[調査・レポート]

2023年11月6日(月)日川 佳三（IT Leaders編集部）

リスト

　メールセキュリティベンダーのTwoFiveは、なりすましメール対策に用いる送信ドメイン認証技術「DMARC（Domain-based Message Authentication, Reporting & Conformance、ディーマーク）」の導入状況を調査した。

　DMARCは、SPF/DKIMの2つの認証技術の結果を基に、認証に失敗したメールのアクセスを制御し、認証結果をメール送信者と共有するという仕組み（関連記事：TwoFive、なりすましメール可視化サービス「DMARC/25」を強化、メールを送信した企業に通報可能に）。TwoFiveは、DNSレコードから、(1)DMARCを導入しているか、(2)DMARCのポリシー設定状況（none：何もしないで受け取る、quarantine：隔離、reject：拒否）の2項目について調査した。

　今回の調査（2023年10月、11月実施）では、日経225企業のうち153社（68.0％）が、メール送信者側として少なくとも1つのドメインでDMARCを導入していた。前回調査（2023年1～5月実施）の140社（62.2％）から、半年で5.8ポイントの増加となった（関連記事：日経225企業のDMARC導入率は62.2%で、1年で12.4ポイント増加─TwoFive調査）。

　また、前年同時期（2022年8～11月実施）の124社（55.1％）と比べると、1年で12.9ポイントの増加である（関連記事：日経225企業の55.1%がなりすましメール対策に「DMARC」を導入─TwoFive調査）。

日経225企業の153社・68％がDMARCを導入

　日経225企業のうち153社（68.0%）が、少なくとも1つのドメインでDMARCを導入していた。調査を開始した2022年2月から見ると32.9ポイント、1年前の2023年11月と比べると12.9ポイント増えている（図1）。

図1：日経225企業におけるDMARCの導入状況（n=225）（出典：TwoFive）
拡大画像表示

　153社が運用するDMARC導入済み1516ドメインのうち、強制力のあるポリシー（quarantine、reject）を設定しているケースは全体の24.4%。none設定によるモニタリング段階が大半で、1年前（30.6%）から変わっていない（図2）。

図2：日経225企業におけるDMARC導入ドメインのポリシー設定状況（出典：TwoFive）
拡大画像表示

　一方、DMARC集約レポートを受け取る設定にしてモニタリングを実施しているドメインの割合は94.4%と高い（1年前は66.0%）。「意図しないメール送信を見つけるための可視化について意識が高まっている」（TwoFive）という（図3）。

図3：日経225企業におけるDMARC集約レポートのモニタリング状況（出典：TwoFive）
拡大画像表示

　一方、DMARC失敗レポートをモニタリングしているドメインの割合は、25.8%にとどまった（図4）。TwoFiveは、DMARC集約レポートと比べてDMARC失敗レポートの流通量が極端に少ないため、効果的な活用につながっていない実情がうかがえると指摘している。

図4：日経225企業におけるDMARC失敗レポートのモニタリング状況（出典：TwoFive）
拡大画像表示

●Next：業界別のDMARC導入率