ほとんどの金融機関がDMARCを導入している。しかし、保護されているところはほとんどない。

注目すべき数字：養子縁組の問題は（ほぼ）解決された

まずは注目すべき良いニュースから始めましょう。金融サービス業界は、DMARCの導入において、他のほぼすべての業界よりも迅速に動いてきました。PowerDMARCが調査対象とした各国において、銀行・金融サービス業界は、単にDMARCレコードが設定されているという点だけで、国内の業界ランキングで常に上位1～2位に入っており、ほとんどの市場で小売、医療、政府機関を大きく上回っています。

• PowerDMARCの「2025年ベルギーDMARCレポート」によると、ベルギーでは金融機関が「メールセキュリティ導入において明らかに先頭を走っている」とのことで、DMARCレコードを全く持っていない機関は12機関に1機関にとどまっている。
• PowerDMARCの「ドイツDMARCレポート2025」によると、ドイツでは銀行業界が国内の電子メールセキュリティにおいて「先導的な役割」を果たしている。
• PowerDMARCの「ノルウェーにおけるDMARCおよびMTA-STS導入状況レポート」によると、ノルウェーの金融サービス業界ではDMARCの導入が「ほぼ全面的に」進んでいることが示されており、レコードがまったく設定されていないドメインはわずか6.8%にとどまっている。
• 米国：PowerDMARCの「2026年米国DMARCおよびMTA-STS導入状況レポート」によると、900以上のドメインを対象とした調査において、国内全体のDMARC導入率は95.8％に達し、事実上ほぼ全域に導入されていることが明らかになった。この数値を牽引している業界の一つに、銀行・金融業界が挙げられる。
• カナダ：PowerDMARCの「カナダ DMARC および MTA-STS 導入状況レポート 2026」によると、銀行業界は国内でも導入率が最も低い分野の一つであり、DMARCレコードがまったく設定されていないドメインはわずか8.0%にとどまっています。
• PowerDMARCの「2026年ポーランドDMARCおよびMTA-STS導入状況レポート」によると、ポーランドの銀行・金融業界では、ドメインの83.7％にDMARCレコードが設定されているものの、依然として16.3％という相当な割合のドメインには一切設定されていない。
• フランス：PowerDMARCの「2026年フランスDMARCおよびMTA-STS導入状況レポート」によると、DMARCレコードの導入率において銀行業界が他のあらゆる業界を上回っており、DMARCレコードがないドメインはわずか7.6％にとどまっている。

国別のDMARC導入状況レポートを見る

2026年に導入率が高まった理由

金融機関におけるDMARCの導入率の高さは、決して偶然の産物ではない。この業界に対する規制上の圧力は長年にわたり高まり続けており、現在では複数の方向から同時に押し寄せている。

• PCI DSS v4.0.1では、2025年3月31日より、決済カードデータを扱うすべての組織において、フィッシング対策が「ベストプラクティス」ではなく「必須対策」となりました。これに基づき、これらの要件を満たすための推奨オプションとして、DMARC、SPF、およびDKIMが挙げられています。
• 米国では、FTCの「セーフガード規則」が、多くの人が認識しているよりもはるかに幅広い金融事業を対象とするよう、ひっそりと拡大されている。
• リヤドからオタワに至る各国の金融規制当局は、それぞれの管轄分野におけるセキュリティ対策を通じて、一貫して同じメッセージを発信し続けている。
• 主要なメールプロバイダーも、こうした状況にさらに追い打ちをかけるような措置を講じました。2024年2月以降、GoogleとYahooは、1日あたり約5,000通以上のメールを送信するドメインに対し、少なくともp=noneのDMARCレコードを公開し、SPFおよびDKIMと整合させることを義務付けており、これに従わない場合はメールが拒否されたり、スパムフォルダに直接振り分けられたりするリスクがあります。Microsoftも、OutlookやHotmailのアドレスへ大量のメールを送信する送信者に対して、同様の方針を打ち出しています。 GmailやYahooの顧客数百万人に定期的な明細書や通知を送信する銀行にとっても、これはもはや選択の余地のない要件となっています。

