日本企業のDMARC対応が大きく進んでいます。
プルーフポイントが2026年7月に実施した調査では、日経225企業のDMARC導入率は92％に達しました。
2024年8月の83％から大きく上昇し、米国Fortune 1000企業の98％にも近づいています。
しかし、重要なのは導入率だけではありません。実際になりすましメールを止められる状態を比較すると、日本と米国の間には依然として大きな差があります。
いま日本企業に求められているのは、「DMARCを導入する」という第一段階から、「DMARCで実際になりすましメールを止める」段階へ進むことです。
生成AIの普及により、日本語のフィッシングメールやBECは急速に巧妙化しています。
プルーフポイントの調査では、2025年に観測した新種メール攻撃の82.8％が日本を標的としており、メールは企業システムへの入口であるとともに、なりすましメールも拡大しています。
こうした状況で重要なのが、DMARCのQuarantine（隔離）やReject（拒否）を活用したなりすましメール対策です。
本記事では、日本企業のDMARC運用がどこまで進んでいるのかを、最新調査をもとに解説します。
日経225企業のDMARC導入率は92％、本格運用は43％
今回のプルーフポイントの調査では、DMARC導入率だけでは見えない運用実態が明らかになりました。
2026年7月時点で、日経225企業のDMARC導入率は92％です。
一方、RejectまたはQuarantineを設定し、なりすましメールを実際に拒否・隔離できる状態、つまり「本格運用」の割合は43％です。
一方、DMARCポリシーの内訳を見ると、
- Reject：21％
- Quarantine：22％
- None：48％
- DMARC未導入：8％
これに対して、米国Fortune 1000企業ではDMARC導入率98％、本格運用率83％に達しています。
つまり、DMARCの「導入率」だけを比較すれば日本は米国にかなり近づいていますが、実際になりすましメールを止めるところまで進んでいる企業の割合には、約2倍の差があるのです。
日本企業のDMARC対策は、「導入するかどうか」を議論する段階から、「どこまでポリシーを強化できているか」を問う段階に入ったと言えるでしょう。
DMARC本格運用は業種によって大きな差
日本企業の中でも、DMARCの運用状況には業種によって差があります。
今回の調査では、「金融業、保険業」の本格運用率が60％と最も高く、Rejectが45％、Quarantineが15％でした。「製造業」でも本格運用率は47％となっています。
一方、「情報通信業」では60％、「不動産業、物品賃貸業」では80％がNoneでの運用でした。
金融・保険業界では政府からDMARC対応が要請されてきたことに加え、BtoC企業ではGoogleなどの送信者要件への対応も導入を後押ししていると考えられます。
加えて、製造業では、サプライチェーンを構成する取引先から、DMARCポリシーの強化を求められるケースも増えています。
DMARCはもはや、セキュリティ意識の高い一部の企業だけの取り組みではなく、あらゆる企業に求められるものになりつつあります。
政府機関にも残る「None」の課題
政府機関についても課題があります。
今回調査した日本政府系33ドメインでは、DMARCの導入率は88％でした。
しかし、その内訳を見ると、Rejectは18％、Quarantineは9％にとどまり、61％がNoneでした。
また、12％ではDMARC自体が導入されていませんでした。
一方、今回調査対象とした米国政府系34ドメインでは、すべてがRejectを採用していました。
日本では2023年に「政府機関等のサイバーセキュリティ対策のための統一基準」にDMARCが盛り込まれ、さらに2026年6月の改定では、DMARCポリシー設定の強化が基本対策事項へ格上げされています。
今後、政府機関、自治体、独立行政法人においても「DMARCレコードが存在するか」だけではなく、実際になりすましを防げるポリシーになっているかがより重要になってくるでしょう。
DMARCは「設定して終わり」ではない
では、なぜ多くの組織がNoneからRejectへ進めないのでしょうか。
理由の一つは、現在の企業のメール送信環境が非常に複雑だからです。
企業からメールを送信しているのは、自社のメールサーバーだけではありません。
Microsoft 365やGoogle Workspaceに加え、多数のサービスが企業のドメインを利用してメールを送っています。
（例：CRM、マーケティングオートメーション、メール配信サービス、人事システム、請求システム、カスタマーサポート、SaaS）
把握していない正規の送信元が残ったままRejectへ移行すると、本来届けるべきメールまで認証に失敗する可能性があります。
そのため、DMARCではまずNoneで送信状況を可視化し、正規の送信元を特定します。
それぞれについてSPFやDKIMを適切に設定し、認証状態を確認したうえで、Quarantine、そして最終的にRejectへとポリシーを強化していくことが重要です。
DMARCは、DNSにレコードを一つ追加して終わるプロジェクトではありません。
自社のドメインを使って「誰がメールを送っているのか」を継続的に把握し、管理する取り組みなのです。
AIエージェント時代に重要性を増す送信元管理
この考え方は、生成AI、そしてAIエージェントが普及するこれからの企業環境では、さらに重要になります。
これまでは、企業からメールを送る主体として主に「人」と「アプリケーション」を考えればよい状況でした。
しかし今後は、AIエージェントがSaaSや業務システムと連携し、人間に代わってさまざまな処理を行うようになります。
メールの作成や送信も、その一つになるでしょう。その結果、企業が管理すべき送信主体はさらに多様化します。
そうなれば、AIエージェントから送信されるメールについても、「これは自社が承認した正規の送信元なのか」を管理しなければなりません。
DMARCは、なりすましメールを防ぐための仕組みであると同時に、こうした複雑化するメール送信環境を可視化し、統制するための仕組みとしても重要性を増しています。
2026年5月にはDMARCの標準仕様も約10年ぶりに改訂され、従来のRFC 7489に代わり、DMARC本体のRFC 9989、集約レポートのRFC 9990、失敗レポートのRFC 9991が公開されました。
メール認証の標準も、次の段階へ進み始めています。
目指すべきはDMARCの「導入」ではなく「実効性」
日本企業のDMARC導入率が92％まで上昇したことは、大きな前進です。しかし、それをゴールにしてはいけません。
Noneは、自社のメール環境を把握するための重要なステップですが、なりすましメールそのものを止めるものではありません。
目指すべきなのは、正規の送信元を把握し、認証設定を整備し、Quarantineを経て、最終的にRejectへ移行することです。
DMARCによって守られるのは、自社だけではありません。
自社の名前を信頼する従業員、取引先、顧客、そしてサプライチェーン全体を、なりすましメールやフィッシングから守ることにつながります。
生成AIによって、自然な日本語の詐欺メールを誰でも容易に作れる時代になりました。
「メールの内容を見て、人が偽物を見抜く」ことだけに頼ることは、ますます難しくなっています。
だからこそ、メールが届いてから偽物を見抜くのではなく、偽物をそもそも届かせない仕組みを作る。
日本企業のDMARC対策は今、「導入」から「実効性」へと進むべき転換点を迎えています。
関連情報
DMARCの仕組みやSPF、DKIMとの関係については、「DMARCとは？その仕組みと設定方法、SPFやDKIMとの関係」をご覧ください。
DMARCの最新仕様については、「次世代DMARCとは？変更点とその重要性を解説」で詳しく解説しています。
DMARCをこれから導入する、あるいはNoneからRejectへの移行を検討されている方は、「DMARCスタートガイド」もあわせてご覧ください。