2026年、フィンランドの組織はますます複雑化するサイバー脅威の情勢に直面している。同国は高度なデジタルインフラを備えているにもかかわらず、巧妙なフィッシング、ブランドなりすまし、BEC（経営者向け詐欺）、データ窃取といった脅威によって脆弱性が露呈している。全国規模の調査によると、ITチームは概ね基本的なセキュリティ対策を実施しているものの、より厳格なポリシーの導入に躊躇しているため、コミュニケーションチャネルが脆弱なままになっている。国際的なメールプロバイダーや フィンランド国家サイバーセキュリティセンター（NCSC-FI） が、電子メールの認証とフィッシング防止のためにSPF、DKIM、DMARCを推奨していることを踏まえると、特に懸念される。世界的なプロバイダーが認証されていないメッセージのフィルタリングや拒否を強化する中、電子メールのセキュリティ強化は、フィンランドの組織にとってもはや選択の余地のない課題となっている。
フィンランドのデジタルエコシステムに関する当社の包括的な全国調査では、同国の電子メール認証インフラ全体にわたり、いくつかの明らかな脆弱性が浮き彫りになりました：
SPFステータス： 正答率95.3% – 基本的な管理体制は全国的に極めて厳格に維持されており、 4.6%のドメインのみが 設定エラーが見られ、ごくわずかな 0.1% レコードが完全に欠落している。
DMARCの実施状況における格差： フィンランドのドメインの78.2％が何らかのレベルのDMARC導入を開始しているものの、 、なりすましメールを積極的にブロックする厳格な「p=reject」ポリシーを適用しているのはわずか16.8％に過ぎない を適用して、なりすましメールを積極的にブロックしている。残りのドメインは保護されておらず、受動的な監視のみを行う p=none パラメータ（40.9％）、あるいは緩やかな保護用隔離ルール（20.5%）、設定ミス（0.5%）、あるいはDMARCレコードが完全に欠落していること（）、あるいはDMARCレコードが完全に欠落していること（21.3%）などが挙げられます。
MTA-STSのセキュリティ上の課題： トランスポート層の転送は、全米を通じて依然として大きな死角となっており、 98.5％が未導入に上る。導入されているのは フィンランドのドメインのうちわずか1.5％のみが のみが有効なMTA-STSポリシーを導入しており、トランジット通信は傍受の危険にさらされたままとなっている。
DNSSECの脆弱性： わずか 9.5％のみが有効化されている – 驚くべきことに 90.5％ものドメインが は、DNSSECが導入されていないため、DNSハイジャック、悪意のあるトラフィックのリダイレクト、キャッシュポイズニングの脅威にさらされている DNSSEC 保護が欠如しているために、DNSハイジャック、悪意のあるトラフィックのリダイレクト、およびキャッシュポイズニングの脅威にさらされています。
彼らは 金融詐欺 ネットワークから標的とされることが多いため、フィンランドの銀行機関は国内で最も厳格なDMARCルールの導入を進めていますが、トランスポート層には依然として重大な脆弱性が残っています。
| プロトコル指標 | 現在の状況 |
| SPFの精度 | 正解率95.1％（誤答率4.9％） |
| DMARC拒否ポリシー | 31.7%（全国トップ） |
| DMARCポリシー | 「検疫あり」が31.7％、「なし」が19.5％ |
| DMARCのギャップ | 17.1% の欠損レコード |
| MTA-STSの採用 | 2.4% 有効（97.6% 無担保） |
| DNSSECの採用 | 24.4% が有効（75.6% が無効） |
脆弱性の公開
銀行業界は、DNSSECの導入率（24.4％）と厳格なDMARCの適用率（31.7％が「Reject」、31.7％が「Quarantine」）の両方で全業界をリードしています。しかし、金融機関の5分の1近くは、依然として監視のみのパラメータに依存しているか、DMARCをまったく導入していません。特に重要なのは、 97.6％がMTA-STSを導入していない という事実が、トランザクション記録や重要な通信が、トランスポート層のダウングレード攻撃に対して極めて脆弱であることを意味しています。
データ保護規制が厳格化されている時代において、フィンランドの医療分野は、保護政策の執行が不十分なため、依然として標的となり続けている。
