Requisitos de DMARC en Japón: el MIC, la JSDA y el Consejo contra el Phishing
por
Última actualización:
Tiempo de lectura: 9 minutos
Japón ha atravesado una etapa difícil en lo que respecta al phishing. En 2025, los delincuentes utilizaron correos electrónicos falsos de empresas de valores para secuestrar cuentas de clientes y realizar operaciones no autorizadas, y las autoridades reguladoras actuaron con rapidez. En esta entrada se explican los requisitos de DMARC en Japón establecidos por tres organismos: el Ministerio de Asuntos Internos y Comunicaciones (MIC), la Asociación Japonesa de Corredores de Valores (JSDA) y el Consejo Antiphishing de Japón. Verás a quién se dirige cada uno, qué política espera que se aplique y qué pasos hay que seguir a continuación. DMARC (Domain-based Message Authentication, Reporting and Conformance) es un protocolo de autenticación de correo electrónico que indica a los servidores receptores qué hacer con los mensajes que no superan las comprobaciones SPF y DKIM en tu dominio.
¿Por qué está impulsando Japón la aplicación de DMARC?
En abril de 2025, la Reunión Ministerial sobre Medidas contra la Delincuencia aprobó las «Medidas integrales para proteger a la ciudadanía contra el fraude 2.0». Una de las acciones previstas para combatir los correos electrónicos y los SMS fraudulentos consiste en seguir implantando la autenticación del dominio del remitente, como por ejemplo DMARC. Ese es el contexto normativo de todo lo que se expone a continuación.
El punto de partida fueron las cuentas de valores. La carta de MIC indica que los atacantes utilizaron nombres de usuario y contraseñas robados a través de correos electrónicos de phishing que se hacían pasar por empresas de valores reales, y luego realizaron operaciones en las cuentas de los clientes sin su permiso. El Consejo Antiphishing de Japón estimó en su Informe sobre Phishing de 2026 que las pérdidas derivadas de estas operaciones no autorizadas en 2025 ascendieron a unos 739 300 millones de yenes. El mismo informe contabilizó 2 454 297 denuncias de phishing en 2025, una cifra récord que supone aproximadamente 1,43 veces el total de 2024.
MIC aporta una segunda razón. La IA generativa ya es capaz de producir texto en japonés natural a gran escala, por lo que una redacción torpe ya no delata a un correo electrónico de phishing. Esto hace que cobren mayor importancia las comprobaciones que el lector nunca tiene que realizar, como la autenticación del remitente.
Para conocer los conceptos básicos, consulta por qué es importante DMARC, y para conocer las cifras de adopción, consulta nuestro informe sobre la adopción de DMARC y MTA-STS en Japón.
Solicitud DMARC del MIC (Ministerio de Asuntos Internos y Comunicaciones)
¿A quiénes se aplica la solicitud del MIC?
El 1 de septiembre de 2025, el MIC envió una carta de solicitud (documento 総基用第76号) titulada «Refuerzo de las medidas contra los correos electrónicos de phishing». Dicha carta se dirigió a cuatro asociaciones: la Asociación de Operadores de Telecomunicaciones, la Asociación de Servicios de Telecomunicaciones, la Asociación Japonesa de Proveedores de Internet y la Federación Japonesa de Televisión por Cable. El MIC solicitó a cada una de ellas que transmitiera la solicitud a sus operadores y proveedores de servicios de Internet afiliados. No se dirige directamente a las empresas en general.
En la carta se especifica su propia naturaleza jurídica. Se considera una orientación administrativa con arreglo al artículo 2, apartado 6, de la Ley de Procedimiento Administrativo, y no constituye una resolución administrativa formal.
¿Qué pide el MIC?
El MIC expone tres peticiones en el apartado «Fortalecimiento de las medidas contra los correos electrónicos de phishing»:
- Mejor filtrado del correo. Mejorar la precisión de los filtros, incluyendo la inteligencia artificial para la detección de spam, y ajustar la intensidad del filtrado para que pueda hacer frente a los intentos de phishing más sofisticados.
