日本の金融機関のためのDMARC：なりすまし被害の最前線と、強制運用が求められる理由

日本では、確立された金融ブランドに対する企業・消費者の信頼が高く、形式的で階層を重んじるコミュニケーション文化のもとでは、銀行やカード会社を装った偽装メールが極めて説得力を持ってしまいます。銀行・カードブランド・決済事業者になりすますフィッシングは、詐欺の主要な手口となっており、警察庁は2025年の不正口座振込被害が過去最多の104億円に達したと報告しております。攻撃者が自社ドメインを装って送信してくる場合、顧客にはそれを見分ける確かな手段がございません。DMARCの強制運用は、認証されていないメールを受信トレイに届く前に遮断することで、この曖昧さを取り除きます。

経済産業省（METI）は、クレジット取引セキュリティ対策協議会および日本クレジット協会を通じて、決済セキュリティの枠組みの一環としてクレジットカード会社にDMARCの導入を求めており、その要請は銀行をはじめとする他の金融機関へも広がりつつございます。さらに警察庁は、なりすましを実際に遮断できる強制レベルであるp=rejectを明確に推奨しております。加えて、主要なメールプロバイダーも一括送信者に認証を求めております。p=noneのまま運用している金融ブランドは、これらのいずれの期待にも応えられておりません。

銀行や決済事業者は、明細書、取引通知、マーケティング、カードサービス、外部の決済代行、委託先のコンタクトセンターなど、実に多くのシステムからメールを送信しております。これらはすべて、ドメインを強制運用へ移行する前に認証を通過させるべき正規の送信元であり、これほど大規模な構成では、SPFの10ルックアップ制限にも早々に到達してしまいます。この複雑さこそが、多くの金融機関が監視モードで足踏みする理由です。そして同時に、強制運用が最も重要となる理由でもございます。大きく信頼されている送信基盤は、そのまま大きく信頼された標的でもあるからです。

ドメインがp=rejectに到達すると、BIMIの利用が可能となります。BIMIは、対応する受信トレイにおいて、認証されたメールの横に企業の検証済みロゴを表示する仕組みです。金融ブランドにとって、このロゴは顧客が意識して確認できる直接的で目に見える信頼の手がかりとなり、偽装メールにそれが表示されないことが、そのまま警告として機能いたします。BIMIは強制運用の上に成り立つものであり、プロトコルレベルの対策を、顧客が実際に目にできる形へと変えるものです。

信頼に足るプログラムは、組織内のすべての送信システムを棚卸しし、それぞれをSPFまたはDKIMのアライメントを保って認証させ、構成の変化に応じてSPFのルックアップ制限を自動的に管理し、集約レポートを継続的に監視した上で、段階的にp=rejectへ引き上げてまいります。送信構成の複雑さと被害の大きさを踏まえ、強制運用に到達し維持している日本の金融機関の多くは、自動化プラットフォームを採用しております。手動のプロジェクトでは、この規模と変化を支えきれないことが多いからです。目指すのは、機関のシステムが進化してもそのまま保たれ続ける強制運用です。

一律の義務が定められているわけではございませんが、方向性は明確でございます。METIはクレジットカード会社にDMARCの導入を求めており、その要請は銀行へと広がりつつあります。さらに警察庁はp=rejectを公に推奨しております。メールプロバイダーの要件とあわせて、金融ブランドにとってDMARCの強制運用は、いまや当然の水準となっております。

深刻でございます。警察庁の報告によれば、不正な口座振込による被害額は2025年に過去最多の104億円に達し、その大半をフィッシングが占めております。金融ブランドは国内で最もなりすましの標的とされる存在であり、だからこそこの分野で強制運用が最も重要となります。

明細書、取引通知、カードサービス、マーケティング、外部の決済代行など、多くのシステムからメールを送信しているためでございます。これらはすべて強制運用の前に認証を通過させるべき正規の送信元であり、大規模な構成ではSPFの10ルックアップ制限にも早々に到達いたします。この複雑さゆえに、多くの金融ドメインが監視モードで足踏みしております。

BIMIは、対応する受信トレイにおいて、認証されたメールの横に企業の検証済みロゴを表示する仕組みで、ドメインがp=rejectに到達すると利用可能となります。金融ブランドにとって、このロゴは顧客が意識して確認できる目に見える信頼の手がかりとなり、偽装メールにそれが表示されないことが警告として機能いたします。

送信システムの多さ、SPFのルックアップ制限、そして被害の大きさを踏まえれば、p=rejectに到達し維持している日本の金融機関の多くがこれを利用しております。自動化プラットフォームは、システムが変化しても認証を維持し続けます。大規模な構成において、手動のプロジェクトではこれを支えきれないことが多いのでございます。