ Eメールの配信に関する新たな一連の要件（英語）を発表しました。この発表は Eメールセキュリティの重大な変化を示し、業界が認めるベストプラクティス
目次 目次 はじめに 送信者ガイドライン 送信ドメインの認証 迷惑メール率の監視 ワンクリックでの登録解除 設計について 対応方針 配信停止リクエストについて 案 1:自前実装 処理の流れ メリット デメリット 案 2:外部のメール配信システムの機能を利用 処理の流れ メリット デメリット 比較と結論 グルーピングによる一括配信停止 動作検証及びリリース 開発環境での検証 本番検証及びリリース さいごに はじめに こんにちは！ 食べログ開発本部ウェブ開発 1 部に所属している城戸です。 2021 年に新卒入社してから、現在はメディアマネジメントチームに所属しており、 食べログの一般ユーザー向けページの機能開発、他社との外部提携機能の開発、 制度改正に伴う改修、社内システムの改善など様々な開発に日々携わっています。 今回は食べログメールへのワンクリックでの登録解除導入についてご紹介します。
県入試 2024 出願システムからのメール、なぜ届かない？
2024 年度 神奈川県公立高校入試において、 出願サイトからのメールは、すべて「[email protected]」から届く ことになっています（『志願者マニュアル』28 ページ）。 ところが、この mail.shutsugankanagawa.jp というドメインは、2024 年１月 12 日（金）10:14 現在、DMARK と DKIM との認証を満たしていません。 DMARK: Domain-based Message Authentication, Reporting and Conformance DKIM: DomainKeys Identified Mail DMARC Domain Checker https://dmarcian.com/domain-checker/?domain=mail.shutsugankanagawa.jp DMARC Domain Chec
＊本ブログ記事は2023年10月に掲載されたブログ記事の更新版です。Appleの要件について、追記しています。 GmailやYahooのアカウントをお持ちの方なら、迷惑メールや明らかに詐欺を目的としたメールで受信トレイがいっぱいになった経験をお持ちでしょう。もしあなたが、「なぜメールプロバイダーは、この種の詐欺メールをしっかりブロックしてくれないのだろう」と思ったことがあるとしたら、それはあなただけではありません。 良いお知らせとしては、GoogleとYahooはこの詐欺メールの問題に取り組んでおり、状況は変わろうとしています。ただ問題なのは、あなたの会社がGoogleやYahooのユーザーにメールを送る場合、対応せねばならない事項があるかもしれないのにも関わらず、十分な時間がないことです。 Googleは、2024年2月から、Gmailアカウントにメッセージを送信する際にメール認証が必要
Amazon SES の DMARC 認証プロトコルへの準拠 - Amazon Simple Email Service
翻訳は機械翻訳により提供されています。提供された翻訳内容と英語版の間で齟齬、不一致または矛盾がある場合、英語版が優先します。 Amazon SES の DMARC 認証プロトコルへの準拠 ドメインベースのメッセージ認証、レポート、コンプライアンス (DMARC) は、送信者ポリシーフレームワーク (SPF) と DomainKeys 識別メール (DKIM) を使用して E メールスプーフィングやフィッシングを検出する E メール認証プロトコルです。DMARC に準拠するには、メッセージを SPF または DKIM で認証する必要がありますが、理想的には、両方を DMARC で使用すると、E メール送信に対して可能な限り最高レベルの保護が保証されます。 それぞれが何をしているか、DMARC がそれらすべてを結び付ける方法を簡単に確認してみましょう。 SPF – DNS で使用される DNS
こんにちは、技術開発室の滝澤です。 技術開発室の基盤システム担当チームで電子メールプロトコル勉強会を開催したので、その概要について紹介します。 この記事ではプロトコルの内容についてではなく、どのようなことを行ったかを紹介します。どのRFCを調べてもらったかについてはおまけに掲載しましたので、もしメールプロトコルについて学習したい人や組織の参考になれば幸いです。 背景 先月（2022年11月）に技術開発室の基盤システム担当のメンバーで自社のメールサーバーの構築・移設を完了させました。 メンバー構成としてはベテラン1人（わたし）と中堅1人と新人2人です。メールサーバーに関しては、わたし以外のメンバーは運用のみ経験があるか、構築・運用経験が全くないようなメンバーでした。そのため、この移設プロジェクト開始時の最大の課題は、メンバーへの電子メール（以降、単にメールと呼ぶ）に関する技術移転と技術習得で