| プロトコル指標 | 現在の状況 |
| SPFの精度 | 93.0% 正解（7.0% 不正解） |
| DMARC拒否ポリシー | 16.9% |
| DMARCポリシー | 19.0% 検疫あり、45.9% なし |
| DMARCのギャップ | 17.8%が欠損データ、0.4%が誤り |
| MTA-STSの採用 | 0.8% 有効（99.2% 無担保） |
| DNSSECの採用 | 7.4% が有効（92.6% が無効） |
脆弱性の公開
医療分野では初期設定の実施率は高いものの、能動的な防御対策が不十分である。 45.9％のドメインが が「p=none」という受動的な状態に留まっており、 17.8％ がDMARCを導入していないため、医療機関はドメインなりすましに対して極めて脆弱な状態にあります。攻撃者は、セキュリティ対策が施されていないドメインを容易に迂回して、偽の請求書を送信したり、ネットワークを麻痺させるランサムウェアを仕掛けたりすることが可能です。
PowerDMARCの戦略
当社は、医療機関に対し、体系的な移行プロセスを通じて、 p=reject を積極的に実施するよう、体系的な移行プロセスを支援し、正当な送信メールの流れを妨げることなく、患者ケアに関する通信を保護します。
政府の公式ドメインは堅固な基盤が整っているものの、厳格なアクティブポリシーの導入に対して全般的に消極的な姿勢が見られるため、対外的な情報発信が脆弱な状態にさらされている。
| プロトコル指標 | 現在の状況 |
| SPFの精度 | 95.1%が正解（4.1%が不正解、0.8%が記録なし） |
| DMARC拒否ポリシー | 23.0% |
| DMARCポリシー | 13.9%が隔離、45.1%がなし |
| DMARCのギャップ | 17.2% が欠損データ、0.8% が誤り |
| MTA-STSの採用 | 0.8% 有効（99.2% 無担保） |
| DNSSECの採用 | 11.5% 有効（88.5% 無効） |
脆弱性の公開
政府機関のドメインの23.0％がなりすましメールを積極的に拒否している一方で、かなりの 45.1％ は「監視のみ（p=none）」に依存しており、 17.2％ はレコードが全く存在しない。この脆弱な防御体制により、攻撃者は政府機関を装うことが可能となり、税務詐欺、市民を標的としたフィッシング、認証情報の収集などが容易になっている。
PowerDMARCの戦略
当社のマルチテナント型ポータルを利用することで、中央政府機関は 政府向けのDMARC を、単一のコントロールパネルから、各省庁の多様なサブドメインにわたって容易に監視、管理、および適用することができます。
学術機関は、学生の個人情報や研究に関する知的財産権に関する膨大なデータベースを管理しているが、脅威を遮断するよりも、脅威を監視することに強い傾向を示している。
| プロトコル指標 | 現在の状況 |
| SPFの精度 | 96.8% 正解（3.2% 不正解） |
| DMARC拒否ポリシー | 3.2%（業界最低水準） |
| DMARCポリシー | 22.6%が隔離措置、56.5%が措置なし |
| DMARCのギャップ | 17.7% の欠損レコード |
| MTA-STSの採用 | 0.0% 有効（100.0% 無担保） |
| DNSSECの採用 | 9.7% が有効（90.3% が無効） |
脆弱性の公開
SPFの精度は高いにもかかわらず、フィンランドの教育分野では、その実施状況に重大なギャップがあり、その割合はわずか 3.2％ という低い不適合率と 56.5％ のドメインが「p=none」の状態のまま放置されています。これにより、詐欺師は学校のドメインを偽装し、学生や教職員に対して認証情報を収集するリンクや不正な決済ポータルを送りつけることが可能になっています。
PowerDMARCの戦略
大学のネットワークでは、しばしば 10回のDNSルックアップ制限 を超えてしまうことがよくあります。 PowerSPFの のフラット化機能は、設定を自動的に圧縮し、正当な通信がSPFチェックに失敗しないことを保証します。
フィンランドの重要なエネルギー部門は、クリーンなベースライン実績を打ち立てたものの、輸送層における輸送経路の確保には至らなかった。
| プロトコル指標 | 現在の状況 |
