ニュース & プレスリリース
NEWS & PRESS
プレスリリース
TwoFive、なりすましメール対策実態調査の最新結果を発表
⽇経225のDMARC導⼊率は62.2%で、1年間で12.4%増加
⼤学のDMARC 導⼊率は、全体の9.4%のみ
BIMI対応は3,724ドメイン / 252ドメインで設定不備を確認
メッセージングセキュリティのリーディングカンパニーである株式会社TwoFive（本社：東京都中央区、代表取締役 末政 延浩）は、なりすましメール対策実態調査の最新結果を発表しました。
今回は、送信ドメイン認証技術DMARC導⼊実態について、⽇経225企業が管理・運⽤する5,261ドメインに加えて、教育機関として⼤学（国⽴、公⽴、私⽴、短⼤合わせて1,114校が管理・運⽤する4,060ドメイン）を対象として調査しました。
また、なりすましメール対策の最新技術規格であるBIMIに対応したメールドメインの推移やその傾向について調査しました。
⽇経225企業は、2023年5⽉時点で、140 社（62.2%）が少なくとも1つのドメインでDMARCを導⼊し、昨年同⽉と⽐較すると1年間で12.4%増加しており、なりすましメール対策への意識が⾼まっています。⼀⽅、⼤学は、全体ではDMARC導⼊率が9.4%にとどまっています。
DMARCに対応したドメインでは、なりすましメールとして処理される確率が⾼くなることから、攻撃者はDMARC未対応のドメインを選ぶことになり、DMARC導⼊はなりすまされるリスクを軽減する抑⽌⼒にもなります。⼤学などの教育機関も、今後のなりすましメール対策への理解の向上と対応が期待されます。
BIMI（Brand Indicators for Message Identification）は、bimigroup.orgによって策定された新しい技術規格であり、なりすましメール対策であるDMARCを使って、メールの送信者情報の⼀部として認証済みのロゴを表⽰することで、受信者は正規のメールを⾒分けやすくなります。
2023年4⽉時点では、3,724ドメインがいち早くDNS上にBIMIレコードを設定しており、BIMIへの注⽬が⾼まりつつあります。しかしながら、ロゴの認証マーク証明書（VMC：Verified Mark Certificates）を設定している865ドメインの29.1%にあたる252ドメインに、何らかの設定不備が⾒られることも確認されています。
TwoFiveは、DMARCおよびBIMIの導⼊技術⽀援を提供していますが、今後も、DMARC およびBIMI導⼊を促進する啓発活動や効果的に運⽤するためのサポートに尽⼒して参ります。
調査結果の全体を以下でご覧いただけます。
https://www.twofive25.com/download/#whitepaper
調査結果のサマリーは以下の通りです。
⽇経225企業のDMARC導⼊実態について
⽇経225企業は、全225社の内140社（62.2%）が少なくとも⼀つのドメインでDMARCを導⼊しており、調査を開始した2022年2⽉から⾒ると27.1%、昨年同⽉と⽐較すると1年間で12.4%増加しています（図1）。
この140社が運⽤するDMARC 導⼊済み971ドメインの内、強制⼒のあるポリシー（quarantine、reject）に設定しているのは、現時点で全体の31.7%であり、none設定によるモニタリング段階が⼤半で、１年前（33.5%）から全体⽐率は増えていません（図2）。
DMARCレポートは、社員による想定しないメール送信、意図しない経路でのメール送信などが発⾒でき、メールの使われ⽅を可視化できます。従って、none設定であっても、可視化する意識が⾼まっていることは歓迎するべき状況ではありますが、今後、強制⼒のあるポリシーに変更して、なりすましメールを制御する段階にステップアップしていくことが期待されます。
⼤学のDMARC導⼊実態について
調査対象は、1,114⼤学 / 4,060ドメインで、内訳は、国⽴⼤学：86校 / 1,691ドメイン、公⽴⼤学：99校/ 321ドメイン、私⽴⼤学：625校 / 1,393ドメイン、短期⼤学：304校 / 655ドメインです。結果は、全体では、DMARC導⼊率が9.4%にとどまり、⽇経225企業の結果と⽐較すると⾮常に低く、なりすましメール対策が進んでいないと考えられます（図3）。
