日本におけるDMARCの要件：総務省、JSDA、およびフィッシング対策協議会

日本では、フィッシング被害が相次いでいます。2025年には、犯罪者が証券会社を装ったメールを利用して顧客の口座を乗っ取り、不正な取引を行う事件が発生し、規制当局は迅速に対応しました。この記事では、総務省（MIC）、日本証券業協会（JSDA）、および日本アンチフィッシング協議会の3つの機関が定める、日本におけるDMARCの要件について解説します。 各機関が対象とする範囲、求める方針、そして今後の対応策について解説します。DMARC（Domain-based Message Authentication, Reporting and Conformance）は、メール認証プロトコルの一種であり、送信ドメインのSPFおよびDKIMチェックに失敗したメールに対して、受信サーバーがどのように処理すべきかを指定するものです。

なぜ日本はDMARCの導入を推進しているのか？

2025年4月、犯罪対策閣僚会議において「詐欺から国民を守るための包括的対策2.0」が採択されました。この対策には、詐欺メールやSMSに対する対策の一つとして、DMARCなどの送信者ドメイン認証のさらなる導入が盛り込まれています。以下に述べるすべての内容は、この政策を背景としています。

発端となったのは証券口座だった。MICの書簡によると、攻撃者は実在の証券会社を装ったフィッシングメールを通じて盗んだログインIDとパスワードを使用し、顧客の口座で無断で取引を行ったという。 日本アンチフィッシング協議会は、『フィッシングレポート2026』において、2025年のこうした不正取引による被害額を約7,393億円と推計している。同レポートによると、2025年のフィッシング被害報告件数は2,454,297件に達し、過去最多を記録するとともに、2024年の総件数の約1.43倍となった。

MICは2つ目の理由を挙げています。生成AIは現在、自然な日本語を大量に生成できるため、不自然な表現だけではフィッシングメールだと見破れなくなっています。そのため、送信者の認証など、読者が本来行う必要のない確認作業の重要性が高まっています。 

基本については、以下を参照してください。 「DMARCが重要な理由」を参照してください。導入状況については、当社の 「日本におけるDMARCおよびMTA-STS導入状況レポート」をご覧ください。

総務省（MIC）によるDMARC要請

MICの要請は誰を対象としているのか？

2025年9月1日、総務省は「フィッシングメール対策の強化」と題した要請書（文書番号：総基用第76号）を送付した。その宛先は、電気通信事業者協会、テレコムサービス協会、日本インターネットプロバイダー協会、および日本ケーブルテレビ連盟の4団体であった。総務省は各団体に対し、加盟事業者やISPにこの要請を伝達するよう求めた。一般企業に対しては直接の要請は行われていない。

同書簡には、その法的地位が明記されている。これは『行政手続法』第2条第6項に基づく行政上の指針に該当し、正式な行政処分ではない。

MICは何を求めているのか？

MICは、「フィッシングメール対策の強化」の下で、3つの要請を提示している。：

1. メールフィルタリングの強化。 スパム検出のためのAIを含むフィルタリングの精度を向上させ、より巧妙なフィッシング攻撃にも対応できるようフィルタリングの強度を設定する。
2. 双方でのDMARC導入。 DMARCを導入し、隔離または拒否のポリシーを設定してください。受信側では、送信者のDMARCポリシーに従ってメールを処理し、DMARCレポートを送信してください。MICはまた、プロバイダーに対し、ドメインのレピュテーション、BIMI（Brand Indicators for Message Identification）、およびリレー悪用に対する対策を積極的に検討するよう求めています。
3. ユーザーの意識向上。 プロバイダーがすでに提供しているフィッシング対策サービスを、より幅広いユーザー層に周知徹底する。

報告義務もあります。MICは各協会に対し、2025年9月から2026年8月末までの会員の進捗状況をフォローアップし、各期間終了後1ヶ月以内に3ヶ月ごとに同省へ報告するよう要請しました。そのフォローアップ期間はすでに終了していますので、今後の展開についてはMICのウェブサイトを注視してください。