| SPFの精度 | 96.8% 正解（3.2% 不正解） |
| DMARC拒否ポリシー | 25.8% |
| DMARCポリシー | 25.8%が検疫対象、32.3%が対象外 |
| DMARCのギャップ | 15.0% が欠落データ、1.1% が誤り |
| MTA-STSの採用 | 4.3% 有効（95.7% 無担保） |
| DNSSECの採用 | 6.5% が有効（93.5% が無効） |
脆弱性の公開
以上 15.0％ のエネルギーネットワークではDMARCが完全に導入されておらず、 32.3% はp=noneの状態にある。この脆弱性に加え、 95.7%のMTA-STS未導入が相まって、このセクターは、重要インフラを標的としたサプライチェーン型スピアフィッシングやビジネスメール詐欺（BEC）キャンペーンに対して極めて脆弱な状態にある。
PowerDMARCの戦略
DMARCの適用と自動化されたMTA-STSホスティングを連携させることで、重要な業務用メールをドメインなりすましやトランスポート層での傍受から保護します。
メディア各社は一般市民から厚い信頼を得ているにもかかわらず、その認証体制は国内でも最も脆弱なものの一つである。
| プロトコル指標 | 現在の状況 |
| SPFの精度 | 正解率96.6％（誤答率3.4％） |
| DMARC拒否ポリシー | 2.7%（セクター内最低） |
| DMARCポリシー | 14.4%が隔離、51.4%がなし |
| DMARCのギャップ | 30.8%が欠損データ、0.7%が誤り |
| MTA-STSの採用 | 0.0% 有効（100.0% 無担保） |
| DNSSECの採用 | 3.4% が有効（96.6% が無効） |
脆弱性の公開
その割合は 30.8%のメディアドメインが がまったく設定されておらず、実に 2.7% という極めて低い拒否率、そして p=noneの場合、 が「p=なし」の状態にあり、この業界には甚大なセキュリティ上の脆弱性が存在します。攻撃者は、ニュースメディアを容易に装って誤情報を拡散したり、標的型詐欺を仕掛けたり、ジャーナリストの認証情報を盗み出したりすることが可能です。
PowerDMARCの戦略
当社は、メディア企業が以下の技術を導入できるよう支援しています 「メッセージ識別用ブランドインジケーター（BIMI）」の導入を支援し、送信者の真正性を視覚的に証明するため、検証済みの企業ロゴをユーザーの受信トレイ内に直接表示します。
フィンランドの通信事業者は、極めて複雑なネットワークを運用しているものの、プロトコルの設定ミスや、ポリシーの積極的な適用が行われていないという課題を抱えている。
| プロトコル指標 | 現在の状況 |
| SPFの精度 | 正解率96.6％（誤答率3.4％） |
| DMARC拒否ポリシー | 17.2% |
| DMARCポリシー | 23.3%が隔離、31.9%がなし |
| DMARCのギャップ | 27.2% が欠損データ、0.4% が誤り |
| MTA-STSの採用 | 2.6% 有効（97.4% 無担保） |
| DNSSECの採用 | 9.9% が有効（90.1% が無効） |
脆弱性の公開
通信事業者は、著しい 27.2％というDMARC適用漏れ率 に加え、 31.9% 受動的モニタリングへの依存度（p=なし）。攻撃者は、こうした規制が適用されていない経路を容易に悪用し、大手通信事業者を装ったフィッシングやSMS詐欺キャンペーンを実行することができる。
物流事業者は、迅速かつ自動化された通信に依存しているため、アクティブなブロッキング率は良好であるものの、安全な配信チャネルが不足している。
| プロトコル指標 | 現在の状況 |
| SPFの精度 | 正解率91.7％（誤答率8.3％） |
| DMARC拒否ポリシー | 12.5% |
| DMARCポリシー | 16.7%が隔離措置、58.3%が措置なし |
| DMARCのギャップ | 12.5% の欠落レコード |
| MTA-STSの採用 | 0.0% 有効（100.0% 無担保） |
| DNSSECの採用 | 12.5% 有効（87.5% 無効） |
脆弱性の公開