実情：法執行は程遠い

ここで物語は転機を迎えます。個々の国の表面的な数値だけにとらわれず、PowerDMARCがこの分野を調査したあらゆる地域を見渡してみると、どこでも同じ傾向が見て取れます。すなわち、銀行業界は通常、自国の経済においてコンプライアンスの徹底において先導的な役割を果たしていますが、その先導的な姿勢があってもなお、業界の大部分は依然としてリスクにさらされたままなのです。

• 米国：900以上のドメインを分析したPowerDMARCの「2026年米国DMARCおよびMTA-STS導入レポート」によると、全米における「p=reject」の適用率は49.0％であり、これはPowerDMARCのベンチマーク対象国の中で最も高い数値となっている。同レポートでは、この結果の一因として、銀行や医療などの分野における「早期の規制義務化と、重大なリスクを伴う環境」を挙げている。 特に銀行・金融セクターに限定すると、SPFの正確性は90.9%である一方、転送中のメッセージを保護するMTA-STSの導入率はわずか3.0%にとどまっている。
• カナダ：PowerDMARCの「カナダ DMARC および MTA-STS 導入レポート 2026」（555のドメインを分析）によると、銀行業界は42.0％の「p=reject」率で、国内で最も高い導入率を示しています。 同レポートでは、銀行ドメインの8.0％にDMARCレコードが全く存在しないことを指摘し、その課題を次のように明確に述べている。「『None』または『Quarantine』に設定されているドメインを含む残りの58.0％は、大規模な金融詐欺や顧客の信頼喪失につながる可能性のある高度ななりすまし攻撃に対して依然として脆弱なままである。」
• PowerDMARCの「ノルウェーのDMARCおよびMTA-STS導入レポート」によると、ノルウェーでは金融サービスの割合が44.7％（p=reject）となっており、医療分野の55.6％に次いで2番目に高い割合を占めている。
• サウジアラビア：PowerDMARCの「サウジアラビアにおけるDMARCおよびMTA-STS導入レポート」によると、サウジアラビア経済の中で最も厳格な監督下にあるサウジ中央銀行（SAMA）の規制対象である銀行セクターでは、同国の全セクターにわたる全体的な導入率がわずか18.4％にとどまっているにもかかわらず、導入率は50％近くまで達している。
• ポーランド：PowerDMARCの「ポーランド DMARC および MTA-STS 導入レポート 2026」によると、銀行業界はポーランドの全業界の中で最も高い40.8％の「p=reject」率を示しているが、銀行ドメインの16.3％は依然としてDMARCレコードを一切設定しておらず、同業界におけるMTA-STSの導入率は0％にとどまっている。
• フランス：PowerDMARCの「2026年フランスDMARCおよびMTA-STS導入レポート」によると、同国では銀行業界が明らかにトップを占めており、63.3％が「p=reject」となっている。とはいえ、フランスの銀行ドメインの7.6％にはDMARCレコードがまったく存在せず、ポーランドと同様、同業界全体でのMTA-STSの導入率は0％にとどまっている。

これらの数値を並べてみると、6カ国および幅広い規制環境に共通する傾向が浮かび上がってきます。すなわち、銀行業は国内において一貫して最も、あるいはほぼ最も規制が徹底されているセクターであり、p=rejectのスコアは通常40％から60％台前半の範囲に収まっています。しかし、これは金融機関のおよそ3分の1から60％が、依然としてなりすましメールを完全にブロックできていないことを意味します。

ここで公平に指摘しておく価値のある、真に心強いデータが1つあります。dmarcianが収益額に基づき世界の上位100行を対象に行った調査によると、2021年から2025年にかけて、実在し、測定可能な進展が見られました：

• DMARCレコードがまったく設定されていないドメインの数が74％減少した。
• 「p=none」のままのドメイン数が52％減少した。
• p=rejectの採用率が50％増加した。

誰も測定していない部分：メガバンクを超えて

上記の数値を含め、金融サービスに関するDMARCの調査のほぼすべてが、業界のごく一部、すなわち米国の大手銀行、収益ベースで世界トップ100に入る銀行、および国内ドメインスキャンに検出されるほど規模の大きい数少ない金融機関を対象としています。これは、規制当局が「金融機関」と言う際に実際に想定している範囲のほんの一部に過ぎません。

