日本のなりすましメール対策、DMARC本格運用で米国との隔たり浮き彫りに
日本プルーフポイント株式会社（本社：東京都千代田区）は2026年7月、日本および米国企業、日米政府機関を対象としたメール認証技術DMARCの導入状況に関する調査結果を発表しました。この調査により、日本における「なりすましメール詐欺」対策は前進しているものの、本格的な運用においては米国との間に大きな差があることが明らかになりました。
メールは、攻撃者が企業や組織を狙う主要な経路の一つです。特に、実在する企業や政府機関のドメインになりすましたメールは、顧客や国民に対する詐欺やフィッシング攻撃に悪用されるリスクがあります。DMARC（Domain-based Message Authentication, Reporting, and Conformance）認証は、このようなドメインなりすまし対策に有効な送信ドメイン認証技術として知られています。DMARCポリシーには「Reject（拒否）」「Quarantine（隔離）」「None（監視のみ）」の3つのレベルがあり、「Reject」や「Quarantine」を導入することで、なりすましメールを積極的に抑止できるとされています。
企業におけるDMARC導入状況：日米で運用レベルに大きな差
プルーフポイント社の調査によると、日経225企業におけるDMARC導入率は約92%に達し、2024年8月時点の約83%から増加しています。しかし、「Reject（拒否）」または「Quarantine（隔離）」を導入している本格運用率は約43%にとどまり、約半数の企業が依然として「None（監視のみ）」で運用している実態が判明しました。
一方、米国Fortune1000企業では、DMARC導入率が約98%、本格運用率が約83%に達しています。この結果は、米国企業がDMARCの導入だけでなく、なりすましメールを実際に拒否・隔離する運用を積極的に進めていることを示しています。
具体的なポリシーの内訳を見ると、Reject（拒否）は日経225企業が約21%であるのに対し、Fortune1000企業は約61%と大きな開きがあります。Quarantine（隔離）は両者とも約22%と同水準ですが、None（監視のみ）は日経225企業が約48%を占めるのに対し、Fortune1000企業は約15%にとどまっています。
業種別に見る日本のDMARC運用課題
さらに業種別にDMARCの導入状況を比較すると、日本企業では運用レベルに偏りが見られます。「金融業、保険業」では本格運用率が約60%と最も高く、次いで「製造業」が約47%と比較的進んでいるとされています。しかし、「情報通信業」では「None（監視のみ）」が約60%、「不動産業、物品賃貸業」では約80%を占めるなど、導入後のポリシー強化が課題として残っています。
米国企業では、多くの業種で「Reject（拒否）」および「Quarantine（隔離）」が過半数に達しており、業種別に見ても本格運用が進んでいる状況です。
政府機関のDMARC導入状況：日本の課題が浮き彫りに
日本の官公庁ドメイン（政府広報オンライン「官公庁サイト一覧」より33件を対象）の調査では、最も厳格な「Reject（拒否）」の採用は約18%にとどまっています。「None（監視のみ）」が約61%を占め、DMARC未導入のドメインも約12%確認されました。日本の政府系ドメインにおける本格運用率は約27%と、運用管理の両面で課題が残るとされています。
一方、米国の政府系ドメイン（U.S. Government Departments and Agenciesより34件を対象）は、調査対象のすべてのドメインが最も厳格な「Reject（拒否）」を採用しており、日本の政府系ドメインと比べて運用レベルに大きな差が見られました。
DMARCを取り巻く状況と今後の展望
DMARCは、なりすましメール対策だけでなく、メールを確実に届けるための基盤としても重要性を増しています。2024年2月以降、Googleおよび米Yahooが大量メール送信者に対してDMARCを含む送信ドメイン認証への対応を求めたことは、日本でもDMARC導入を加速させる契機の一つとなりました。また、2026年5月にはDMARCの標準仕様が更新され、メール認証とドメイン保護における基盤としての位置づけがさらに明確になっています。
日本政府も、2023年2月に経済産業省、警察庁、総務省がクレジットカード各社にDMARC導入を要請し、同年7月に改定された政府機関等のサイバーセキュリティ対策のための統一基準（政府統一基準）でもDMARCが要件に含まれました。さらに2026年6月の改定では、DMARCポリシー設定の強化が基本対策事項へ格上げされるなど、その重要性が増しています。
プルーフポイント株式会社のサイバーセキュリティ チーフ エバンジェリストである増田 幸美氏は、DMARCを実効性のある対策とするためには、導入にとどまらず「Reject（拒否）」または「Quarantine（隔離）」による本格運用へ移行することが重要であると述べています。同氏は、監視モード（None）ではなりすまし詐欺メールが多数出回るものの、拒否または隔離モードにすることで攻撃者がドメインの悪用を諦め、詐欺メールが激減する事例があることを指摘しました。
また、DMARC認証を通過した正規のメールに企業のロゴマークを表示するBIMI（Brand Indicators for Message Identification）の導入も推奨されています。BIMIはDMARCの導入が前提であり、受信者はロゴを確認することで「なりすまし」でない正規の送信元から送信されたメールであることを容易に判断できるため、ブランド力の向上も見込めます。
組織がDMARC認証を開始するには、DNSに「None（監視のみ）」のポリシーでDMARCレコードを追加することから始められますが、詐欺メールに対して実効力を持たせるためには「Reject（拒否）」レベルまで実装することが重要です。これにより、ビジネスメール詐欺から自組織を守るだけでなく、取引先企業や顧客を含めたサプライチェーン全体をなりすましメールの脅威から保護することにつながります。
DMARC認証の実施方法に関する詳細は、以下のプルーフポイント社のリソースで確認できます。
ソース元
プルーフポイントの調査により、日本企業・政府機関の「なりすましメール詐欺」対策は前進するも、米国に比べ本格運用と継続管理で大きな差があることが判明
https://www.proofpoint.com/jp