フィッシングメールの識別を容易にする新しい方法(BIMI)

株式会社エアー　藤川弘充

昨今フィッシングメールが本物のメールを真似る精度はますます向上しています。メールの受信箱に入っているネット通販や金融機関、公的機関などからのメールが本当に当該の企業や団体からのメールであると識別するにはどうしたらいいでしょうか？

いくつか観点があるかと思いますが、ここでは見分けるポイントの一つとして送信元のメールアドレスについて取り上げたいと思います。フィッシングメールの送信元メールアドレスとして2パターンが考えられます。

(1)本物のメールアドレスに偽装したケース

色んなパターンがありますが、例えば”l”（小文字のエル）を”1″（数字のイチ）に置き換えて以下のように偽装するといったことが考えられます。

正しいメールアドレスの例：xxx@example.co.jp
偽装したメールアドレスの例：xxx@examp1e.co.jp

こちらに気付くには送信元のメールアドレスをしっかりと確認することが必要になります。
（手前味噌ですが、弊社で提供しているWISE Alert v3.6.0で偽装されたメールアドレスのチェックに役立つ機能が実装されました）

(2)本物のメールアドレスをそのまま使用しているケース

こちらのケースについては近年普及していっているSPF, DKIM, DMARCといった送信ドメイン認証の仕組みによって、偽物の送信者から送られたものでないかチェックがされるようになりました。ただエンドユーザにとっては、今開こうとしているメールが送信ドメイン認証のチェックを経たもので問題ないものであるかを識別することが難しい面がありました。

今回は上記の(2)の欠点を補うことなどを目的とした新しい規格である”BIMI”(及び類似のYahoo!メールブランドアイコン)についてご紹介します。

○”BIMI”(Brand Indicators for Message Identification)

Google, LinkedIn, SendGridなどからなるワーキンググループ (https://bimigroup.org/)で標準化が進められています。
DMARCによるチェックによりメールが本物の送信者から送られたと判断された場合に、メールボックス内の当該のメールの横に送信元の組織のブランドのロゴを表示させます。

現時点ではGoogleやYahoo!(米)で試験的な導入がされています。
https://bimigroup.org/bimi-adoption-october-2020/

詳しい内容はSendGrid社の以下のサイトが参考になるかと存じます。
「BIMIとは?」https://sendgrid.kke.co.jp/blog/?p=12833