FTCの「セーフガード・ルール」が実際に適用される対象

2024年以降、FTCのセーフガード規則は、組織の種類ではなく活動内容によって定義される、はるかに幅広い対象者に適用されるようになった：

• 融資の手配や仲介を行う自動車販売店
• 住宅ローン仲介業者
• ファイナンシャル・アドバイザーおよび登録投資顧問
• 税務申告代行業者
• 債権回収業者とペイデイローン業者

基本的に、金融サービスを提供し、顧客の個人情報を収集する事業者はすべて、この規則の適用対象となり得ます。これには、大手全国銀行だけでなく、共有受信箱を通じてローン申請を処理している地方の自動車販売店なども含まれる可能性があります。

これらの企業におけるDMARCの適用状況について、専用の調査は行われていないが、全体的な状況は懸念される。EasyDMARCの「2025年グローバルDMARC導入レポート」によると、世界の主要な180万のメールドメインのうち、p=rejectポリシーによって完全に保護されていたのはわずか7.7%にとどまった。つまり、およそ92%は依然として保護されていない状態だったということだ。

要点：

多くの金融企業はDMARCレコードを設定しているかもしれませんが、実際に強制措置に移行している企業ははるかに少なく、おそらく依然としてなりすまし攻撃に対して脆弱な状態にあると考えられます。

.BANKドメインは必須ですが、銀行の.comドメインの多くは必須ではありません。

ここには、この施行上のギャップが技術的な制約というよりは、むしろ選択の結果であるように見える構造的な詳細があります。.BANK または .INSURANCE というトップレベルドメイン（TLD）の下で登録されたドメインについては、登録の条件として、常に DMARC の公開が義務付けられてきました。 2023年11月以降、この要件はさらに強化されました。これらのTLDのレジストリ運営者であるfTLDは、RFC 9091に基づく「パブリックサフィックスドメインDMARC」を導入し、レジストリレベル自体で認証を強制するようになりました。実際には、.BANKまたは.INSURANCE上のすべてのドメインにおいて、p=rejectポリシーが事実上必須となっています。

一方、同機関の一般向けで顧客に公開されている「.com」ドメイン（実際に顧客へのメールのほとんどに記載されているもの）については、そのような要件は課されておらず、上記のデータによると、その適用率はせいぜい約半数にとどまっています。

この対照こそが、義務化された瞬間に、法執行が技術的・運用上の課題として解決済みであることを示す最も明確な証拠である。したがって、これは能力の不足ではなく、政策や優先順位の不備に他ならない。

なぜ格差が解消されないのか（無知が原因ではない）

銀行がp=noneのままにしている理由として挙げられているのは、より適切な方法を知らないからというわけではない。Red Siftの分析によると、その理由は業務上の複雑さとリスク回避にある。

• ある大手銀行では、マーケティングプラットフォーム、住宅ローン管理システム、明細書作成システム、融資書類提供業者など、数百もの正規の第三者事業者を通じて電子メールを中継している。
• p=reject に直接移行すると、送信者のうち1人でも正しく認証されていない場合、顧客のローン書類や給与明細がブロックされるリスクがあります。
• 銀行にとって、正当なメールがブロックされることはそれ自体が一種のインシデントであり、即座に明らかになるものです。一方、p=noneの状態にあるなりすましメールは、問題が表面化するまでは目に見えないリスクとして潜んでいるのです。

それは確かに懸念すべき点ですが、まさにそれが、標準的な段階的なDMARC導入が解決しようとしている問題でもあります。「p=none」から「monitoring」、「p=quarantine」、そして「p=reject」へと進むプロセスが設けられているのは、組織が何かをブロックする前に、すべての正当な送信者を特定できるようにするためなのです。

2026年、金融機関にとって「保護」とは何を意味すべきか

今日の金融機関にとって妥当な最低基準は、次のようなものです：

• DMARCは、p=rejectで適用され、主要な企業ドメインだけでなく、金融関連の通信を送信できる、あるいはその送信元としてなりすまされる可能性のあるすべてのドメインを対象としています。
• 対象範囲は、顧客のメールに実際に使用されているドメインだけでなく、保留中のドメインや防御目的の登録にも拡大されました。
• 実際に常に最新の状態に保たれている送信元インベントリ。これにより、初期導入後にサードパーティベンダーが知らぬ間に整合性を失うことを防ぎます。