送信元のメールアドレスに正規サービスのドメインを使用する「なりすまし」のフィッシングメールを見抜く「送信ドメイン認証」。実際にどのくらいの効果が見込めるのだろうか。 フィッシング対策協議会が2023年6月に公表した「フィッシングレポート 2023」によれば、同協議会が2022年に受信したフィッシングメールのうち、71.6％が正規サービスのドメインを使用したなりすましのメールだった。つまり、7割超のフィッシングメールを送信ドメイン認証で検知できる可能性がある。 さらに、認証に失敗したメールの処理を送信側が指定できるDMARC（Domain-based Message Authentication、Reporting、and Conformance）を適切に運用すれば、7割超のフィッシングメールの受信を拒否できる。 ただし、あくまでも「適切に運用すれば」である。送信側の企業や組織がDMARCを
メール詐欺の猛威に対する最強の武器 メール詐欺は世界中の企業に何十億円もの損害を与え、企業の信頼性を毀損し、ブランド価値を数分のうちに破壊する可能性があります。FBIによると、高度な標的型の、かつばらまき型ではない少量のビジネスメール詐欺（BEC）は間違いなく最も危険であり、2016年以降、世界中の組織に262億ドルの損害を与えています。DMARC規格は、フィッシングメールやなりすまし詐欺との戦いにおいて、これまでで最も強力かつプロアクティブな武器の1つです。 DMARCとは？ DMARC (Domain-based Message Authentication Reporting and Conformance、読み方：ディーマーク） は、Eメールに関わる主要な組織によって策定され、2012年2月に発表された送信ドメイン認証技術です。ビジネスメール詐欺 (BEC / Business e
メールの送信者詐称を見抜く送信ドメイン認証は、国内ではSPF（Sender Policy Framework）やDKIM（DomainKeys Identified Mail）の導入が進んでいる。しかし、SPFやDKIMにはいくつかの欠点がある。 これらを補う技術としてDMARC（Domain-based Message Authentication、 Reporting、and Conformance）、さらにDMARCの認証結果の視認性を向上させるBIMI（Brand Indicators for Message Identification、ビミ）が注目を集めている。特にBIMIについては、IT技術に詳しくない個人ユーザーでも認証結果を把握しやすくなるため、ばらまき型のなりすましメール対策として有望だ。現時点でBIMIが送信ドメイン認証の中では最も進んだ技術といえるだろう。 今回は、
特に、EC（電子商取引）サイトや金融機関をかたって決済情報を窃取しようとするフィッシングメールが増えており、社会問題化している。フィッシング対策協議会によると、2023年9月にフィッシングの報告を受けたブランドでは、Amazon（アマゾン）が報告数全体の約40.8％を占めた。ETC利用照会サービス、三井住友カード、Apple（アップル）、マイナポイント事務局などのブランドが続いた。 企業には名前をかたられてブランドイメージを失墜させないためにも、今こそフィッシングメール対策の強化が求められる。 グーグルもヤフーも対策に動く フィッシングメール対策を強化する動きが国内外で活発になっている。海外では米Google（グーグル）と米Yahoo（ヤフー）が2023年10月、メールを送信する企業などを対象に、フィッシングメール対策のガイドラインを発表した。 ヤフーは消費者向けのメールブランドなどに対し
SendGridサポートチームの吉田です。今回は、なりすましメールの見分け方を紹介したいと思います。誰もが使うサービスを騙ったなりすましメール、しばしば送られてきますよね。文章が変でおかしいと気づくことが多いと思いますが、パッと見ただけではわからないものもあるようです。そんな場合も騙されないために、押さえておきたいポイントを紹介します！ 今回は、弊社SendGridエバンジェリストの中井 (@nakansuke) が受け取った上のなりすましメールを例に取り上げます。本文の日本語が少しおかしいので騙される人は少ないと思いますが、この記事では本文以外のところに着目してみます。 どうしてなりすませるのか まずは差出人をみてみましょう。「Amazon.co.jp <lily@amazon.co.jp>」となっていますね。どうして「lily」なのかは別にして、それ以外の部分は実際にAmazonから送
はじめに平素は大変お世話になっております。 クイックガードのパー子です。 弊社ではお客様のメール環境の管理をお任せいただく案件も多く、送信ドメイン認証として必ず DKIM (DomainKeys Identified Mail) を設定するようにしています。 Amazon SES や SendGrid などのモダンなメール送信サービスでは、その仕組みを知らなくてもガイダンスにしたがってセットアップするだけで簡単に DKIM を有効化できます。 このように DKIM を利用しやすい状況が整っているのはとてもよいことなのですが、詳細を知らずにただ使うのではインフラを扱う者の心構えとしては不充分です。 そこで本記事では、DKIM がどのような仕組みで動いているのか理解するために、手動での DKIM のセットアップと署名付与にチャレンジしてみました。 DKIM の大まかな仕様一般財団法人インターネ
