「PayPal サポート」を装ったフェイクメールはあらゆるセキュリティチェックを通り抜ける

SPF、DKIM、DMARCをすべて通り抜けながら、From欄が「PayPal Support」や「Chase Fraud Department」と表示されるスプーフィングメールは存在する。みんなが「このメールは本物だ」という証拠として引き合いに出す3つのプロトコル――SPF、DKIM、DMARC――は、送信ドメインと暗号署名だけを検証するのだ。ディスプレイネーム、つまりあなたの目が最初に着地する人間が読める部分は、一度も検査されない。信頼バッジは誰も見ないフィールドを保護しているのだ。

スプーフィングメールは本当に、フェイクなディスプレイネームを持ったままDMARCに通るのか？

通る。その理由は標準仕様に組み込まれている。DMARCの仕様であるRFC 7489は、「RFC5322.From」ヘッダーの中のドメイン、つまり@記号の後ろの部分だけを対象にしていることを明記している。アドレスの前に来る自由形式のラベルであるディスプレイネームについては何も述べていない。だから、support-team-alerts.comのような普通のドメインを管理する攻撃者は、正しいSPFレコードとDKIMレコードを設定し、billing@support-team-alerts.comから送信すれば、DMARCのチェックを綺麗に通す。ディスプレイネームを「PayPal Service」に設定するだけだ。技術的には完璧な認証。完全に不正な表現だ。

そしてほとんどのメールクライアントはこれを悪くする。特にスマートフォンは、フレンドリーな名前を表示してアドレスを隠す。タップするまでアドレスは見えない。あなたが見るのは「PayPal Service」で、実際のsupport-team-alerts.comはタップしても開かないシェブロンの背後に隠れているのだ。

では、DMARCは実際には何をチェックしているのか？

DMARCは、Fromヘッダーの中のドメインが、送信者が使用を認可されているドメインと一致することを確認する――それだけだ。SPFは送信サーバーのIPがそのドメインの承認リストにあることを確認する。DKIMはドメインに紐付けられた暗号署名を追加する。DMARCの役割は「アラインメント」だ。SPFまたはDKIMが検証したドメインが目に見えるFromドメインと一致することを確実にし、evil.comで認証を通しながらpaypal.comであると主張することはできないようにする。

これは本当に有用だ。だからこそ、大手ブランドの完全なドメイン詐称がより難しくなり、GoogleとYahooが2024年2月にバルク送信者にDMARCの使用を義務付け始めたのだ。送信者認証ガイダンスを書く業界団体M3AAWGは、これらのプロトコルがドメインを認証するのであって、意図やテキストではないことを明確にしている。封筒は本物でも、メッセージは嘘かもしれない。

なぜディスプレイネームはフリーパスを得るのか？

電子メールが資金を移動させることになるとはだれもが想像する前に構築されたからだ。ディスプレイネームはフレンドリーであるように設計されたもので、検証されるようには設計されていない。それは親切なラベルだ。「Apple Billing」と名乗ることを許可された人のレジストリは存在せず、商標に対するチェックも何もない。あなたのディスプレイネームをローマ教皇に設定することもできる。メール標準はそれを装飾として扱うので、認証プロセスはそのすぐ先を通り過ぎるのだ。

これは、増加する詐欺カテゴリーの仕組みでもある。ディスプレイネームスプーフィングが、正当そうに見える類似ドメインと組み合わされるのだ。FBIのInternet Crime Complaint Centerは2023年に$2.9 billionを超えるビジネスメール詐欺による損失を記録した――そしてBECはまさにこのトリック、信頼できそうに見える名前と対象者が詮索することのないアドレスに大きく依存している。プロトコルはすべてを通す。それでもお金は去っていくのだ。

では、今はFromラインをどう読むべきなのか？

名前を読むのをやめて、アドレスを読もう。デスクトップでは、マウスホバーやクリックで完全なuser@domainを拡張表示し、1つの質問をしよう。これは実在する企業が使用しているドメインなのか、一字一句違わずに？PayPalはpaypal.comから送信する。paypal-secure.netやservice-paypal.comからではない。モバイルでは、何か他のものをタップする前に、送信者をタップしてアドレスを表示させよう。

その次は2番目のチェックだ。この組織が、期待していない要求ではなく、ジェネリックな挨拶であなたに語りかけ、ログインリンクへ押し付けるようなことをするだろうか？それはどのヘッダー検証も確認しない部分だ。これはまたAIフィルタリングが活躍する場所でもある――xmailのスキャムフラギングのようなツールは、認証されたドメインに対してディスプレイネームを照合し、あなたの目がそのフレンドリーなラベルを信頼する方法ではなく、ミスマッチを表面化させる。DMARCパスはそのドメインが本当に自分が言う者であることを伝える。しかし、その名前が本物であることは決して伝えなかったのだ。