信用金庫255行のうち117行（45.9％）は、公式サイトを業界共通ドメイン（shinkin.co.jp）配下で運用しながら、メール送信には各金庫独自のドメインを使っていました。

利用者側から見ると、ウェブサイトのドメインとメールのドメインが一致しません。つまり「ドメイン名を見てメールが本物かどうか判断する」という、よく推奨される自衛策がそもそも難しい構造になっています。

こうした環境で、利用者の目視による判断に期待するのは限界があります。送信側でDMARCを強制ポリシーで運用し、BIMIでロゴを出して見分けられるようにする——という見分けやすい仕組みが特に重要になる、というのがGMOブランドセキュリティの見解です。

同社が金融機関に向けて挙げた対策は次の3点です。

1. SPF・DMARCの整備と強制ポリシーへの移行：未設定なら早期に設定し、noneで運用中ならquarantineまたはrejectへ段階的に移す
2. BIMI/VMC（企業ロゴ所有証明書）の導入：正規の送信元であることを視覚的に伝える
3. 利用者への啓発：メール内リンクではなく、公式アプリや自分でブックマークした正規サイトからアクセスするよう促す。特にフィッシングが増える大型連休前などの時期に注意喚起を強める

GMOブランドセキュリティは、メールセキュリティがもはや情報システム部門だけの課題ではなく、ブランド価値と顧客の信頼を守る経営レベルのテーマだと位置づけています。ドメインを詐称されれば、被害は預金者の金銭にとどまらず、金融機関そのものの信頼に及ぶ——という論旨です。

送信側の設定は利用者にはどうにもなりませんが、自衛策はあります。

「銀行からのメールに書かれたリンクは踏まない。用事があるなら公式アプリか、自分でブックマークした正規サイトから入る」

今回の調査が示したのは、利用者にとって「メールの見た目で本物を見分ける」ことそのものが、多くの日本の金融機関で技術的に難しいという事実です。一見メールのドメインが正しく見えても、そのドメインを第三者が名乗れる状態なのかもしれません。長い休暇の間に、受信箱を眺めるときの前提として覚えておいて損はないでしょう。


調査概要
・調査期間：2026年7月22日
・調査主体：GMOブランドセキュリティ株式会社
・調査対象：全国386行（都市銀行4・信託銀行13・地方銀行61・第二地方銀行34・その他の銀行19・信用金庫255〈信金中央金庫を含む〉）が保有する公式ドメイン
・調査方法：公式サイトのURLからドメインを抽出（信用金庫は公式サイトが業界共通ドメイン配下の場合はメール送信用ドメインを対象）し、パブリックDNSでDNS TXTレコード（SPF・DMARC・BIMI）を調査・集計
・判定基準：実効的な対策は DMARC 「p=reject」 または 「p=quarantine」 とした