メールのなりすまし対策技術とPPAP廃止の実務

メールを安全に扱うでは、送信ドメイン認証と、添付ファイルの安全な受け渡しを区別します。用語を覚えるだけでなく、事例の条件に合う対策を選べるように整理しましょう。

科目Aで基本的な意味を確認し、科目Bでは「守る情報・起きた事象・組織のルール・担当者の権限」を読み取ります。本文の確認問題は、考え方を練習するためのオリジナル問題です。

1. 送信ドメイン認証3大技術（SPF / DKIM / DMARC）の徹底比較

SPF・DKIM・DMARCは異なる情報を確認します。表示された差出人名が有名企業であることや、これらの認証に成功することだけでは、メール本文が安全とは判断できません。

技術	確認する内容	限界
SPF	エンベロープ送信者（MAIL FROM、場合によりHELO）のドメインが許可する送信元か	ヘッダーFromそのものの認証ではない。転送で失敗する場合がある
DKIM	署名された範囲が変更されていないか、署名ドメインの鍵で検証する	署名外の情報や本文の安全性を保証しない
DMARC	ヘッダーFromと整合するSPF、またはDKIMの少なくとも一方が成功するか	noneは監視、quarantine・rejectは受信側に取扱いを要求する方針。最終処理は受信側の判断も伴う

2. なぜ「PPAP（パスワード付きzip）」は廃止されるのか？

パスワード付きZIPとパスワードを同じメール経路で送る方法は、経路を見られたときに両方が取得されるおそれがあります。添付の暗号化が、メールの真正性やマルウェア検査を保証するわけではありません。

text

ファイルを送る前に確認すること
・送付先と、送ってよい情報かを確認する。
・受信者を限定し、ログイン、期限、権限、失効を設定する。
・サービスや組織のルールに沿ってマルウェア検査を行う。
・パスワードを同じ経路で知らせるだけで安全と判断しない。

3. 安全なファイル授受の実務代替策（クラウドストレージ連携）

受信者を限定する共有サービスを使い、必要な権限だけ付与する。
期限・失効・履歴を設定し、URLを知っているだけで誰でも取得できる設定を避ける。
誤送信を防ぐ宛先確認と、受信者が取得した後の取扱いも必要。

4. 科目B形式オリジナル実戦シナリオ演習

演習1：送信ドメイン認証の導入とDMARCポリシー設定

〔背景・企業概要〕A社は化粧品通信販売企業である。自社のドメイン（@a-cosme.example.jp）を騙った偽のフィッシング詐欺メールが顧客に届き、被害が発生した。

〔A社の対策方針〕A社では、自社のメール送信元ドメインの正当性を担保し、顧客に届く偽メールを受信拒否させるため、SPF、DKIM、DMARCを導入することにした。

〔設問〕自社ドメインをヘッダーFromに使い、DMARCに失敗したメールの拒否を受信側へ要求したい。設定として最も適切なものはどれか。

ア：`p=none`（認証失敗時もそのまま受信させ、レポートのみ受信する）
イ：SPFまたはDKIMの認証結果とFromとの整合を確認するDMARCを導入し、十分な事前確認の上でp=rejectを設定する。
ウ：`p=ignore`（セキュリティチェックをすべてスキップする）
エ：DNSレコードから自社のドメイン設定を完全に削除する

正解：イ
根拠：DMARCは、Fromと整合するSPFまたはDKIMの成功を要求します。p=rejectはDMARC失敗メールの拒否を要求する方針です。正規の配信や転送への影響を確認して段階的に導入します。
確認する点：SPFだけではヘッダーFromとの整合を確認できません。似た別ドメインや、乗っ取られた正規アカウントのメールまでDMARCで防げるわけではありません。

演習2：PPAP廃止とオンラインストレージ運用ルールの策定

〔背景・企業概要〕B社は従業員300名の部品メーカーである。取引先C社から「PPAP（パスワード付きzipのメール添付）を即時廃止し、安全なクラウドストレージ方式に移行してほしい」と要請された。

〔設問〕B社のセキュリティリーダーが策定すべき、最も安全なファイル授受ルールはどれか。

ア：zipの暗号化パスワードを100文字以上の乱数にし、同一メール本文の末尾に記載して送信する。
イ：法人向け認定オンラインストレージにファイルを保管し、C社の担当者メールアドレスのみにアクセスを許可した「期限付き（7日間）」「ダウンロード権限制御」の共有リンクを発行して連絡する。
ウ：全ファイルをUSBメモリに保存し、一般の普通郵便でC社に郵送する。
エ：ファイルを一切暗号化せず、誰でもアクセス可能な無料の公開掲示板にアップロードしてリンクを共有する。

【正解】：イ
受信者を限定し、ログイン・期限・失効・履歴を管理する共有方法は、同じ経路でZIPとパスワードを送る方法の問題を減らします。リンクの誤送信や取得後の漏えいへの対策も必要です。

5. まとめと重要チェックリスト

SPF（IP検証）、DKIM（電子署名・改ざん検知）、DMARC（受信拒否ポリシー指示）。
PPAPは廃止：同一経路盗聴に無力、マルウェア検疫すり抜けのリスク。
代替策：法人向けオンラインストレージの期限付きアクセス権限リンク。

出典と仕様を確認する

IPA：情報セキュリティマネジメント試験シラバス Ver.4.1

RFC 9989：DMARC