JSDA（日本証券業協会）DMARCガイドライン

The 日本証券業協会（JSDA） DMARCガイドラインは、日本の金融商品取引業者を統括する自主規制機関であるJSDAが策定したセキュリティ指針であり、電子メールを介したフィッシング、スプーフィング、および不正な口座アクセスから個人投資家や金融市場を保護することを目的としています。

以下を取り入れることで DMARC を規制遵守の枠組みに組み込むことで、JSDAは証券会社に対し、厳格なドメイン認証プロトコル基準の実施を義務付けています。これにより、正規の証券会社からのものだと偽る詐欺メールが、顧客に届く前に確実に遮断されます。その目的は、悪意のある攻撃者がログイン認証情報や取引実行権限を盗み取ることを防ぐことにあります。

2025年10月のガイドライン改訂では何が変更されたのか？

JSDAは2025年10月15日、「インターネット取引における不正アクセス防止ガイドライン」を改定し、同日付けで改定内容が施行された。その理由として、フィッシングやマルウェアによって盗まれた認証情報が、不正な出金だけでなく、不公正な取引にも利用されていたことが挙げられている。

DMARCに関する項目は、フィッシング防止セクションの「スタンダード」レベルに位置付けられています。JSDAでは、「スタンダード」を会員が対応すべき項目として定義しており、一方「ベストプラクティス」は望ましい項目を網羅しています。この文言では、企業に対し、顧客へのメール送信に使用するドメインを特定し、計画的にDMARCを導入し、DMARCレポートを確認した上で、拒否設定を行うよう求めています。本文には発効日が明記されていますが、拒否設定を達成するための期限については記載されていません。

同じセクションにあるその他の標準項目も、メール担当チームにとっては重要です：

• ドメインをブランドの一部として管理し、ドメインのライフサイクル管理や、ドメインのドロップキャッチやサブドメイン乗っ取りに対する防御策を講じる
• 当社を装ったフィッシングサイトを閉鎖する
• 共有SMSショートコードを使用して、それを公開してください
• やむを得ない場合を除き、メールやSMSにログインリンクやパスワード入力用のURLを記載しないようにしてください。

通知メールへのBIMIおよびS/MIME署名の採用は、ベストプラクティスとして挙げられています。また、同改訂により、パスキーやPKIベースのログインなど、フィッシング攻撃に耐性のある多要素認証（MFA）が標準項目となり、ログイン、出金、および出金先銀行口座の変更時には、デフォルトで有効化されることが義務付けられました。

証券会社の現状は？

2026年5月21日に発表されたTwoFiveの調査は、JSDA加盟企業200社と421のドメインを対象とした。その結果、これらのドメインのうち48.7％が、強制的なポリシー（隔離または拒否）によって保護されており、2025年11月の36.4％から増加したことが分かった。一方、日経225構成企業の同指標は18.5％だった。

少なくとも1つのドメインでDMARCを有効にしている企業の割合は、2025年5月の約71.6％から、2025年11月には約77.6％、現在は約81.0％へと増加した。BIMI証明書（VMCまたはCMC）を公開しているドメインの割合は、6か月間で5％から21％へと上昇した。TwoFive社は、この急増をアカウント乗っ取りの急増とガイドラインの改訂に関連付けている。 証券会社のドメインの半数強は、依然として適用基準を満たしていない。

日本フィッシング対策協議会 ガイドライン

同評議会は、2026年6月1日に「フィッシング対策ガイドライン 2026年版」を公表した。 DMARCを例とする送信者ドメイン認証は、5つの優先事項の一つである。本ガイドラインでは「p=reject」の設定を推奨している。また、VMC（Verified Mark Certificate）を通じてブランドロゴを表示することや、ブランドアイコンを表示するウェブメールサービスを利用することを推奨しており、これによりユーザーはドメイン名を確認しなくても送信者を識別できるようになる。DMARCが本ガイドラインに初めて登場したのは2022年である。

2026年版からの関連事項：ウェブサイトと、ユーザーへのメールの送信元アドレスには、同じドメイン名を使用してください。このガイドラインは推奨事項です。BIMIの使用を義務付ける内容は一切含まれていません。

