日経225企業の本格運用率は43%にとどまり、Fortune1000企業の83%と大きな差。日本政府系ドメインでは未導入が15%確認され、政府機関でも運用管理の課題が浮き彫りに

人とAIエージェントのサイバーセキュリティ分野におけるリーディング カンパニーである日本プルーフポイント株式会社 (本社：東京都千代田区、代表取締役社長： 野村 健、以下プルーフポイント)は、2026年7月に実施した日本企業および米国企業、日米政府機関におけるメール認証の調査結果をもとに、なりすましメール対策の現状と課題について分析を行いました。

概要

メールは、攻撃者が企業や組織を狙う際に最も多く悪用する経路の一つです。特に、実在する企業や政府機関のドメインになりすましたメールは、取引先、顧客、国民に対する詐欺やフィッシング攻撃に悪用される可能性があります。

プルーフポイントは、ドメインのなりすまし対策に有効な送信ドメイン認証技術であるDMARCの導入状況について、日経225企業、米国Fortune1000企業、日米の政府系ドメインを対象に調査しました。

DMARC認証は、詐欺メールの手法である「ドメインのなりすまし」の対策に有効な技術であり、なりすまされた側の企業や組織が設定したポリシーに基づき、なりすましメールを拒否、隔離、または監視することができます。DMARCポリシーには3つのレベルがあり、ポリシーが厳しい順に「Reject（拒否）」「Quarantine(隔離)」「None（監視のみ）」となっています。このうち「Reject（拒否）」および「Quarantine(隔離)」を導入することで、従業員、取引先企業および顧客の受信箱に届く前に、自社になりすました詐欺メールを積極的に抑止することができます。

調査結果

プルーフポイントでは、日経225企業およびFortune1000企業におけるなりすましメール対策の状況について調査を行いました。その結果、日経225企業のDMARC導入率は92%となり、2024年8月調査時点の83%から増加しました。一方で、Reject（拒否）またはQuarantine（隔離）を導入している本格運用率は43%にとどまり、約半数が依然としてNone（監視のみ）で運用していることが分かりました。

※本資料の割合は小数点以下を四捨五入して表示しているため、表示値の合計や内訳の合計が集計値と一致しない場合があります。

Fortune1000企業では、DMARC導入率は98%、本格運用率は83%に達しており、DMARCを導入するだけでなく、なりすましメールを実際に拒否・隔離する運用が進んでいます。

プルーフポイントによるDMARC分析結果は以下の通り：

• 日経225企業のDMARC導入率は92%となり、Fortune1000企業の98%に近づいている。
• Reject（拒否）またはQuarantine（隔離）を導入している本格運用率は、日経225企業が43%にとどまるのに対し、Fortune1000企業は83%に達している。
• DMARCポリシーの内訳は以下の通り：
  • Reject（拒否）：日経225企業 21%　|　Fortune1000企業 61%
  • Quarantine（隔離）：日経225企業 22%　|　Fortune1000企業 22%
  • None（監視のみ）：日経225企業 48%　|　Fortune1000企業 15%
  • DMARC未導入：日経225企業 8%　|　Fortune1000企業 2%

　
業種別DMARC導入状況

プルーフポイントはさらに、日経225企業およびFortune1000企業について、業種別のDMARC導入状況を比較しました。その結果、日本企業では、業種によってDMARCの運用レベルに差があることが分かりました。

日本企業では、「金融業、保険業」や「製造業」でDMARCの本格運用が比較的進んでいる一方、「情報通信業」や「不動産業、物品賃貸業」ではNone（監視のみ）の割合が高く、導入後のポリシー強化が課題として残っています。米国企業では、多くの業種でReject（拒否）およびQuarantine（隔離）が過半数に達しており、業種別に見ても日本より本格運用が進んでいます。

プルーフポイントによる業種別DMARC分析結果は以下の通り：

• 日本では、「金融業、保険業」の本格運用率が60%と最も高く、Reject（拒否）が45%、Quarantine（隔離）が15%。
• 「製造業」では、Reject（拒否）が19%、Quarantine（隔離）が27%で、本格運用率は47%。
• 「情報通信業」ではNone（監視のみ）が60%、「不動産業、物品賃貸業」ではNone（監視のみ）が80%を占め、導入後のポリシー強化が課題。

日米政府機関のDMARC導入状況

日本の官公庁ドメインは、政府広報オンラインの「官公庁サイト一覧」よりドメインが重複しない33件を対象に調査しました。その結果、最も厳格な「Reject（拒否）」は18%にとどまり、「None（監視のみ）」が61%、未導入ドメインも12%確認されました。2023年に改訂された政府統一基準においてDMARCが要件に含まれた後も、本格運用と継続管理の両面で課題が残っていることがうかがえます。

一方、米国の政府系ドメインは、今回の調査対象ではすべてのドメインが最も厳格な「Reject（拒否）」を採用しており、日本の政府系ドメインと比べて運用レベルに大きな差が見られました。

DMARCをめぐる状況と調査結果に対する考察

Googleおよび米Yahooが2024年2月以降、大量メール送信者に対してDMARCを含む送信ドメイン認証への対応を求めたことは、日本でもDMARC導入が加速する契機の一つとなりました。DMARCは、なりすましメール対策だけでなく、メールを確実に届けるための基盤としても重要性を増しています。