運輸部門の半数以上（58.3％）は、依然として監視のみのモード（p=なし）の状態にある。これに加え、 MTA-STSの欠如が100.0%が100.0%欠如していることとも相まって、物流チャネルは極めて脆弱な状態にある。攻撃者は電子メールのやり取りを乗っ取り、出荷マニフェストの変更、貨物の転送、あるいは請求指示の改ざんを行うことが可能である。
PowerDMARCの戦略
当社はB2B物流チャネルを保護し、受入出荷注文や自動請求記録が顧客の受信箱に届く前に検証を行っています。
フィンランドの現在の防御体制における主な欠点は、監視を対策そのものと見なしている点にある。現在、フィンランドのドメインの40.9％は、受動的な「p=none」のDMARC設定のまま放置されている。これにより、送信されるメールの流れを可視化することはできるが、防御機能は一切備わっておらず、企業のアイデンティティがなりすましの危険にさらされたままとなっている。
専門家の見識
「アクティブな強制措置への移行計画を立てずにDMARCを設定するのは、監視カメラを設置しておきながら施設のドアを全開にしておくようなものです。監視によって不正利用を把握することはできますが、厳格な『拒否』ポリシーに移行して初めて、脅威アクターがブランドの評判を悪用することを防ぐことができるのです。」
マイサム・アル・ラワティ、PowerDMARC CEO
専門家の見識
「現代のビジネスインフラでは、気づかないうちにSPFの10件という検索制限を超えてしまうことが驚くほど容易になっています。動的な SPFフラット化 を実装することは、プログラムによるレコードの最適化、フォーマットエラーの排除、そして重要な送信メールの配信率を守るために不可欠です。」
ユネス・タラダ、PowerDMARCサービス・デリバリー・マネージャー
フィンランドの組織がクラウドの利用規模を拡大し、サードパーティ製の請求管理システム、顧客関係管理（CRM）ソフトウェア、自動化マーケティングプラットフォームを統合するにつれ、SPFにハードコードされている「DNSルックアップ10回」という厳しい制限にすぐに直面することになります。この技術的な閾値を超えるとSPFチェックが無効となり、正当なビジネスメールが認証に失敗して、受信者のスパムフォルダに振り分けられてしまいます。
フィンランドのドメインの98.5％が MTA-STS 検証が行われていないため、この地域宛ての受信メールのほぼすべてが、機会主義的なTLS暗号化に完全に依存しています。この脆弱性により、ネットワークレベルの攻撃者は中間者攻撃（MiTM）によるダウングレード攻撃を実行し、安全な通信を暗号化されていない平文形式へと強制的に変更させ、容易に傍受できるようにしてしまう可能性があります。
専門家の見識
「機会主義的な暗号化は、トランスポートセキュリティにとって安全な戦略とは言えません。MTA-STSが強制的に適用されない場合、攻撃者は接続経路を容易にダウングレードさせ、企業の通信を傍受することが可能です。メッセージの完全性とプライバシーを保護するためには、厳格なトランスポート暗号化の導入が不可欠です。」
PowerDMARC、オペレーション＆デリバリー・シフト・リーダー、アヤン・ブイヤ
専門家の見識
「基幹ドメインレジストリが侵害されると、下流のアプリケーションのセキュリティ対策は機能しなくなります。DNSSECは、ユーザーが悪意のある偽サイトではなく、実際のサーバーにアクセスしていることを確認するために必要な暗号署名を提供します。」
アホナ・ルドラ、マーケティングマネージャー、PowerDMARC
フィンランドで分析対象となったドメインのうち、DNSSECを導入しているのはわずか9.5%であり、残りの90.5%はルーティング攻撃に対して脆弱な状態にある。ルートDNSレベルでの暗号による検証が行われない場合、攻撃者は DNSキャッシュポイズニング 攻撃を仕掛け、正当なWebや電子メールのトラフィックを悪意のある複製サーバーへリダイレクトすることが可能になります。
フィンランドは、SPFなどの初期段階の記録作成において極めて正確な基準を維持している一方で、積極的かつ強制力のある保護ポリシーの実施という点では、国際的な同業他国に比べて遅れをとっている。
| 国数 | SPF値 | DMARC 拒否 | MTA-STS | DNSSEC |
|---|---|---|---|---|
| フィンランド | 95.3% | 16.8% | 1.5% | 9.5% |