同評議会の『2026年フィッシング報告書』には、次のような警告が追加されている。2025年2月、送信者情報を偽装したメールが報告件数の約69.0%を占めるまで急増し、これらの攻撃ではp=noneまたはDMARCがまったく設定されていないドメインが標的とされていた。 10月以降、こうしたドメインの割合は約27.0％まで低下した。同レポートは、9月のMIC（メール・インテグリティ・センター）による要請が、攻撃者による送信元偽装を抑制した可能性を示唆しており、12月時点では、自身のドメインから送信され、DMARCを通過した攻撃が約75.3％を占めていた。

ここでの教訓は単純です。DMARCは、攻撃者が登録した類似ドメインではなく、自社のドメインを保護するものです。したがって、ブランドドメインや類似ドメインの監視と併せて実施する必要があります。

MIC 対 JSDA 対 アンチフィッシング協議会：比較一覧

その他の要因：政府の基準およびグローバルメールボックスの規則

他にも3つの情報源が同様の見解を示しています。2023年2月、MIC、警察庁、経済産業省（METI）は共同で、クレジットカード各社に対し、メールを送信しないドメインを含め、ユーザーに公開しているすべてのドメインでDMARCを導入し、なりすましメールを拒否するポリシーを適用するよう要請しました。当社の PCI DSS 4.0 DMARCガイド では、金融面について解説しています。また、政府機関のセキュリティ規則に関する国立サイバーセキュリティインシデント対応・戦略センター（NISC）のガイドラインでも、送受信におけるDMARCが明記されており、2023年度草案では、各機関に対し「p=none」の設定を長期間継続しないよう求めています。

メールプロバイダーは、より低い基準を設定しています。Gmailの大量送信者に関するルールは、1日あたり5,000通以上のメッセージを送信する送信者に適用され、Outlook.comでも2025年5月5日から同様の送信量に対して規制が適用されるようになりました。どちらもSPF、DKIM、DMARCが必要ですが、「p=none」で十分です。そのため、「p=none」はメールプロバイダーのルールをクリアするものの、日本の規制当局が求める水準にはまだ達していないのです。 

全体像については、当社の DMARC要件ガイドをご参照ください。また、日本国内の事例については、 Yahoo! JAPANのDMARC導入事例をご覧ください。

日本でDMARCの要件を満たすためのステップバイステップガイド

p=reject となるまでの手順は、どの本文に返信する場合でも同じです。当社の DMARCガイド には、導入に関する詳細がすべて記載されています。

1. 顧客向けのすべてのドメインおよびサブドメインを洗い出してください。 パークドメインや、メールを送信することのないドメインも対象に含めてください。これは、JSDAが「顧客にメールを送信するドメインを特定する」と定義している内容でもあります。
2. rua を使用して p=none を公開します。 スターターレコードは次のような形式になります。 v=DMARC1; p=none; rua=mailto:[email protected]となります。すべての正当な送信者が確認できるまで、レポートの実行を続けてください。
3. すべてのESPおよびSaaSツールについて、SPFとDKIMの設定を整合させてください。 マーケティングプラットフォーム、チケット管理ツール、課金システムなどは、よく予期せぬ問題を引き起こすものです。SPFのDNSルックアップ上限が10回である点に注意してください。この段階では、この制限によって多くのレコードが破損してしまいます。
4. 隔離状態に移行する。 2026年5月に公開されたRFC 9989は、RFC 7489に取って代わりました。この規格では、pctタグが削除され、テストモードを表す「t」、存在しないサブドメインを表す「np」、パブリックサフィックスドメインを表す「psd」が追加されました。受信者による採用のペースは様々ですので、変更のたびにレポートを確認してください。
5. 却下する動議。 JSDAは報告書の検討を経てこれを要請しており、評議会もこれを推奨しています。 DMARC準拠チェックを を行ってください。
6. 駐車ドメインおよび非送信ドメインを保護します。 p=reject および以下の SPF レコードを公開します。 v=spf1 -all を公開してください。攻撃者は未使用のドメインを好むためです。
7. VMCまたはCMCを使用してBIMIを追加してください。 BIMIを導入するには、まず適用ポリシーが必要です。JSDAはこれをベストプラクティスとして挙げており、評議会はロゴの表示を推奨しています。
8. MTA-STSを追加します。 これら3つの機関のいずれもこれを求めてはいませんが、転送中のメールを保護し、DMARCと相性が良いものです。