AWS SESの SPF/DKIM/DMARC 設定についてドメイン認証の仕様を踏まえてポイントをまとめました。 - Mirai Translate TECH BLOG
この記事は みらい翻訳のカレンダー | Advent Calendar 2023 - Qiita の 2 日目です。 こんにちは。プラットフォーム開発部でリードエンジニアをしている chance です。 今回は AWS SES でのドメイン認証の設定のポイントについてお話しします。 TL; DR SESではデフォルトでドメイン認証の設定がされています。単純に「ドメイン認証をPASSさせる」だけならカスタム設定は不要なのですが、「自身のドメインでのドメイン認証をPASSさせる」ための設定にはなっていません。 カスタム MAIL FROM ドメインを設定して EnvelopeFrom と HeaderFrom を揃え、DKIMで作成者署名を設定し、DMARCを設定しましょう。 はじめに AWS SES(Simple Email Service) はその名の通りEメール送信のためのマネージドサー
送信先で迷惑メール扱いされない？DKIM機能って何？ 迷惑メールをたくさん受信して困っている方はとても多いと思いますが、特にビジネスユースの方は「自分が送ったメールが相手の迷惑メールフォルダに入ってしまう」という問題で困っている方もいらっしゃいます。今回は、そんな迷惑メールにまつわる機能をご紹介します。 迷惑メール振り分けの仕組み 迷惑メールフォルダには「勝手に入る場合」と「自分で入れる場合」があります。一度自分で迷惑メールに振り分けると次から同じメールアドレスから受信したメールは自動的に迷惑メールフォルダに入るという場合もあります。一体どのような仕組みで動作しているのでしょうか？迷惑メールフィルタは様々な種類があるため、今回は一般的なものを例に挙げて説明していきます。 迷惑メールフィルタはウィルス対策ソフトのような「アプリケーション」の一種ですが、一般の人がPCにインストールして使うより
本稿は、2018年12月4日に行われた第49回ICTセミナー（主催：日本データ通信協会）における東京農工大学助教の北川直哉氏の講演内容を事務局においてとりまとめたものである。ネット空間における詐欺が悪質化の一途をたどっており、その端緒となる「なりすましメール」への対応は、すべてのネット利用者にとって重要な課題である。この分野に精通する北川氏に、なりすましメール対策に効果を発揮する認証技術「DMARC」の概要を解きほぐして頂いた。 はじめに 私は東京農工大学に勤務し、電子メールのセキュリティ、DNSやドメイン名など、大学院の頃からインターネット技術に関する広い分野でセキュリティ技術の研究を行っている。以前は、通信のセッション自体を監視して、攻撃者特有の振る舞いを検出するところにフォーカスを当てていたが、最近は、迷惑メールの特徴が変わり、需要が変わってきたこともあり、データ解析から攻撃の特性を
Route 53でドメインの実運用に必要な、ネームサーバ(NS)やメールサーバ(MX/SPF/DKIM)のひととおりのDNS設定を実施する
こんにちは。SREホールディングス株式会社のエンジニアの木津です。 最近業務で、AWS のRoute 53 での、ネームサーバの設定やメールサーバの設定など、ドメイン関連の設定について、一通りの流れを経験しました。その内容が勉強になったので、一連の流れとそれぞれの実施内容をご紹介します。 対象読者 AWS上で運用するサービスを公開するのに、ドメインの設定を行おうとする人 SPFやDKIMの設定をすると、どういう仕組みで安全なのか知りたい人 全体の流れ ネームサーバの設定 「お名前.com」で取得したドメインのネームサーバを「Route 53」に変更します。 メールサーバの設定 メールサーバとして契約した「Google Workspace」で、そのドメイン名でのメール送受信ができるようにします。 メールのセキュリティ関連設定 SPFとDKIMの設定を実施して、なりすましや偽装を防ぎます。 ネ
DMARCとは、自社ドメインへのなりすましを防ぎ、メールの信頼性を保証するための送信ドメイン認証技術の一つです。DMARCの認証でポイントとなるのが「アライメント」と呼ばれる仕組みで、送信者のドメイン（ヘッダFrom）とSPF・DKIMで認証したドメインとの検証を行うものです。本記事ではDMARCの概要や仕組み、DMARCアライメントについて詳しく解説します。 DMARCとは DMARC（Domain-based Message Authentication, Reporting, and Conformance）とは、自社ドメインへのなりすましを防ぐ送信ドメイン認証技術の一つです。SPF （Sender Policy Framework）やDKIM （DomainKeys Identified Mail）といった既存の送信ドメイン認証に加え、追加の認証を行うことでなりすましをほぼ完全に防