- DMARC en ambos extremos. Implemente DMARC y establezca una política de cuarentena o rechazo. En el lado receptor, procese el correo de acuerdo con la política DMARC del remitente y envíe informes DMARC. El MIC también pide a los proveedores que tengan muy en cuenta la reputación del dominio, el BIMI (indicadores de marca para la identificación de mensajes) y las medidas contra el uso indebido de retransmisión.
- Sensibilización de los usuarios. Promover los servicios contra el phishing que el proveedor ya ofrece a un mayor número de usuarios.
También existe la obligación de presentar informes. El MIC pidió a las asociaciones que hicieran un seguimiento de los avances de sus miembros desde septiembre de 2025 hasta finales de agosto de 2026 y que presentaran un informe trimestral al ministerio en el plazo de un mes tras la finalización de cada trimestre. Ese plazo de seguimiento ya ha vencido, así que estad atentos a la página web del MIC para saber qué va a pasar a continuación.
Directrices DMARC de la JSDA (Asociación Japonesa de Corredores de Valores)
La Asociación Japonesa de Corredores de Valores (JSDA) La directriz DMARC de la JSDA es un conjunto de directrices de seguridad establecidas por la JSDA, el organismo autorregulador de las empresas de instrumentos financieros en Japón, cuyo objetivo es proteger a los inversores particulares y a los mercados financieros contra el phishing, la suplantación de identidad y el acceso no autorizado a las cuentas a través del correo electrónico.
Al incorporar DMARC en su marco de cumplimiento normativo, la JSDA exige a las empresas de valores que apliquen normas estrictas en materia de protocolos de autenticación de dominios. De este modo, se garantiza que los correos electrónicos fraudulentos que afirman proceder de empresas de corretaje oficiales sean bloqueados antes de llegar a los clientes. El objetivo es impedir que los actores malintencionados roben credenciales de inicio de sesión y permisos de ejecución.
¿Qué ha cambiado en la revisión de las directrices de octubre de 2025?
La JSDA revisó su «Guía para la prevención del acceso no autorizado en las operaciones bursátiles por Internet» el 15 de octubre de 2025, y la revisión entró en vigor ese mismo día. El motivo aducido es que las credenciales sustraídas mediante phishing y malware se estaban utilizando para realizar operaciones bursátiles desleales, y no solo para retiradas ilícitas de fondos.
El punto relativo a DMARC se encuentra en la sección de prevención del phishing, dentro del nivel «Estándar». La JSDA define «Estándar» como los aspectos que los miembros deben abordar, mientras que «Mejores prácticas» abarca los aspectos recomendables. El texto insta a las empresas a identificar los dominios que utilizan para enviar correos electrónicos a los clientes, implementar DMARC de forma planificada, revisar los informes de DMARC y, a continuación, configurar la política para rechazar los mensajes. El texto indica una fecha de entrada en vigor, pero no establece un plazo para alcanzar el nivel de rechazo.
Otros elementos estándar de la misma sección son importantes para los equipos de correo electrónico:
- Gestionar los dominios como parte de la marca, incluyendo el ciclo de vida de los dominios y las medidas de protección contra la captura de dominios caducados y la apropiación de subdominios
- Eliminar los sitios web de phishing que se hacen pasar por la empresa
- Utiliza el código corto compartido para SMS y publícalo
- Evita incluir enlaces de inicio de sesión o direcciones URL para introducir contraseñas en correos electrónicos y SMS, a menos que no haya otra opción.
Las firmas BIMI y S/MIME para los correos electrónicos de notificación figuran como «prácticas recomendadas». La misma revisión también convierte la autenticación multifactorial (MFA) resistente al phishing —como las claves de acceso o el inicio de sesión basado en PKI— en un requisito estándar que debe estar activado por defecto para el inicio de sesión, las retiradas de fondos y los cambios en la cuenta bancaria de retirada.
¿Cuál es la situación actual de las empresas de valores?
