GMOブランドセキュリティが全国386の銀行・信用金庫の送信ドメイン認証を調査した結果、なりすましメールを実際に遮断できるDMARCの強制ポリシーを適用しているのは26.7%に留まった。SPFやDMARCの「導入」は進む一方、被害を防ぐための「実効的運用」には至っていない実態が明らかになり、特に信用金庫など地域金融機関での対応遅れが際立つ。

メール認証の「三段階」で明暗 都市銀行と信用金庫の格差

調査は、なりすましメール対策の基本的な積み上げ構造である「SPF → DMARC → BIMI」の各段階における導入と運用状況を評価した。SPF設定率は全体で80.1%、DMARC設定率は60.4%と、一見すると対策は広がっている。しかし、不正メールを実際に隔離・拒否するDMARCの強制ポリシー（p=quarantine/reject）の適用率を見ると、全体では26.7%にまで低下する。さらに、この数値には深刻な業態間格差が存在する。都市銀行では4行すべて（100%）が強制ポリシーを適用済みだが、第二地方銀行では29.4%、信用金庫に至ってはわずか11.8%の30行に留まる。メールセキュリティの実効性が、組織の規模やリソースに依存している構造が浮き彫りとなった。

導入の「形式」と「実効性」を分断する監視モードの壁

DMARCを設定済みの233行のうち、実に過半数の130行が「p=none」、すなわち認証結果を監視するのみで一切の遮断を行わない設定で運用を停滞させている。これは、DMARCという仕組みを導入しながらも、なりすましメールの被害を防ぐという本来の目的を達成できていない状態を意味する。メール送信のたびに受信者側で認証が行われていても、その失敗時の処理を「何もしない」と指示しているため、詐称メールはそのまま受信トレイに届く。原因として、正規のメール配信経路すべてを把握しきれない組織が、誤遮断のリスクを恐れて強制ポリシーへの移行を躊躇する実情が推察される。対策の形骸化を防ぐには、単なる設定だけでなく、業務プロセスや配信システムの棚卸しを伴う経営的アプローチが必要となる。

BIMIが示す「見える信頼」の格差とドメイン不一致問題

正規メールに企業ロゴを表示するBIMIの導入率は全体で13.2%だが、都市銀行の100%に対し、信用金庫は2.7%と、ここでも格差が最大となる。BIMIはDMARCの強制ポリシーが機能していることを前提とするため、BIMI導入率はそのまま「最も高度な対策が機能している組織」の割合を示す指標となる。さらに調査は、信用金庫255行のうち117行が、公式ウェブサイトに業界共通ドメイン（shinkin.co.jp）を使用しながら、メールには独自ドメインを用いるという非対称な構造を指摘する。この不一致は、一般利用者がメールの送信元を視覚的に判別する手がかりを失わせる。こうした環境下では、BIMIによるロゴ表示は、信頼のシグナルを提供する事実上唯一の手段となり得る。

19.4%が放置する「高リスク状態」とSPF設定の限界

調査対象の75行（19.4%）は、SPFとDMARCのいずれも未設定であり、第三者がそのドメインを詐称したメールを容易に送信できる高リスク状態にあった。また、SPFを設定している309行のうち、認証失敗時にメールを拒否する「-all（ハードフェイル）」を宣言しているのはわずか15.9%で、残る82.8%は「~all（ソフトフェイル）」とし、受信側の判断に委ねる余地を残している。これらの数字は、技術的な設定の有無だけではセキュリティ強度は測れず、その設定が意図する動作を実際に強制するための「ポリシー宣言」の重要性を示している。対策を難しくしているのは技術の複雑さではなく、自組織の正規メール通信を完全に定義しきるという運用管理上の課題である。