超簡単!あっという間にGMailをアンチフィッシング対応にする方法

   

2697956fab72e2613b85e3d5d19343fa_m

フィッシング攻撃を防御するのに効果がある対応や留意点といった情報は色々とあります。サードパーティが提供する専用の対策ソフトウェアを導入するのも有効な手段でしょう。

でも、もしGmailユーザであるならわざわざツールを購入したりする前に出来ることがあります。実は、フィッシングに効果のある対策が設定として用意されています。素晴らしいことに、とても簡単にあっという間に利用開始できます。今回はその設定方法を紹介します。

確認済み送信者を示す認証アイコンを有効化する

  1. Gmailを自分のアカウントで開きます。
  2. 右側にある歯車ボタンからメニューを表示し、「設定」をクリックします。
    設定

    設定

  3. 設定画面の上部タブから「Labs」をクリックします。
    Labs

    Labs

  4. Labsのリストの中にある「確認済み送信者を示す認証アイコン」項目の「有効にする」をクリックします。
    確認済み送信者を示す認証アイコン

    確認済み送信者を示す認証アイコン

  5. 画面下部の「変更を保存」ボタンをクリックします。

Gmailでの受信メールで確認済み送信者の認証アイコンを確認する

既にそういった送信者からメールがあればすぐ確認できます。Google ウォレット、eBay、PayPal等のお金を扱う組織、或いは個人情報を扱う組織からのMailが対象となります。Googleでは、以下の2つを確認済み送信者の条件として挙げています。

  1. 長期に渡って大量のメールを送信しており、大部分の Gmail ユーザーがそれらを迷惑メールではないと判断している。
  2. DMARC拒否ポリシーを公開している。つまり、ドメインは認証済みメールのみを送信するものとし、ドメインから送信された未認証メールは拒否される。

筆者の環境ですぐ確認できたのは、Google Account Activityからのレポートメールの送信元でした。下図のように送信者の脇に鍵状のアイコンが表示されます。これが表示される時点で一定の信用がある送信者であると判断できます。

鍵型アイコン

鍵型アイコン

また、メールの受信者、上図での「自分」の右横にある下向き三角アイコンをクリックすると、送信元や署名元、暗号化手段が表示されます。この際、送信元と送信者、署名元の間でちゃんと整合性が取れているかの確認が取れます。

送信元、署名元情報

送信元、署名元情報

フィッシングメールの場合、送信者の見かけ上の表示はいかにもそれっぽく偽装され簡単には正体がバレないようにしてありますが、送信元や署名元までは揃えられません。

取引のある業者からのメールにマークがつかないのは何故か?

先に書いたようにこのマークを表示するには2つの条件があります。安全を保障するためということもあり、この条件をクリアするハードルは低くありません。とはいえ、その送信者の所有するドメインでマークを付けられるかどうかの確認が出来ないと、ついていない状態が仕方ないことなのか、はたまたフィッシングなのかの判別に困りますね。

とりあえずDMARC拒否ポリシーを公開しているかどうかは簡単に確認できます。送信元のドメインで確認します。

  1. 例えば、先のメールにあった「accounts.google.com」を確認したいとします。
  2. dmarcian - DMARC Inspectorを開きます。
    dmarcian - DMARC Inspector
    dmarcian provides tools, support, and advocacy to continue growing DMARC within the email ecosystem.
  3. 左側に表示されたDMARK Inspectorの入力欄に「accounts.google.com」を入力し「Inspect the Domain」ボタンをクリックします。
  4. すると、確認結果が表示されます。その文字列の中に「p=reject」があれば、DMARC拒否ポリシーを公開しています。ドメインは認証済みメールのみを送信するものと保証され、マークを表示するための要件を1つクリアしたことになります。
    DMARC拒否ポリシー

    DMARC拒否ポリシー

終わりに

Gmailは程々に熟してWebツールですが、まだまだ現役です。新しくInboxという受け皿が用意されようと、SNSやメッセンジャーで頻繁にやり取りが行われていようと、落ち着いたやりとりを蓄積して管理するという観点ではその座を譲るような流れはまだ見えません。逆に言えば、誰もがアカウントを持っていて頻度が多かれ少なかれ重要度の高い情報のやり取りがされる分、ターゲットにされやすい存在でもあります。

ですので、既定の機能として(Labs段階ではありますが)こういったことが設定として用意されていて、誰でもすぐ利用できるのは有難いことです。筆者は存在自体知らなかったのですが、この機能いつごろから提供されていたのでしょうね。早いところ普通の設定として既定でオンにされていても良さそうな気がしました。

適宜覚書-Fragmentsは、筆者が興味をもった様々な情報やネタを筆者が忘れても後で思い出せるよう覚書として公開するBlogです。Google Chrome拡張、Facebook、Google、Twitter、Windows、各種Webアプリなどを扱うことが多いです。この覚書が、もし何かお役立ちになれば幸いです。

 - GMail, Security