La encuesta de TwoFive, publicada el 21 de mayo de 2026, abarcó 200 empresas miembros de la JSDA y 421 dominios. Según los resultados, el 48,7 % de esos dominios estaban protegidos por una política de aplicación (cuarentena o rechazo), lo que supone un aumento respecto al 36,4 % registrado en noviembre de 2025. En el caso de las empresas del Nikkei 225, la cifra se situó en el 18,5 % según el mismo indicador.
El porcentaje de empresas que tienen DMARC activado en al menos un dominio pasó de alrededor del 71,6 % en mayo de 2025 a aproximadamente el 77,6 % en noviembre de 2025 y a alrededor del 81,0 % en la actualidad. Los dominios que publican un certificado BIMI (VMC o CMC) aumentaron del 5 % al 21 % en seis meses. TwoFive atribuye este aumento a la oleada de apropiaciones de cuentas y a la revisión de las directrices. Algo más de la mitad de los dominios de las empresas de valores siguen sin cumplir los requisitos.
Directrices del Consejo contra el Phishing de Japón (フィッシング対策協議会)
El Consejo publicó su Guía contra el phishing, edición de 2026, el 1 de junio de 2026. La autenticación del dominio del remitente, tomando como ejemplo DMARC, es uno de los cinco puntos prioritarios. La guía recomienda el valor «p=reject». También recomienda mostrar el logotipo de la marca a través de un VMC (Certificado de Marca Verificada) y utilizar servicios de correo web que muestren iconos de marca, de modo que los usuarios puedan reconocer al remitente sin necesidad de leer los nombres de dominio. DMARC apareció por primera vez en esta guía en 2022.
Una cuestión relacionada de la edición de 2026: utiliza el mismo nombre de dominio tanto para tu página web como para la dirección del remitente en los correos electrónicos que envíes a los usuarios. Esta directriz es una recomendación. No hay nada en ella que exija el uso de BIMI.
El Informe sobre phishing de 2026 del Consejo añade una advertencia. En febrero de 2025, los correos electrónicos con remitente falsificado se dispararon hasta representar aproximadamente el 69,0 % de las denuncias, y esos ataques elegían dominios con p=none o sin DMARC en absoluto. A partir de octubre, la proporción de dichos dominios descendió hasta alrededor del 27,0 %. El informe sugiere que la solicitud del MIC de septiembre pudo haber disuadido a los atacantes de utilizar la suplantación de remitentes, y en diciembre los ataques enviados desde sus propios dominios y que superaban la verificación DMARC representaban alrededor del 75,3 %.
La lección es sencilla. DMARC protege tu dominio, no los dominios similares que registre un atacante. Debe complementarse con la supervisión de la marca y de los dominios similares.
MIC, JSDA y el Consejo contra el Phishing: comparación lado a lado
| Cuerpo | Documento y fecha | A quiénes se dirige | Política obligatoria | Otras medidas | Régimen jurídico | Informar |
|---|---|---|---|---|---|---|
| MIC | Carta de solicitud sobre el refuerzo de las medidas contra los correos electrónicos de phishing, 1 de septiembre de 2025 | Cuatro asociaciones del sector y, a través de ellas, las empresas de telecomunicaciones, los proveedores de servicios de Internet y los operadores de cable afiliados | Poner en cuarentena o rechazar | Gestión e informes de DMARC por parte del destinatario, reputación del dominio, BIMI, medidas contra el reenvío, filtrado mediante IA, sensibilización de los usuarios | Orientación administrativa, no una resolución formal | Informe de situación al MIC cada tres meses, desde septiembre de 2025 hasta finales de agosto de 2026 |
| JSDA | Directrices para la prevención del acceso no autorizado en el comercio por Internet, revisadas el 15 de octubre de 2025 | Empresas de valores afiliadas que ofrecen servicios de negociación por Internet | Rechazar, tras la puesta en marcha prevista y la revisión del informe (sin plazo establecido) | Autenticación multifactorial (MFA) resistente al phishing, gestión de dominios, retirada de sitios web, código corto SMS compartido, BIMI y S/MIME como buenas prácticas | Directriz de autorregulación, elemento DMARC en el nivel «Estándar» | No se ha especificado nada para DMARC |