Proofpoint Email Routing Flaw Exploited to Send Millions of Spoofed Phishing Emails
Reach out to get featured—contact us to send your exclusive story idea, research, hacks, or ask us a question or leave a comment/feedback! An unknown threat actor has been linked to a massive scam campaign that exploited an email routing misconfiguration in email security vendor Proofpoint's defenses to send millions of messages spoofing various popular companies like Best Buy, IBM, Nike, and Walt
新潮流になるか？GoogleとYahooが発表した「今後は受信しないメール」の条件-エンタープライズIT [COLUMNS]
Googleと米Yahooが先日発表した、メール送信者向けのガイドラインをご存じでしょうか？Googleは2024年2月から、アカウントに対してメールを送信する際の条件（認証）を強化すると発表しました。また、米Yahooも同様にメール送信者向けに2024年第一四半期から条件の変更を発表しました。 GoogleやYahooと聞くと、個人利用やECサイトなどのメルマガなどをイメージすると思いますが、今回の対処にはGmailアカウント（@gmail、googlemail.com）だけでなく、企業や学校などが多く利用するGoogle Workspaceも対象に含まれています。この条件変更の流れは、日本国内のビジネスにも影響を与えていく可能性があります。その条件とは一体どんな内容なのかを解説します。 送信ドメイン認証に対応 メールセキュリティサービス ガイドブック ダウンロードする（無料） 目次 今
概要 SPF(Sender Policy Framework)はメールのなりすましを防ぐための送信ドメイン認証の手法です。 さらに細かく説明すると SMTPのTCPコネクションの送信元IPアドレスと送信元メールアドレス(エンベロープFrom)のドメインのTXTレコードに含まれるIPアドレスが合致するかどうかを確認する手法です。 この仕組みを図を交えながら説明します。 事前知識 前もって知っておいた方が良いことを書きます。 エンベロープFromとヘッダFrom From 役割 エンベロープFrom バウンスを処理する場合などに使われるシステムが利用するアドレス SMTPのMAIL FROMコマンドで指定されるreverse-path メールボックスに受信するとReturn-Pathヘッダとして挿入される ヘッダFrom メールクライアントでFromとして表示される人間が利用するアドレス SP
メールのゼロトラストセキュリティモデル | MailData
「信頼せず、検証する」セキュリティモデルを実行しよう 2022年9月29日 著者: Syuzanna Papazyan 翻訳: 高峯 涼夏 この記事はPowerDMARCのブログ記事 Zero Trust Security Model for Emails の翻訳です。 Spelldataは、PowerDMARCの日本代理店です。 この記事は、PowerDMARCの許可を得て、翻訳しています。 メールの脅威は、悪意のあるリンクや添付ファイルの配信にとどまらず、進化しています。 そのため、企業はメールに対してゼロトラストセキュリティモデルを適用するようになっています。 現在では、送信者の身元を偽って受信者を騙し、ソーシャルエンジニアリング攻撃を仕掛けることもあります。 こうした攻撃の大半はマルウェアを送り込むものではなく、また、これらのメールには危険な要素を特定できるものがないため、最も高度
偽メールが効果を発揮する理由と偽メール対策
フィッシング攻撃やビジネスメール詐欺（BEC）に使われる偽メール。なぜ、攻撃者は説得力のあるメールを簡単に作ることができるのでしょうか？ フィッシングメールは、「差出人」フィールドを確認するだけで見破れることもあります。しかし、いつもそうだとはかぎりません。実際、本物と見分けのつかない偽メールは作れます。そんなものを作れる攻撃者に標的とされたなら、たまったものではありません。上司や重要な顧客から届いたように見えるメールにリンクやファイルが添付されていたら、ほとんどの人は深く考えずにクリックするのではないでしょうか。クリックした人を責めるのは酷な話です。メールが偽物だと見分ける方法がないとすれば、特に。 しかし、そもそもなぜ、完璧な偽メールを作り上げることが可能なのでしょうか？第36回Chaos Communication Congressでアンドリュー・コンスタンティノフ（Andrew K
Yahoo!セキュリティセンター｜Yahoo!メールで送信ドメイン認証技術「DMARC」を3月より順次導入します。
