お客様事例

碧海信用金庫は、愛知県安城市に本店を構え、地域に根ざした金融サービスを展開する信用金庫です。なりすましメールによる不正送金被害が社会問題化する中、「お客さまを守る社会的責務」として早期の対策を決断。業界に先駆けてDMARC（なりすましメール対策設定）・企業ロゴ付きメール（BIMI）・企業ロゴ所有証明書（VMC）を導入されました。導入のきっかけや苦労、そして今後の展望についてお伺いしました。

メーラーやメール配信ツールの利用状況について

──現在、どのようなメーラーやメール配信ツールをご利用されていますか？

取引先間のビジネスメールはWebメールサービスを利用しています。お客さま宛のメールマガジンは、メール配信サービスを使っています。また、お客さま向けサービスからの通知をサービスの機能で送っています。

──主にどのような種類のメールを送信されていますか？

お客さま宛のメールマガジン（お知らせやキャンペーン案内等）が一番多いメールです。

DMARCの設定について

──DMARCの設定に取り組み始めたきっかけを教えてください。

あたかも正規な企業であるかのように偽装した「なりすましメール」による不正送金被害等が多発し、なりすましメール対策を強化することが社会的要請となってきていた中で、主要なメールサービス（Google等）によるメール送信要件厳格化の動きを受け、お客さまを守るための「社会的責務」として早期の対応が不可欠だと判断しました。

──DMARC設定にあたって、最初に感じたハードルや不安点は何でしたか？

複数のメールサービスを利用しており、その洗い出しを行い、サービスごとに適切な設定を行う必要があったことです。設定を誤ってしまうと正規のメールまでお客さまや取引先に届かないというリスクがあり、慎重に確認を行う必要がありました。

企業ロゴ付きメール（BIMI）、企業ロゴ所有証明書（VMC）導入を検討された背景やきっかけ

──BIMI導入を検討された背景やきっかけを教えてください。

DMARCポリシー引き上げにより当金庫ドメインをかたったなりすましメールを排除することができますが、お客さま目線では、どのメールが本物かを見分けることが難しいという課題がありました。そこで、当金庫ブランドの保護とお客さまの信頼維持のため、メールにブランドロゴを表示するBIMIを導入して、メールを受信するお客さまが正規のメールであることを一目で判別できるようにしたいと考えました。

──BIMI導入前、メールに関してどのような課題を抱えていましたか？

DMARCポリシーが設定されておらず、メールの信頼性が損なわれていました。BIMIの導入にはDMARCポリシーの設定が必須になるため、結果的にセキュリティ強化にもつながったと思います。

導入の決め手・プロセス

──なぜVMCの導入を選ばれたのですか？

BIMIでブランドロゴを表示させるためには、第三者機関による厳格な実在性審査をクリアした「VMC」の取得が必須だったからです。また、業界に先駆けてBIMI/VMCを導入することで、安全なデジタル社会の実現に貢献するという姿勢を示したかったという理由もあります。

──導入までのスケジュールやステップを教えてください。

最初にメールサービスの洗い出しを行い、それぞれのサービスごとに適切な設定（SPF、DKIM）を行いました。並行して、DMARCポリシー設定（p=none）を行い、DMARCレポート分析サービスの導入により現状把握を継続的にできるようにしました。環境が整ったことをモニタリングしながら、DMARCポリシー引き上げ（p=quarantine）、BIMI導入、DMARCポリシー引き上げ（p=reject）の順に進めています。最初のメールサービスの洗い出しからBIMI導入までには、1年3か月ほどかかっています。

──導入時に苦労された点や工夫された点はありますか？

SPF、DKIM、DMARCをまったく知らない状態からのスタートだったので、理解するまでに時間がかかりました。DMARCレポート分析サービスが大きな助けになりました。

導入後の変化や効果

──BIMI/VMC導入後、どのような変化・効果を実感していますか？

お客さまから直接の具体的なお声等は、まだないのですが、お客さまの信頼性向上やブランドの認知等に効果的だと考えています。当金庫ドメインのなりすましメールが、DMARCポリシー（reject）によって、お客さまに届いていないことをDMARCレポート分析サービスで確認し、社会的責務の一端を果たせているものと考えています。

今後の展望と企業へのメッセージ

──これからBIMIの導入を検討される企業に向けて、アドバイスがあればお願いします。

SPF、DKIM、DMARCの整備には時間がかかるので、メールサービスの洗い出し（棚卸し）を行い、早めに環境を整備して、DMARCレポートによる現状の可視化を行うことをお勧めします。

──今後、BIMIをどのように活用・展開していきたいとお考えですか？

メールサービスによっては、BIMI表示できていないものがあります。多くのメーラーで表示できるようになることを期待しています。