メールなりすまし対策の中核であるDMARCは日本で導入が進む一方、本格運用で米国との差が大きいことが明らかになりました。日本プルーフポイント株式会社は2026年7月に日経225企業、米国Fortune1000企業、日米の政府系ドメインを対象に調査しました。日経225企業の導入率は92％と伸び、2024年8月の83％から改善しましたが、RejectまたはQuarantineを適用する本格運用率は43％にとどまりました。Fortune1000企業は導入率98％、本格運用率83％で、運用面の差が際立ちます。日本の官公庁ドメインはReject18％、None61％、未導入12％で、米国の政府系ドメインは今回対象の全ドメインがRejectでした。日本の業種別では金融業、保険業の本格運用率が60％、製造業は47％で進展する一方、情報通信業はNone60％、不動産業、物品賃貸業はNone80％とポリシー強化の課題が示されました。
背景として、2024年2月以降にGoogleと米Yahooが大量送信者へ送信ドメイン認証対応を要請し、国内導入が加速しました。標準仕様も2026年5月に更新され、2015年公開のRFC 7489はRFC 9989、RFC 9990、RFC 9991へ置き換えられました。国内では2023年に経済産業省、警察庁、総務省がクレジットカード各社へDMARC導入を要請し、同年の政府統一基準に要件化、2026年6月の改定でポリシー強化が基本対策事項へ格上げされています。日本プルーフポイント株式会社のサイバーセキュリティ チーフ エバンジェリストは、金融やB to C企業で導入が進む一方、政府機関では主導部門や責任の所在が不明確に見受けられるとし、Rejectへの移行とBIMIの活用を推奨しました。None運用では一日あたり約1万通近いなりすましが観測された事例も示され、QuarantineやReject移行後に大幅減がデータで確認されています。
実務では、DNSにNoneのDMARCレコードを設定し、集約レポートで送信元を可視化した後、Quarantineを経てRejectへ段階的に移行する手順が有効です。未承認の送信経路を洗い出し、アプリケーションやSaaS、AIエージェントからの機械送信も含めて統制を行うことが重要です。DMARCはメールの到達性とブランド保護にも資し、BIMIにより認証済みメールへロゴ表示が可能となります。日経225企業のポリシー内訳はReject21％、Quarantine22％、None48％、未導入8％で、Fortune1000企業はReject61％、Quarantine22％、None15％、未導入2％でした。官公庁や企業はポリシー強化と継続管理を進めることで、取引先や顧客、国民への詐欺被害抑止につながります。
詳しくは「日本プルーフポイント株式会社」の公式ページまで。レポート／DXマガジン編集部