Yahoo!メールではセキュリティ強化を目的に、なりすましメール対策として送信ドメイン認証技術「DMARC（Domain-based Message Authentication, Reporting & Conformance）」を3月より順次導入します。 企業や銀行などを装ったメール（なりすましメール）から偽サイトに誘導し、ユーザーのクレジットカード番号などの個人情報を搾取するフィッシング詐欺は、社会における大きな問題となっています。 「Yahoo!メール」では送信元のドメインを認証するSPF（※1）を2006年から、DKIM（※2）を2012年より順次導入しています。SPFやDKIMが受信事業者側（「Yahoo!メール」側）でなりすましを判断する技術であるのに対して、DMARCは送信事業者側がなりすまされたメールの扱い（ブロックする、迷惑メールフォルダに振り分けるなど）を予め設定し、
Yahoo!メール、迷惑メール対策として、 米国などグローバルで活用が進む送信ドメイン認証技術「DMARC」を 3月より順次導入 - ニュース - ヤフー株式会社
ヤフー株式会社は、2023年10月1日にLINEヤフー株式会社になりました。LINEヤフー株式会社のコーポレートサイトはこちらです。 当ページに記載されている情報は、2023年9月30日時点の情報です。 ～ 送信事業者とヤフーとの連携により、なりすましメールを削減 ユーザーにより安全で安心なメール環境を提供 ～ 「DMARC」説明ページ ヤフー株式会社（以下、ヤフー）は、運営するメールサービス「Yahoo!メール」において、セキュリティ強化を目的に、なりすましメール対策として送信ドメイン認証技術「DMARC（Domain-based Message Authentication, Reporting & Conformance）」を2020年3月より順次導入します。 企業や銀行などを装ったメール（なりすましメール）から偽サイトに誘導し、ユーザーのクレジットカード番号などの個人情報を盗みとる
DMARCとは、メール送信元の正当性を証明する送信ドメイン認証技術の一つです。「なりすまし」による詐欺やサイバー攻撃など、巧妙化したスパムメールの脅威が高まり続ける中で、受信者と送信者の双方を守る対策が求められています。本記事では、なりすましメール対策となるDMARCの概要と仕組み、SPFやDKIMとの比較や導入方法などについて解説します。 ※本記事は 2023/10/17に最新の情報をもとに更新しました。 日本国内において、DMARCはまだまだ普及が進んでいない技術のため、耳にしたことのない人も多いのではないでしょうか。まずは、DMARCの概要について解説します。 DMARCの概要 DMARC（Domain-based Message Authentication, Reporting, and Conformance）とは、電子メールの送信ドメイン認証技術のひとつで、SPFとDKIMの
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
DMARC をなめるな - 弁護士ドットコム株式会社 Creators’ blog
メールを正しく送信するために必要な「SPF」「DKIM」「DMARC」とは一体どんなものなのか？
実は2月1日からメールが届いていないかも？ Gmailガイドラインで事業者、利用者が知っておくべきこと
SmartHR、BIMIはじめました - SmartHR Tech Blog
神奈川県高校出願システムの設定の不備を説明できないから勉強してみた - Qiita
あなたの会社のなりすましが現れたら？ 迷惑メール対策方法とYahoo!メールのDMARC導入事例紹介
メール送信者への警鐘：DMARC がもはや「Nice to have」と言えなくなった理由
食べログメールにワンクリックでの登録解除を導入した話 - Tabelog Tech Blog
GoogleとYahooの新Eメール認証要件への短い対応タイムライン | Proofpoint JP
電子メール技術移転：メールプロトコル勉強会をチームで開催してみた
7割超のフィッシングはDMARCで止める、すり抜けたメールにも多層防御で対抗
DMARCとは？その仕組みと設定方法、SPFやDKIMとの関係 | Proofpoint JP
なりすまし対策の欠点を補うDMARCと、現時点で攻撃者お手上げのBIMI
詐欺メール撲滅にGoogleとYahooも本腰、導入が求められる「送信ドメイン認証」
なりすましメールをメールソースから見破る方法 | SendGridブログ
DKIM の署名を手動で付与してみる - QG Tech Blog
送信先で迷惑メール扱いされない？DKIM機能って何？ | さくらのホームページ教室
送信ドメイン認証技術「DMARC」によるなりすましメール対策とDMARCレポートの活用
DMARCのアライメントとは？ SPF・DKIMアライメントをPassするためのポイント - ベアメールブログ
メールにおけるSPFのドメイン認証の仕組み - Carpe Diem
DMARCとは？ 仕組みやメリット、導入方法まで解説 - ベアメールブログ