| Consejo contra el phishing | Guía contra el phishing, edición de 2026, 1 de junio de 2026 | Empresas que envían correos electrónicos a sus clientes y gestionan sitios web que pueden ser objeto de suplantación de identidad | Recomienda p = rechazar | Visualización de los logotipos de VMC y BIMI, iconos de marca en el correo web, mismo dominio para el sitio web y el remitente | Recomendación | Ninguno |
Otros factores: normas gubernamentales y normas internacionales sobre buzones de correo
Otras tres fuentes apuntan en la misma dirección. En febrero de 2023, el MIC, la Agencia Nacional de Policía y el Ministerio de Economía, Comercio e Industria (METI) solicitaron conjuntamente a las empresas de tarjetas de crédito que implementaran DMARC en todos los dominios que publican para los usuarios, incluidos aquellos que no envían correo electrónico, y que aplicaran una política que rechazara el correo suplantado. Nuestra guía sobre DMARC de PCI DSS 4.0 aborda el aspecto financiero. Las directrices del Centro Nacional de Preparación y Estrategia ante Incidentes de Ciberseguridad (NISC) sobre las normas de seguridad de los organismos públicos también mencionan el DMARC para el envío y la recepción de correo, y su borrador para el ejercicio fiscal 2023 recomendaba a los organismos que no mantuvieran la configuración «p=none» durante mucho tiempo.
Los proveedores de correo electrónico establecen unos requisitos menos estrictos. Las normas de Gmail sobre remitentes masivos se aplican a quienes envían más de 5.000 mensajes al día, y Outlook.com comenzó a aplicarlas el 5 de mayo de 2025 para el mismo volumen. Ambos exigen SPF, DKIM y DMARC, pero basta con «p=none». Por eso, «p=none» cumple las normas de los proveedores de correo electrónico, pero sigue sin alcanzar lo que esperan los reguladores japoneses.
Para obtener una visión general, consulta nuestra guía de requisitos de DMARC, y para ver un ejemplo local, la adopción de DMARC por parte de Yahoo! JAPAN.
Cómo cumplir los requisitos de DMARC en Japón, paso a paso
El proceso para establecer p=reject es el mismo independientemente de a qué entidad se responda. Nuestra guía sobre DMARC contiene todos los detalles sobre la implantación.
- Realiza un inventario de todos los dominios y subdominios que están en contacto con los clientes. Incluye los dominios aparcados y aquellos que nunca envían correo electrónico. Esto es también lo que JSDA entiende por «identificar los dominios desde los que envías correos electrónicos a los clientes».
- Publica p=none con rua. Un registro inicial tiene el siguiente aspecto v=DMARC1; p=none; rua=mailto:[email protected]. Deja que los informes se ejecuten hasta que puedas ver todos los remitentes legítimos.
- Alinea SPF y DKIM para cada proveedor de servicios de correo electrónico (ESP) y herramienta SaaS. Las plataformas de marketing, las herramientas de gestión de entradas y los sistemas de facturación suelen dar sorpresas. Presta atención al límite de SPF de 10 consultas DNS, que en esta fase ya ha superado muchos récords.
- Pasar a cuarentena. El RFC 9989, publicado en mayo de 2026, sustituyó al RFC 7489. Elimina la etiqueta «pct» y añade «t» para el modo de prueba, «np» para subdominios inexistentes y «psd» para dominios de sufijo público. Los destinatarios lo adoptan a ritmos diferentes, así que comprueba los informes tras cada cambio.
- Propuesta de rechazo. La JSDA lo solicita tras la revisión del informe, y el Consejo lo recomienda. Realizar una comprobación de cumplimiento de DMARC antes y después del cambio.
- Protege los dominios aparcados y los que no envían mensajes. Publica p=reject y un registro SPF de v=spf1 -all en ellos, ya que a los atacantes les gustan los dominios en desuso.
- Añade BIMI con un VMC o un CMC. Para que BIMI funcione, primero es necesario aplicar una política al respecto. La JSDA lo incluye entre las mejores prácticas, y el Consejo recomienda mostrar el logotipo.
- Añade MTA-STS. Ninguno de los tres organismos lo exige, pero protege el correo en tránsito y se complementa bien con DMARC.