PowerDMARCは、これらの手順を1つのプラットフォームでカバーします。DMARC、SPF、DKIM、MTA-STS、BIMIレコードをホストするため、DNSの変更のほとんどはダッシュボード上で行われ、JSDAが求めるレポートレビュー用の集計レポートも生成します。 「DNS タイムライン」では、経時的なレコードの変更状況を確認できます。エンタープライズプランで利用可能な「DNS 乗っ取りアラート」は、未割り当ての NS、MX、CNAME、A/AAAA レコードや、SPF サブドメインの乗っ取りを監視し、これは JSDA のサブドメイン乗っ取り項目と一致しています。「メール配信率テスター」は、6つのシードプロバイダー（Gmail、Outlook、Yahoo Mail、iCloud、AWS Mail、Zoho Mail）における受信トレイへの到達率を確認します。 BasicおよびEnterpriseユーザー向けにベータ版として提供されている「DMARC AI Agent」は、ダッシュボード内で認証に関する質問に回答し、「MCPサーバー」は、アカウントをClaude Desktop、Cursor、Claude CodeなどのAIホストに接続します。ベンダーを比較検討されている場合は、 日本国内のトップDMARCソリューション一覧 および 2026年のDMARCコストと価格の詳細分析もご参照ください。

まとめ：日本におけるDMARCの要件が貴社に与える影響

日本におけるDMARCの要件は、法的拘束力に違いはあるものの、方向性は一致しています。総務省（MIC）は通信事業者やISP全体での隔離または拒否を求めており、日本証券業協会（JSDA）は証券会社による拒否を求めており、同協議会ではブランド保護が必要なすべての事業者に対して拒否を推奨しています。もしまだp=noneの設定のままの場合は、まずは現状把握とレポートの作成から始めましょう。

当社の 日本語版DMARCレコードチェッカー で無料チェックを行うか、PowerDMARCの15日間無料トライアルを開始してください。市場全体の動向については、 「日本におけるDMARC」のページをご覧ください。

日本におけるDMARCの要件に関するよくある質問

日本では、DMARCは法的に義務付けられているのでしょうか？

この記事で紹介した3つの文書はいずれも法律ではなく、罰則を定めているものでもありません。MICの書簡は行政上の指針であり、JSDAの文書は自主規制ガイドラインであり、評議会の文書は勧告です。

MICへの申請は、一般の企業にも適用されますか？

直接的にはそうではありません。このメールは、4つの協会に対して、その加盟キャリア、ISP、ケーブル事業者宛てに送信されます。受信側の部分は依然としてあなたにとって重要です。なぜなら、これらのプロバイダーは送信者のDMARCポリシーに基づいて対応するよう求められており、p=noneレコードが欠落していると、対応すべき基準が何もなくなってしまうからです。

JSDAではどのようなDMARCポリシーが求められていますか？

拒否。このガイドラインでは、企業に対し、顧客のメールドメインを特定し、計画的にDMARCを導入し、DMARCレポートを確認した上で、ポリシーを「拒否」に設定するよう求めています。

証券会社が「p=reject」の状態に達するまでの期限はありますか？

このガイドラインは2025年10月15日に発効し、却下に関する個別の期限は定められていません。今後の通知については、JSDAのウェブサイトをご確認ください。

アンチフィッシング協議会はBIMIを義務付けていますか？

いいえ。2026年のガイドラインでは、VMCおよびウェブメールのブランドアイコンを通じたロゴの表示が推奨されています。JSDAはBIMIをベストプラクティスとして挙げており、MICはプロバイダーに対し、その導入を検討するよう求めています。

p=none のままにしておくとどうなるのでしょうか？

p=none では監視のみが行われるため、受信側は偽装されたメールを通常通り配信します。これら 3 つの要件をすべて満たすことはできず、評議会の報告書によると、攻撃者は p=none または DMARC がないドメインを好んで利用していることが判明しました。