サイバーセキュリティ企業2社、AgariとFarsight Securityが共同で発表したレポートによると、ブランドの90%がドメイン名詐欺の被害に遭っていることが明らかになりました。同時にFarsight Securityは、調査対象となったウェブサイトの99%がDMARCを使用していないことを発見しました。DMARCは、Gmailや一部の政府がメール詐欺やフィッシング詐欺の防止のために既にメールシステムに導入している重要なメール認証プロトコルです。
DMARC - ドメインスプーフィング対策に重要
DMARC認証がなければ、悪意のある人物はインターネットユーザーにスパムメールを送信する際に、正規の企業を装うことができます。この場合、メールはPayPalとは全く関係ないにもかかわらず、ユーザーは「送信者メールアドレス」を「 [email protected] 」のような正規のメールアドレスのように認識してしまいます。
悪意のある攻撃者は、偽のPayPalログインページに誘導したり、マルウェアに感染したメールの添付ファイルを送信したりすることで、ユーザーの認証情報を盗む可能性があります。多くのユーザーは、一見正当に見える「情報源」を信頼するため、これらの添付ファイルを開いてしまう可能性があります。
アガリの創設者兼会長のパトリック・ピーターソン氏は次のように述べた。
メールとフィッシングは、依然としてサイバー攻撃とデータ侵害の主な発生源となっています。この画期的なレポートは、DMARC導入が顧客とブランドを保護し、フィッシング率をほぼゼロにまで引き下げたという説得力のある証拠を示しています。しかしながら、DMARCを導入している企業のうち、DMARCを施行しているのはわずか27%に過ぎず、この実証済みの対策を実際に導入している企業がいかに少ないかを示しています。
追加の調査結果
AgariとFarsight Securityの調査によると、現在、医療業界はフィッシング攻撃の標的として最も高い割合を占めています。医療関連ドメインの92%以上がドメイン名スプーフィングの標的となっています。実際、医療関連企業から送信されたように見えるメールの大部分（58%）は、実際には悪意のある攻撃者によって送信されています。これは患者を危険にさらすだけでなく、医療提供者全体に対する信頼を低下させることにもつながります。医療関連企業のうち、自社ドメインにDMARC認証を使用しているのはわずか10%から20%です。
調査では、政府機関が2番目に攻撃を受けている業界であり、ドメインの87%が標的となっていることも明らかになりました。米国政府から送信されたと思われるメールの12%以上が悪意のあるもので、これは世界平均の3%を大幅に上回っています。
Tom's Hardware の最高のニュースと詳細なレビューをあなたの受信箱に直接お届けします。
他のレポートでも見てきたように、フィッシングは悪意のある攻撃者にとって非常に活発なビジネスとなっています。これは、企業がドメインの認証を行っていないこと、メールプロバイダーが認証を強制していないこと、そして攻撃者が本物に見えるメールを送信できれば、フィッシングが認証情報を入手したりマルウェアに感染させたりするのに非常に効果的な手段となることが一因です。
ルシアン・アルマスは、Tom's Hardware USの寄稿ライターです。ソフトウェア関連のニュースやプライバシーとセキュリティに関する問題を取り上げています。
