オーストラリアのトップ100企業におけるDMARCの導入状況――再検証
2022年、オーストラリアのデータセンターおよび事業部門を立ち上げた後、当社は売上高と主要ドメインに基づいて選定したオーストラリアのトップ100社におけるDMARCの導入率を調査しました。それから2年が経過した今、これらの企業がDMARCポリシーをどのように進展させたかを確認するとともに、新たに作成されたオーストラリアのトップ100社リストについても分析を行っています。
オーストラリアのトップ100企業――DMARC導入の過去と現在
以下は、2022年5月から2024年8月までの期間における、オーストラリアの上位100社のDMARC導入率およびポリシー適用率の推移（増減率）の比較です：
- 104%の増加 p=reject 方針
- DMARCレコードを持たない企業の数が90％減少した
- 32%の減少 p=none 保険契約
- 23%の増加 p=quarantine 政策
オーストラリア、素晴らしい！これらの企業は、DMARCの導入とポリシーレベルの引き上げにおいて大きな進展を遂げており、特に p=reject—ドメインの悪用を防ぐためのDMARC適用における最高レベル—が100％以上増加したことは特筆すべき点です。
もう1つ特筆すべき大きな変化は、DMARCレコードを持たない企業の数が90%減少したことで、現在では98%の企業がレコードを保有していることです。2024年2月に施行されたGoogleとYahoo!の新しい送信者要件が、組織によるDMARCレコードの設定を後押ししたことは間違いありません。2025年5月には、Microsoftもこれに追随しました。
オーストラリア・サイバーセキュリティセンター（ASD）はかねてよりDMARCの推進役を務めており、組織が自社のドメインが犯罪者による詐欺メールの送信に悪用されるのを防ぐ手助けとなるよう、「偽メールへの対処法」をはじめとするいくつかのDMARCに関するガイダンスを作成してきました。さらに、ASDはサイバーセキュリティ戦略の一環として連邦政府機関に対しDMARCの導入を義務付けており、その結果、政府部門におけるDMARCの導入が進んでいます。
私たちは、DMARCを必須としている組織や、DMARCに関するガイダンスを提供している組織をリストアップしています。
オーストラリアの新たなトップ100企業
オーストラリアのトップ100リストを公開してからしばらく経つため、売上高とプライマリドメインを基準に、改めて新しいリストを作成しました。
私たちが発見したことは以下の通りです：
- 48%が、 p=reject ポリシーを持つDMARCレコードを持っていた
- 32%が、 p=none ポリシーを持つDMARCレコードを持っていた
- 16%には、 p=quarantine ポリシー
- 4%にはDMARCレコードがなかった
全体として、これらの企業の96%がDMARCレコードを設定していたが、全体の32%は p=none というDMARCポリシーを採用していました。DMARCプロジェクトで最初に適用される典型的なポリシーである p=none は、GoogleやYahooなどのメール受信側によるメールの処理に影響を与えることなく、自社のドメインがどのように使用されているかを確認するための「目印をつける」手段です。 p=none ポリシーは保護機能を提供しませんが、p=quarantineやp=reject といった、より制限の厳しい他の DMARC ポリシーと同様の可視性を提供します。
人々と話していると気づく点として、ドメインカタログ全体でDMARCを導入していないという状況があります。
dmarcianのアジア太平洋地域事業部門ディレクター、アナスタシオス・カルフォグルー
2024年のオーストラリア企業トップ100社のうち、ほぼ半数が p=reject ポリシーを採用し、ドメインスプーフィングによる潜在的な損害や損失から、顧客、従業員、取引先、およびブランドの信頼性を保護していました。16％の企業は、 p=quarantineという適用ポリシーを採用しており、DMARC検証に失敗したメールをスパムフォルダに振り分けるよう設定していました。
「2024年、DMARCはベストプラクティスから、多くの人々にとっての必須要件へと進化しました。他の主要なメールプロバイダーからも発表が予想されることから、この傾向は今後もさらに進むでしょう。 「オーストラリアで私が話す多くの人々にとって、DMARCは依然として非常に新しい概念であると感じています。幸いなことに、dmarcianの読みやすいナレッジベースの記事や、DMARCアカデミーのような取り組みが、オーストラリアの人々がDMARCについて理解を深めるのに役立っています」と、dmarcianのアジア太平洋地域事業部門ディレクター、アナスタシオス・カルフォグルー氏は述べています。
「DMARCが提供する可視性はそれ自体で際立っていますが、その真価はセキュリティ対策としての有効性にあります」とアナスタシオスは続ける。「とはいえ、2022年に調査対象となった企業のほぼ半数は、依然としてこの対策を導入できていません」 p=reject レベルで導入できていません。実務担当者と話していると、ドメインカタログ全体にDMARCを展開できていないというギャップが見受けられます。これは、オーストラリアのトップ100企業を対象に実施した調査でも明らかになっています。たとえメール送信にセカンダリドメインを使用していなくても、DMARCがなければ、攻撃者が貴社のブランドを悪用し、貴社名義で悪意のあるメールを送信することを防ぐことはできません。」
私たちがサポートします
メールセキュリティのエキスパート集団であるdmarcianは、「ドメインセキュリティを通じて、メールとインターネットをより信頼できるものにする」というミッションを掲げ、お客様の組織のドメイン状況を評価し、長期にわたってDMARCの実装と管理をサポートいたします。
この会話を続けたいですか？dmarcianフォーラムへどうぞ
