金融サービス事業者を取り巻く環境としては、金融機関を騙ったフィッシングサイトが増加傾向にあり、不正送金やマネー・ローンダリング被害も数多く発生しています。セブン銀行では、金融犯罪対策部とリスク統括部、そしてCSIRTが連携してフィッシング対策に取り組んできました。

幸い、これまでのところ当社を騙ったフィッシングメールがばらまかれたケースはほぼありませんが、お客さまに安全・安心をお届けするために一層の対策が必要だと考えています。

フィッシング対策協議会のセミナーをはじめ、あちこちでDMARCという言葉を頻繁に耳にするようになりました。DMARCは、メールに表示された送信元ドメインから正規に送信されたメールであるかどうかを認証する、送信ドメイン認証技術です。これは対応が必須だと考えました。それ以前から、NRIセキュアテクノロジーズ（以下、NRIセキュア）との常駐支援の定例ミーティングの中で、DMARCの動向や他社の対応状況に関する情報提供を受けていたことも後押しとなり、現場と経営レベルが一体となってDMARC対応を推進することを決めました。

当社の主要なメールドメインは多岐にわたるシステムで用いられています。中には提携先へ資料を送信するものもあり、DMARC対応を進める過程で資料が届かなくなることがあれば影響は甚大です。このため、各部門との調整・情報共有は不可欠でした。

こうした地道な部分も含め、DMARC対応は長期的な案件になると考えていました。その途中で降りられては困ります。信頼の置ける会社であることがパートナー選定の前提条件でした。プロジェクトを進めるパートナーとしてNRIセキュアを選定し、同社が推薦するDMARC対応をサポートするソリューション「Proofpoint EFD」を採用して対応を進めることにしました。

セブン銀行は以前から、高いセキュリティレベルと攻めのDXの双方をバランスよく保つため、システム立ち上げの早い段階からセキュリティを検討する「セキュリティ・バイ・デザイン」の取り組みを進めており、アドバイス役としてNRIセキュアの支援を受けていました。こうした過去の実績も選定のポイントになっていました。

さらに提案時には、俯瞰的な視点から見たDMARCの必要性にはじまり、内製で進めた場合と比べたコスト・工数に至るまでを網羅した情報を網羅的にまとめていただきました。NRIセキュアのコンサルタントとエンジニア、営業担当が密に連携し、こうした情報を揃えていただいたため、社内の理解も得やすかったです。

準備が整ったところからDMARCを導入していく流れでしたが、いざ始めてみると想像以上に時間がかかりました。といっても、つまずいたのは技術的な課題ばかりではありません。送信元のシステムや担当者を突き止め、連絡を取るというアナログな部分でした。

セブン銀行が送るメールは多種多様です。通常のメールだけでなく、ワークフローの中で機械的に送られるメールや、特定の状況が発生したときにだけ送られるメールもあり、それらすべてを洗い出すのは非常に骨の折れる作業でした。

また、担当者も導入時とは変わっていたり、一人が複数のメールシステムを担当する場合もあるため、担当者の特定は困難を極めました。見つけて連絡してもまたすぐ次が出てくるという具合で、果たして終わりがあるのだろうかという気持ちになることもありました。

どうしても送信元がわからず半泣きの時もありましたが、DMARCレポートを深掘りして調べていただき、「この送信元はこのサービスで使われている○○ではないか」「この内容ならこの部に尋ねてみるといいのでは」などとヒントをいただき、親身にサポートしてくださいました。

なりすましメール対策という意味では、DMARCだけでは志半ばです。DMARCで認証成功したメールにロゴを表示させる送信ドメイン認証技術であるBIMIの対応も必要になると考えています。正規のメールとそうでないものがお客さまにも視覚的にわかるよう、BIMI対応を進めていきたいです。