世界の銀行トップ100のDMARCステータス
前回、世界のトップ100銀行におけるDMARCの導入状況について調査した時点では、GoogleやYahoo!はまだ業界の構造を変えるような送信者要件を発表しておらず、新型コロナウイルスの影響で各組織はリモートワークへの移行を余儀なくされ、メール通信への依存度が高まっていました。また、AIの統合が進み、その勢いを増していた時期でもありました。こうした状況が進行する中、DMARC導入を求める規制当局からの圧力はますます強まっていました。
2021年から2025年にかけて、収益規模に基づく世界トップ100の銀行におけるDMARCの導入状況には、次のような傾向が見られました。
- DMARCレコードがないドメインが74％減少
- 52%の減少 p=none DMARCポリシー
- 17％の減少 p=quarantine p=隔離
- 50%の増加 p=reject 方針
これらの数値は、当社が調査した業界において最も厳格なDMARC適用レベルを示しています。DMARCレコードを持たないドメインが74%減少したことは、これらの銀行のほとんどが、電子メールセキュリティの基盤としてDMARCを採用していることを示しています。また、監視のみの段階にとどまるドメインも減少し、その数は52%減少しました。 p=none ポリシーが52％減少し、 p=quarantine の割合が低下していることは、銀行がポリシーの適用を強化していることを示唆している。
50%の増加が見られ、私たちは大変嬉しく思いました p=reject ポリシーが50％増加したことを大変嬉しく思っています。これはDMARC導入の究極の目標です。より多くの銀行が、不正なメールをブロックするDMARCの機能を活用し、最高水準でフィッシングやドメインスプーフィングを防止することに取り組んでいます。
DMARCが、貴社のPCI DSS要件への準拠にどのように役立つかをご覧ください。
SPFレコードのエラー
また、上位100の銀行ドメインのうち10％でSPFレコードの不備、具体的にはSPFレコードが設定されていないことが確認されました。他の業界と比べると割合は低いものの、SPFレコードの問題は配信率に悪影響を及ぼし、認証の不備を招き、報告上の問題を引き起こす可能性があります。
DMARCのメリット
銀行は、以下の課題に対処するため、ドメインベースの制御手段としてDMARCおよびその基盤技術であるSPFやDKIMを活用しています：
- メール詐欺– DMARCの本来の用途。DMARCは、ドメインがどのように使用されているかを可視化し、不正な送信者が組織を装ってメールを送信することを防ぎます。
- 電子メールの信頼性– 組織にとって、電子メールの信頼性は不可欠です。DMARCは、電子メールの確実な配信を支える基盤であり、配信に関する問題を解決するための第一歩としてよく採用されています。
- コンプライアンス– 産業界、政府、および規制当局は、DMARCの導入をますます求めています。また、多くのサイバーセキュリティ保険会社にとっても、これは必須要件になりつつあります。
こうした対策は、これまで以上に重要となっています。アンチフィッシング・ワーキング・グループ（APWG）が発表した最新の「フィッシング活動動向レポート」によると、オンライン決済および銀行業界に対する攻撃は、全攻撃の30.9％を占めました。2025年第1四半期、APWGは1,003,924件のフィッシング攻撃を確認しており、これは2023年後半以来の最多件数となっています。
ペイメントカード業界向けDMARCガイダンス
サイバーセキュリティ基準の強化にあたり、ペイメント・カード・インダストリー（PCI）は、PCI DSS v. 4.0.1のセクション5.4.1において、電子メールの認証を推奨しています。同団体は、フィッシング、なりすまし、およびスプーフィング攻撃に対抗するため、DMARC、SPF、DKIMなどのなりすまし防止対策を組み合わせたアプローチを採用するよう組織に求めています。 これらのフィッシング対策は、2025年3月31日まではベストプラクティスとして推奨されますが、それ以降はPCI DSS評価において十分に考慮することが必須となります。さらに、DSSでは「フィッシング対策は組織全体に適用されるべきである」と推奨しています。
他の業界におけるDMARC導入に関する調査レポートをご覧ください。
dmarcianが提供できるサポート
dmarcianは、メールセキュリティの専門家チームを擁し、ドメインセキュリティを通じてメールとインターネットの信頼性を高めることを使命として、お客様のドメインカタログの評価、DMARCの導入、そして長期的なドメインセキュリティの管理を支援いたします。「DMARC for All」という理念と専門知識を活かし、お客様をサポートいたします。
- 専門的なガイダンスにより、「監視（none）」から「強制適用（quarantine / reject）」への安全な移行を推進します。
- SPF、DKIM、DMARCの仕組みと、それらがなぜ不可欠なのかを分かりやすく解説します。
- これらのプロトコルを正しく構成し、メールがスムーズに届く環境（到達率の確保）を整えます。
- 認証レポートを継続的に監視し、問題を迅速に特定して解決します。
さらに詳しく議論を続けたい方は、ぜひ dmarcian Forum へお越しください。