PowerDMARC gestiona estos pasos desde una única plataforma. Aloja tus registros DMARC, SPF, DKIM, MTA-STS y BIMI, por lo que la mayoría de los cambios en el DNS se realizan desde el panel de control, y elabora informes agregados para la revisión de informes que exige la JSDA. La «Cronología de DNS» muestra los cambios en los registros a lo largo del tiempo. Las «Alertas de apropiación de DNS», disponibles en los planes Enterprise, comprueban si hay registros NS, MX, CNAME y A/AAAA «colgantes», así como la apropiación de subdominios SPF, lo que se ajusta al punto sobre apropiación de subdominios de la JSDA. El «Comprobador de entregabilidad de correo electrónico» verifica la llegada a la bandeja de entrada a través de seis proveedores de prueba (Gmail, Outlook, Yahoo Mail, iCloud, AWS Mail y Zoho Mail). El «DMARC AI Agent», en fase beta para usuarios de los planes «Basic» y «Enterprise», responde a preguntas de autenticación desde el panel de control, y el servidor MCP conecta tu cuenta con hosts de IA como Claude Desktop, Cursor y Claude Code. Si estás comparando proveedores, consulta nuestra lista de las mejores soluciones DMARC en Japón y nuestro desglose de costes y precios de DMARC en 2026.
Conclusión: Qué implican para ti los requisitos de DMARC en Japón
Los requisitos de DMARC en Japón siguen una misma línea, aunque su peso jurídico difiera. El MIC quiere que los operadores y los proveedores de servicios de Internet (ISP) pongan en cuarentena o rechacen los mensajes; la JSDA quiere que las empresas de valores los rechacen; y el Consejo recomienda el rechazo a todos aquellos que tengan una marca que proteger. Si todavía tienes p=none, empieza por el inventario y los informes.
Realiza una comprobación gratuita con nuestro verificador de registros DMARC para Japón o empieza una prueba gratuita de 15 días de PowerDMARC. Para obtener una visión más amplia del mercado, lee nuestra página sobre DMARC en Japón.
Preguntas frecuentes sobre los requisitos de DMARC en Japón
¿Es DMARC obligatorio por ley en Japón?
Ninguno de los tres documentos que figuran en esta publicación es una ley, ni establece multas. La carta del MIC es una orientación administrativa, el texto de la JSDA es una directriz de autorregulación y el texto del Consejo es una recomendación.
¿Se aplica la solicitud del MIC a las empresas normales?
No directamente. La carta se envía a cuatro asociaciones para que la remitan a sus operadores miembros, proveedores de servicios de Internet (ISP) y operadores de cable. La parte relativa al destinatario sigue siendo importante para ti, ya que se pide a esos proveedores que actúen de acuerdo con las políticas DMARC del remitente, y si falta un registro «p=none», no tienen ninguna base sobre la que actuar.
¿Qué política DMARC exige la JSDA?
Rechazar. La directriz insta a las empresas a identificar los dominios de correo electrónico de sus clientes, implementar DMARC de forma planificada, revisar los informes de DMARC y, a continuación, configurar la política para que rechace los mensajes.
¿Hay algún plazo límite para que las sociedades de valores lleguen a un acuerdo o rechacen la propuesta?
La directriz entró en vigor el 15 de octubre de 2025 y no establece ningún plazo específico para la presentación de objeciones. Consulte la página web de la JSDA para estar al tanto de cualquier notificación posterior.
¿El Consejo contra el Phishing exige el uso de BIMI?
No. La guía de 2026 recomienda mostrar el logotipo a través de un VMC y de los iconos de marca del correo web. La JSDA incluye el BIMI entre las mejores prácticas, y el MIC pide a los proveedores que lo tengan en cuenta.
¿Qué pasa si nos quedamos en p=none?
Los servidores de recepción entregan el correo falsificado con total normalidad, ya que el valor «p=none» solo realiza una supervisión. No se cumplirían las tres expectativas, y el informe del Consejo reveló que los atacantes se decantaban por dominios con el valor «p=none» o sin DMARC.