PCI DSS v4.0.1では、2025年3月より、カードデータ取扱事業者に対してフィッシング対策の実施が義務付けられました。FTCのセーフガード規則は、多くの非銀行系企業が認識しているよりもはるかに幅広い金融事業を対象としています。いずれの規則も、p=noneのレコードをコンプライアンス遵守とみなしておらず、自らを「保護されている」と称したい機関も、同様にこれをコンプライアンス遵守とみなすべきではありません。

これが、見出しが示す循環構造です。ある組織は、p=none の設定のままでも「DMARCを導入している」と正直に主張できる一方で、レコードが全くない組織とまったく同じように、なりすまし攻撃のリスクにさらされていることになります。

PowerDMARCがギャップの解消にどのように役立つか

p=none から p=reject への移行は、スイッチを切り替えるような単純なものではなく、一連のプロセスです。そして、まさにその点で、多くの金融機関が足踏みしてしまっているのです。PowerDMARCのプラットフォームは、この特定の移行プロセスを中心に構築されています：

• 対策実施前の可視化：リアルタイムの脅威インテリジェンスにより、組織に代わってメールを送信するすべてのドメインやサードパーティが特定されるため、セキュリティチームは、メッセージがブロックされる前に、誰の承認が必要かを把握することができます。
• 管理型認証： ホスト型SPF、DKIM、DMARC、MTA-STS、およびBIMIを利用することで、チームはDNSレコードをスプレッドシートで手動で追跡する代わりに、リアルタイムのコンプライアンスダッシュボードを活用して、「監視」から「実施」の各段階をスムーズに進めることができます。
• 既存の要件との整合性：DMARCはPCI DSS v4.0.1において具体的に指定された管理措置であるため、銀行が「p=reject」を設定する導入措置は、監査人がすでに確認を行っている管理措置の要件も同時に満たすことになる。
• AIを活用した脅威検知：偽装された送金指示や偽造された仕入先請求書など、金融セクターにおけるフィッシングやBECの手口を、受信トレイに届く前に検知することを目的としています。

これにより、「執行が複雑すぎる」あるいは「リスクが高すぎる」という理由で先送りする言い訳がなくなる。

最終的な感想

金融サービス業界は、他のほぼどの業界よりも早く導入を推進しました。しかし、規制の徹底についてはまだ解決されておらず、規制を最も徹底していない機関こそが、調査に名前が挙がる可能性が最も低い機関でもあります。 その一方で、FBI自身の統計データは、現状がどれほど深刻な状況にあるかを示している。FBIのIC3 2025年年次報告書によると、サイバー犯罪に関する通報件数は史上初めて100万件を突破し、被害総額は208億7700万ドルに達し、2024年比で26％増加した。最も多く報告された犯罪の種類はフィッシングであり、ビジネスメール詐欺だけで総被害額の30億5000万ドルを占めた。

多くの組織で欠けているのは、解決策そのものではありません。実際にそれを活用するという組織としての決断なのです。ご自身の組織のドメインが実際にどのような状況にあるかを確認したい場合は、PowerDMARCの無料「ドメインアナライザー」を使えば、1分もかからずにその状況がわかります！

• について
• 最新記事

Ahona Rudra

ドメインおよびメールセキュリティの専門家（所属： PowerDMARC

AhonaはPowerDMARCのマーケティングマネージャーで、サイバーセキュリティのトピックについて5年以上の執筆経験があり、ドメインと電子メールのセキュリティを専門としている。ジャーナリズムとコミュニケーションの卒業後学位を取得し、2019年からセキュリティ分野でキャリアを固めている。

最新記事 by Ahona Rudra(全て見る)

• ほとんどの金融機関がDMARCを導入しているが、保護されているところはほとんどない。 - 2026年7月22日
• MFA疲労（プッシュ・ボンビング）とは何か？ - 2026年7月21日
• DMARC MSP 事例研究：Adoptive Technologies が PowerDMARC を活用して顧客に一元化されたメールセキュリティを提供する方法 - 2026年7月17日