なりすましメールを遮断できる金融機関は約4分の1──銀行・信金386行ドメイン実態レポート

2026.8.27

お盆やシルバーウィークといった長期休暇シーズンは、銀行を名乗る偽メールが増えるといわれます。「口座が凍結されました」「本人確認をお願いします」——そんな件名のメールを、お休み中に一度は見かけた方も多いのではないでしょうか。

では、その偽メールを「そもそも受信箱に届かせない」対策は、日本の金融機関でどれくらい進んでいるのでしょうか。GMOインターネットグループのGMOブランドセキュリティが、全国の銀行・信用金庫386行のドメインを調べた結果を8月7日に公表しました。

結論からいえば、「準備はしているのに、スイッチを入れていない」金融機関が非常に多いという結果になりました。

メールのなりすまし対策には3段階ある

この調査には、なりすまし対策に関する技術用語が3つ出てきますので、先に整理しておきます。この3つは順に積み上がる関係にあります。

重要なのは2段目のDMARCで、ここには3つのモードがあります。

・p=none（監視のみ）……偽メールもそのまま通し、レポートだけを受け取る設定です
・p=quarantine（隔離）……迷惑メールフォルダに移動します
・p=reject（拒否）……受信側に拒否を求める設定です

つまり、DMARCを「設定しているかどうか」と「偽メールを止められているかどうか」は、必ずしもイコールではありません。ここが今回の調査の焦点です。

数字1：偽メールを実際に止められるのは386行中103行（26.7％）

調査対象386行の内訳は、銀行131行（都市銀行4・信託13・地方61・第二地方34・その他19）と信用金庫255行です。

・SPF設定済み：309行（80.1％）
・DMARC設定済み：233行（60.4％）
・DMARCを強制ポリシー（quarantineまたはreject）で運用：103行（26.7％）

8割（または6割）といった導入率だけを見れば、悪くない数字に思えます。しかし実際に有効な設定になっているのは4行に1行強にとどまります。GMOブランドセキュリティの発表では「対策『導入』と『実効性』の間に乖離（かいり）」と表現しており、要するに「鍵は付けたけれど、かけていない」状態といってよいでしょう。

数字2：DMARC設定済みでも、「監視のみ」が過半数

DMARC設定済みの233行について、設定の内訳は以下の通りです。

・p=none（監視のみ）：130行（55.8％）
・p=reject（拒否）：66行（28.3％）
・p=quarantine（隔離）：37行（15.9％）

DMARCの運用は、noneで様子を見てから段階的に厳しくしていくのが通常ですが、その「様子見」から先を進めていない金融機関が半分以上を占めました。

数字3：SPFも「ゆるい設定」が8割超

SPFの設定にも強弱があります。具体的には、認証失敗時に受信拒否を求める「-all」（ハードフェイル）と、失敗しても受け入れる余地を残す「~all」（ソフトフェイル）などです。

SPF設定済み309行のうち、ハードフェイルとソフトフェイルの内訳は以下の通りでした。

・-all（ハードフェイル）：49行（15.9％）
・~all（ソフトフェイル）：256行（82.8％）

さらに、SPFを設定している309行のうち78行（25.2％）はDMARCが未設定でした。SPFは偽装を「検出」する仕組みであり、検出結果の扱いを指示するDMARCがなければ遮断には至らないケースが多いのです。「警報器はあるけれど、鳴ったあとに誰も動かない」設定といったところでしょうか。

数字4：75行（19.4％）はSPF・DMARCの両方が未設定

調査対象386行のうち、SPF、DMARC未設定の金融機関の内訳は次の通りです。

・SPF未設定：77行（19.9％）
・DMARC未設定：153行（39.6％）
・両方とも未設定：75行（19.4％）

この75行は、第三者が自行のドメインを名乗る偽メールを比較的容易に送れる状態にあります。

なお、DMARCはSPFとDKIM（電子署名による認証）のどちらかの認証が成立していれば判定可能な仕組みです。「SPFなし・DKIMのみ」で運用しているケースもあり、今回の調査でもSPF未設定でDMARCが確認できた金融機関が2行（0.5％）ありました。そのことを踏まえてもなお、SPFとDMARKの両方の設定が確認できない75行については、注意が必要ということになります。

数字5：都市銀・地銀・信金……業態により対策の進み方に違い

DMARC強制ポリシー（quarantineまたはreject）の適用率を業態別に見ると、その差は明らかです。

BIMI（ロゴ表示）の導入も51行（13.2％）にとどまりました。都市銀行4行すべてが導入済み、ネット銀行を含む「その他の銀行」も12行（63.2％）が導入している一方で、信用金庫は7行（2.7％）、信託銀行は0行でした。

ちなみにBIMIを公開している51行のうち50行（98.0％）はDMARC強制ポリシーを併用しており、ロゴが実際に表示され得る状態にありました。残る1行はDMARC設定が確認できず、BIMIが機能する前提条件を満たしていません。BIMIは「それだけを設定すれば出る」という技術ではありません。BIMIの導入を検討するなら、まずDMARCの運用状況を確認する必要があるのです。

サイトとメールのドメインが一致しない金融機関も……私たちが取れる対策は？