スマホ紛失とMDM、なりすましメールを防ぐSPF・DKIM・SMTP-AUTH

スマホをなくしたら、会社はどう守る？

スマートフォンやタブレットは、持ち歩くぶん紛失や盗難のリスクがとても高い道具です。昔は「気をつけて探す」「警察に届ける」といった個人の努力に頼っていましたが、今は「なくすこともある」という前提で、組織がまとめて管理することが大切になっています。

そのためのしくみがMDM（Mobile Device Management：モバイル端末管理）です。会社が社員に貸し出した端末の設定やアプリの導入を、会社側でまとめて管理します。たとえば次のようなことができます。

• 端末の情報（機種やOSのバージョンなど）を一覧で把握する
• パスワードの設定を義務づける、業務に関係のないアプリを使えないようにする
• 業務アプリを全員の端末に一斉に配布・更新する
• なくしたときに、遠隔で鍵をかける・データを消す

個人にまかせると、パスワードを簡単なものにしたり、あやしいアプリを入れたりしがちです。それを会社のルールとして強制できるのがポイントです。

リモートロックとリモートワイプ

マスターリモコンがいちばん力を発揮するのが、端末をなくしたときです。

• リモートロック（遠隔ロック）：拾った人が画面を開けないよう、遠隔で鍵をかけます。
• リモートワイプ（遠隔消去）：端末の中のデータを遠隔で消去します。工場から出荷されたときの状態まで初期化することもあります。

だまされたら、端末の守りも意味がない

MDMで端末を守っていても、画面のロックを外して使っている本人が、にせのメールにだまされてパスワードを入力してしまったら、守りは内側から破られてしまいます。実在する銀行や通販サイトのロゴまでまねたなりすましメールやフィッシング詐欺は、見た目ではなかなか見分けられません。

そこでメールのしくみの側では、見た目やロゴではなく、目に見えない裏側で送り主の身元確認をしています。その代表がSPFとDKIMです。

SPF：「どこから来たか」を確かめる

SPF（Sender Policy Framework）は、メールが送られてきた場所を確かめる技術です。

• メールを送る会社は、インターネットの住所録にあたるDNSに、「うちの正規のメールサーバのIPアドレスはこれです」という一覧を登録しておきます。
• メールを受け取った側のサーバは、送り主がなのっているドメインのDNSに問い合わせて、その一覧を取り出します。
• 実際にメールを送ってきたサーバのIPアドレスが一覧にあれば合格、なければ「なりすましの疑いあり」と判断できます。

SPFが見ているのは、あくまで「どこから来たか」です。メールの中身が途中で書き換えられていないかまでは確かめられません。そこで組み合わせるのが、次のDKIMです。

DKIM：メールに「封ろう」を押す

DKIM（DomainKeys Identified Mail）は、メールそのものに電子署名（デジタル署名）を付ける技術です。

• 送る側は、自分だけが持つ秘密鍵（署名鍵）を使って、メールに署名を付けます。
• 署名を確かめるための公開鍵（検証鍵）は、送る側のドメインのDNSで公開しておきます。
• 受け取った側は、DNSから公開鍵を取り出して署名を検証します。署名がない、または検証に失敗したら、なりすましや書き換えの疑いがあると判断できます。

SPFで「出発地が正しいか」、DKIMで「封がこわれていないか」。この二段がまえで、受け取る側はなりすましメールをかなり見破れるようになります。

ただし、SPFもDKIMも確かめているのは「そのドメインのメールとして正しいか」です。攻撃者が本物そっくりの名前の別のドメインを自分で用意し、そのドメインとして正しく送ってきたメールは、どちらの確認も通ってしまいます。差出人のドメイン名そのものを確かめる目も欠かせません。

SMTP-AUTH：送る前に本人確認

ここまでは受け取る側（入口）の守りでした。一方で、自分たちのメールサーバを第三者に勝手に使わせない、送る側（出口）の守りも必要です。

SMTP-AUTHは、メールを送るときにユーザ名とパスワードで認証するしくみです。認証に成功した正規の利用者だけが、そのサーバからメールを送れます。

それでも迷惑メールが届くのはなぜ？

SPF・DKIM・SMTP-AUTHは、どれも「送り主が、なのっているとおりの相手か」「途中で書き換えられていないか」を確かめる認証のしくみです。メールの中身が役に立つか、迷惑かを判断する機能はありません。正規のサーバから、きちんと本人確認をした人が迷惑メールを送ってくることもあるのです。

そこで最後の守りになるのが迷惑メールフィルタです。受け取ったメールの内容や送信元、送られ方（異常な回数で送られていないかなど）を自動で分析して、スパムの疑いがあるものを別の場所に分けます。