また、DMARC 導⼊ドメインのうち、86.6%はポリシーがnone であり（図4）、⽇経225企業と同様に、強制⼒のあるポリシー（quarantine、reject）への切り替えも今後の課題です。
BIMIに対応メールドメインの調査
BIMIは、DMARCやVMC を利⽤して、正規の送信者が所有するブランドロゴを、メールアプリケーションの受信箱に表⽰する機能で、送信者は受信者に対してメールの真正性を証明でき、受信者は安⼼してメールを開封できるようになると期待されます。
Google、Appleなどが提供する主要メールサービスはBIMI対応を開始しており、今回の調査では2023年4⽉現在、3,724ドメインがいち早くDNS上にBIMIレコードを設定していましたが、ロゴの所有証明のために必要となるVMCを設定しているのは865ドメイン（設定率：23.2%）でした（図5）。BIMIに対応している主要メールサービスはVMCを必須条件としていることから、今後この設定率は⾼まるものと期待されます。
⼀⽅、VMCを設定している865ドメイン中252ドメイン（29.1%）には、何らかの設定不備が確認されました。設定不備で最も多いのがVMCに指定されたドメイン名とBIMIレコードのドメイン名が⼀致しないケース（122ドメイン）。それ以外では、VMCの有効期限が過ぎたケース（58ドメイン）と、画像情報の不⼀致（33ドメイン）が確認されました（図6）。
今回発表するなりすましメール対策実態調査について
調査結果の全体を以下でご覧いただけます。
https://www.twofive25.com/download/#whitepaper
| 調査時期 | 2023年1⽉〜5⽉ |
|---|---|
| 調査対象 | ⽇経225企業が管理・運⽤する5,261ドメイン 教育機関が管理運⽤するドメイン（1,114⼤学、4,060ドメイン） TwoFiveが利⽤・流通を確認したBIMI対応メールドメイン 3,724ドメイン |
| 調査⽅法 | 調査対象ドメインおよびサブドメインのDNSレコードを調査 |
| 主な調査結果 |
各企業のドメインごとに以下の状況を把握しています。
|
※TwoFiveは、DMARC導⼊などのなりすましメール対策実態について継続的に調査しています。
過去の調査結果を以下でご覧いただけます。
https://www.twofive25.com/news/20220519_dmarc_report.html
https://www.twofive25.com/news/20221110_dmarc_report.html
DMARCの仕組み、TwoFiveが提供するクラウド型DMARC分析サービス「DMARC/25 Analyze」の詳細は以下をご参照ください。
BIMIの仕組み、TwoFive が提供するBIMI技術サービスの詳細は以下をご参照ください。
https://www.twofive25.com/service/bimi.html
株式会社TwoFive 社について
株式会社TwoFive は、⼤⼿ISP、ASP、携帯事業者、⼤⼿企業の⼤規模電⼦メールシステムインフラの構築・サポートで⻑年経験を蓄積した技術者集団により、メールシステムの構築、メールセキュリティ、スレッドインテリジェンスを事業の柱として2014年に設⽴。国内外の優れた製品/ソリューションに技術サービスを組み合わせて提供してきました。
現在は、所属する業界団体や関連サービスの提供ベンダーと協業し、メールシステムだけでなく、多様なメッセージング分野の新しい課題に取り組んでいます。また、海外ベンダーとの充実したネットワークを活かして、メッセージング分野に限定せず、⽇本のDX を⽀える優れた製品・ソリューションを⽇本市場に紹介しています。
東京本社の他、ハノイにベトナム⽀社があり、開発、サポートを⾏っています。
報道関係者お問い合わせ
株式会社TwoFive
担当：渋谷
Email：info@twofive25.com TEL：03-5704-9948
※読者お問い合せ先は以下をご掲載ください。
Email：info@twofive25.com TEL：03-5704-9948
※本プレスリリースのPDF版を以下URLにてご参照いただけます。
https://www.twofive25.com/news/press/pdf/20230518_dmarc_report.pdf
記載されている会社名、製品名は各社の商標です。