金融機関のDMARC導入で確認すること

DMARCは、From欄のドメインの使用が認証されているかを確認する仕組みです。メールの内容や送信者の意図を保証するものではなく、類似ドメインや正規アカウントの乗っ取りにも別の対策が必要です。顧客アカウントの保護、攻撃の検知、通報と対応の手順を組み合わせます。

金融庁は2026年4月の広報で、フィッシング耐性のある多要素認証などの対策を案内しています。DMARCだけでこうした対策全体を満たすわけではありません。自社に適用される監督指針、業界基準、内部規程を確認し、製品がどの要件を支援するかを整理します。

取引通知、明細、パスワード再設定、外部委託先などを棚卸しし、送信元ごとの管理者を決めます。SPFまたはDKIMのアライメントに加え、子会社の運用、転送、障害時の復旧も確認します。正規メールの遅延や受信拒否も、顧客対応に影響するリスクとして評価します。

対象範囲、代表的なメールの検証結果、設定変更の承認、日本語サポートとエスカレーションの窓口を整理します。認証レポートに含まれる情報と、個人情報の保管先も確認してください。製品の認証取得だけを理由に、自社の法令対応まで完了すると判断することはできません。

完了しません。DMARCが支援するのはメールのドメイン認証です。適用される指針、運用管理、個人情報の取り扱い、他の不正対策も含めて評価します。

顧客向けメール、子会社や委託先の送信、認証の整合性、配信への影響、設定変更の承認、障害時の連絡先を確認します。合格基準は自社の業務に合わせて決めます。