また、DMARCの標準仕様も2026年5月に更新され、2015年公開のRFC 7489は、RFC 9989、RFC 9990、RFC 9991によって置き換えられました。DMARC本体、集約レポート、失敗レポートが整理され、メール認証とドメイン保護における基盤としての位置づけがさらに明確になっています。

日本においても、2023年2月に経済産業省、警察庁、総務省がクレジットカード各社にDMARC導入を要請し、同年7月に改定された政府機関等のサイバーセキュリティ対策のための統一基準 （政府統一基準）でもDMARCが要件に含まれました。さらに2026年6月の改定では、DMARCポリシー設定の強化が基本対策事項へ格上げされています。

AI時代のメールインフラでは、アプリケーション、SaaS、AIエージェントから送信される機械生成メールを適切に統制することも重要です。Gartner社のレポートにおいても、DMARC認証を通じて送信元を管理し、未承認・シャドー送信者を排除する重要性が改めて示されています。

こうした変化を背景に、日本企業や政府機関でもDMARCの導入は進んでいます。一方で、DMARCを実効性のある対策とするには、導入にとどまらず、Reject（拒否）またはQuarantine（隔離）による本格運用へ移行することが重要です。

日本プルーフポイント株式会社　サイバーセキュリティ チーフ エバンジェリストの増田 幸美は次のように述べています。「日本においては、政府から対応要請があった金融/保険業においてDMARC導入が進み、Googleのスパムガイドラインに対応するために、B to Cをおこなう企業でのDMARC導入も加速しました。また製造業においては、取引先企業から依頼される形で対応が進んでいます。一方で、セキュリティ施策を推進すべき政府機関における導入が進んでおらず、DMARC対応を主導する部門や責任の所在が不明であるように見受けられます。実際にDMARC対応を進めたお客様の実例では、None(監視)のみのモードではその組織のドメインになりすました詐欺メールが１日あたり1万通近く、世に出回っていましたが、Quarantine(隔離)あるいはReject（拒否）にすると、攻撃者もそのドメインの悪用をあきらめ、詐欺メールが激減することがデータから判明しています。自分の組織をサイバー攻撃から守るためだけではなく、自分の組織につながる取引先企業やお客様、ひいては日本国民に詐欺メールが着弾しないよう、DMARC対策を最終的なReject（拒否）モードに移行することを強く推奨します。またＢＩＭＩを搭載すると、DMARCで認証した正規のメールであることをロゴの表示によって可視化できます。BIMIにより、ブランド力の向上も見込めますので合わせて対応されることをお勧めします。」

DMARCはメールに表示されている送信元アドレス(header-from)のドメインがなりすまされていないか、信頼できるものかどうかを判断することができる唯一の認証技術です。DMARCの「Reject（拒否）」ポリシーを導入することにより、ドメイン詐称の詐欺メールを大幅に削減できます。

さらに、メールの認証規格であるBIMIを導入すると、DMARC認証を通過したメールには受信トレイに企業のロゴマークが表示されます。受信者はロゴを確認することで、「なりすまし」でない正規の送信元から送信されたメールであることを簡単に判断することができます。BIMIの利用はDMARCの導入が前提となっています。つまりDMARC認証を企業側が導入すれば、消費者は簡単にドメイン詐称を見破ることができます。

組織がDMARC認証を始めるには、DNSに「None（監視のみ）」のポリシーでDMARCレコードを追加するだけで済みますが、詐欺メールに対して実行力を持たせるには「Reject（拒否）」レベルまで実装する必要があります。「Reject（拒否）」ポリシーでDMARCを運用することにより、攻撃者にとってもっとも効果の高かったドメインをなりすます詐欺メールの削減につながります。政府機関も同様に、DMARCを導入することにより、ビジネスメール詐欺から自組織を守るだけでなく、取引先企業や顧客を含めたサプライチェーン全体をなりすましメールの脅威から守ることができます。

DMARC認証を実施する方法については、以下をご覧ください。

DMARCスタートガイド:

https://www.proofpoint.com/jp/resources/white-papers/getting-started-with-dmarc

Email Fraud Defense: DMARCを用いたなりすましメール対策/類似ドメインの可視化

https://www.proofpoint.com/jp/products/email-protection/email-fraud-defense

※日本の官公庁ドメインは、政府広報オンラインの「官公庁サイト一覧」よりドメインが重複しない33件が対象。

※米国の政府系ドメインは、U.S. Government Departments and Agenciesのドメインが重複しない34件が対象。

 

Proofpoint | プルーフポイントについて

プルーフポイントは、人とAIエージェントのサイバーセキュリティ分野におけるグローバルリーダーです。メール、クラウド、コラボレーションツールを通じて人・データ・AIエージェント間の連携を保護します。プルーフポイントは、フォーチュン100企業のうち80社以上、14,000社を超える大企業、そして数百万の中小企業に信頼されるパートナーとして、サイバー脅威の阻止、情報漏えい対策（DLP）、人とAIが協働するワークフロー全体のレジリエンス構築を支援しています。プルーフポイントのコラボレーションおよびデータセキュリティプラットフォームは、あらゆる規模の組織が従業員を保護し能力を高めながら、安全かつ信頼性の高いAI導入を実現します。詳細は www.proofpoint.com/jp にてご確認ください。