BIMI（Brand Indicators for Message Identification）
「BIMI（Brand Indicators for Message Identification）」とは、メール受信時に送信者のブランドロゴを、受信トレイ上に表示させるメール認証技術のことです。送信者名の横に第三者による認証を受けた企業のロゴが表示されるため、「なりすまし」ではない正当な送信者からのメールであることを一目で確認できます。本稿では、BIMIの導入が進む背景、効果とメリット、技術概要のほか、設定方法などをわかりやすく解説します。
BIMIの導入が進む背景
BIMIは2018年頃に登場した比較的新しい技術で、近年、Gmail、Yahoo!メール、Appleメールなどの主要メールサービスで導入が進んでいます。BIMIの導入が進む背景には、メールを使ったサイバー攻撃の深刻化があります。
メールは私たちの生活やビジネスに欠かせないツールです。その一方で、有名企業や金融機関を装ったなりすましメールやフィッシング詐欺の手口も年々巧妙化し、被害が後を絶ちません。こうした悪質なメールは、受信者をだまして個人情報や金銭を奪おうとするもので、企業のブランドイメージを損ねることにもつながり、早急な対策が必要となっています。
BIMIの効果・メリットと課題
BIMIの最大の目的は、悪質なメールからユーザーを守り、メールの信頼性を向上させることです。受信メールに公式のブランドロゴが表示されるので、受信者は偽装メールを見分けやすくなり、銀行やECサイト、配送業者などの企業名をかたったフィッシングメールやスパムメールなどの詐欺対策として大きな効果があります。
また、BIMIによってブランドの価値や認知度を高めることが期待できます。受信者のメール一覧や通知画面にロゴが表示されることで、開封前の段階から視覚的に印象づけることが可能です。また、ロゴ表示されたメールの安心感が高まることで企業の信用につながり、開封率やクリック率の上昇も期待できます。
一方で、課題もあります。例えば、全てのメールクライアントがBIMIに対応しているわけではなく、現時点ではOutlookも非対応です。ほかにも、メール認証技術に依存するため、これらの脆弱性を突いて悪用されるケースもあり得ます。この場合はユーザーのロゴに対する信頼性が逆に被害を大きくする可能性があると言われています。実際に、アメリカに本社を置く国際宅配・ロジスティクス企業であるUnited Parcel Service（UPS）を装い、フィッシングメールが送信された事例がありました。公式ロゴを巧妙に模倣したものを使用し、正式なメールと思わせる手口です。
他のセキュリティツールと同様、BIMIにおいても継続的な管理・改善が必要となります。
BIMIを実現するための技術
BIMIは、既存のメール認証技術を基盤として、複数の技術を組み合わせて構築されています。
まずベースとなるのが、以下の3つのメール認証技術です。
- SPF（Sender Policy Framework）
- DKIM（Domain Keys Identified Mail）
- DMARC（Domain-based Message Authentication, Reporting, and Conformance）
SPFは送信者のIPアドレスを検証し、DKIMは電子署名による改ざん検知を行い、DMARCは SPFとDKIMの認証結果を利用して、総合的に送信ドメイン認証を行い判定を下します。これにより、送信元の正当性を技術的に検証することが可能です。
さらに、BIMIに特有の技術として、「VMC（Verified Mark Certificates ）」があります。VMCは、企業がロゴの法的権利を持っていることを証明するために、認証局が発行するデジタル証明書です。取得にはロゴの商標登録などが必要で、DigiCertやEntrustなどの認証局で有償で取得できます。VMCにより、悪意のある第三者によるロゴの悪用を防ぎ、信頼性が担保されます。
BIMIの設定手順
BIMIの設定に際しては、認証局から発行されたドメイン用のVMCが必要となります。VMCの発行には商標登録されたロゴが必要ですので、あらかじめ商標登録を出願するための費用と期間を考慮して準備しておきましょう［Gmailでは2024年9月から商標登録を持たないロゴでも利用できるCMC（Common Mark Certificate）へのサポートを開始しています］。
BIMIの設定方法と、メールの送信から受信者のメールクライアントにロゴが表示されるまでのおおまかな流れは以下の通りです。
企業（送信者側）での設定
- BIMIを導入する企業は、自社のドメインに対し、SPF、DKIM、DMARCの3つのメール認証技術を正しく設定します。
- 表示するロゴの画像をSVG形式で作成し、Webサーバー上に配置します。
- 並行して、認証局からロゴの所有権を証明するVMCを取得します。
- SVG形式のロゴやVMCのパス情報を記述したBIMIレコードを、DNSサーバーに追加します。
メール送信と受信
- メール送信時に、企業のメールサーバーがDKIM電子署名を自動的に付与します。
- メールを受け取った受信者のメールサーバーは、SPF認証、DKIM認証、DMARC認証を実施します。
- DMARC認証に成功すると、DNSサーバーのBIMIレコードを照会し、ロゴとVMCの情報を取得します。
ロゴの表示
- 取得したVMCの署名や有効性を検証します。
- すべての認証と検証が完了すると、受信トレイにロゴが表示されます。
このように、BIMIは複数の認証プロセスを経て、初めてロゴが表示される仕組みです。これにより、メールの高い信頼性とセキュリティが確保されます。