| フランス | 95.6% | 28.3% | 2.6% | 17.9% |
| スペイン | 97.0% | 18.0% | 0.8% | 10.4% |
| イタリア | 91.0% | 16.7% | 1.0% | 3.5% |
| ポーランド | 98.9% | 21.2% | 0.9% | 15.7% |
| オランダ | 70.0% | 23.2% | 0.9% | 37.7% |
| ブラジル | 92.1% | 20.7% | 0.7% | 21.9% |
| エクアドル | 96.1% | 24.9% | 1.4% | 4.8% |
| アメリカ | 95.7% | 49.0% | 1.7% | 18.0% |
| 英国 | 93.7% | 44.1% | 20.6% | 3.8% |
フィンランドのDMARCによるアクティブな拒否率（16.8％）は、フランス（28.3％）、オランダ（23.2％）、ポーランド（21.2％）、スペイン（18.0％）など、分析対象となった欧州諸国の大半を下回っています。イタリア（16.7％）とはほぼ同水準ですが、米国（49.0％）などのトップ国には大きく後れを取っています。
全体的な導入率は低いものの、フィンランドのMTA-STS準拠率は1.5％で、イタリア（1.0％）、ポーランド（0.9％）、スペイン（0.8％）、ブラジル（0.7％）といった近隣諸国を上回っている。しかし、世界トップの20.6％を記録している英国の数字に比べれば、その差は圧倒的である。
フィンランドのDNSSEC導入率（9.5％）は、イタリア（3.5％）やエクアドル（4.8％）を上回っています。しかし、ポーランド（15.7％）、フランス（17.9％）、オランダ（37.7％）といった同地域の基準値には及ばず、インフラの改善が明らかに求められる分野であることが浮き彫りになっています。
「フィンランドは、堅牢なSPFの基本設定を確立することで、セキュリティ対策の初期段階を無事に完了しました。しかし、監視のみの段階にとどまっていると、能動的な境界防御において重大な脆弱性が残ってしまいます。フィンランドの組織は技術的な能力を有していることを実証済みです。次の論理的なマイルストーンは、受動的な監視から、絶対的かつ自動化された「拒否」措置への移行です。」
セキュリティ上の脆弱性を解消し、国際ネットワーク全体における送信者の配信率を維持するためには、フィンランドの組織は以下の3つの主要な対策を優先的に実施する必要があります。
既存の設定を「監視のみ（p=none）」から「アクティブな強制適用（p=reject）」にアップグレードします。これにより、なりすましメッセージが受信者の受信箱に届く前にブロックされます。
自動化されたMTA-STSホスティングを導入し、受信トラフィックを改ざんや盗聴から保護します。
10件の制限を超えるDNSルックアップを排除します。動的なSPFフラット化を活用することで、正当な送信通信が常に正常に検証されるようになります。
当社のエンジニアリングチームは、対象となるフィンランドのドメインディレクトリ全体に対して、自動化されたDNSクエリ処理を実行しました。これらのクエリにより、既存のSPF、DMARC、MTA-STS、およびDNSSECの設定情報を取得・分析し、RFCで定義された仕様に照らして検証を行うことで、技術的な整合性とポリシーの強固さを評価しました。
対象ドメインのデータベースは、フィンランドの公式企業登録簿、公開情報、および業界別ディレクトリを用いて構築された。調査対象となった組織は、8つの主要な国内産業に分類された：
PowerDMARCのグローバルサイバーセキュリティデータセットに基づき、同一のDNS分析手法を用いて国際比較指標が作成されました。これにより、フィンランドの指標を、フランス、スペイン、イタリア、ポーランド、オランダ、ブラジル、エクアドル、米国、英国の標準化された国別指標と直接比較することが可能となります。
各セクターごとの脆弱性レベルは、フィンランドの各ドメインにおける4つの主要なセキュリティ指標を総合的に評価した結果に基づいています。
フィンランドの卓越した基盤構築実績は、同国のITチームが世界トップクラスの技術力を有していることを示しています。この課題の欠けている部分はスキルではなく、積極的な実施へと移行するための適切な自動化ツールと組織的な指針の欠如なのです。
自社のドメインを、攻撃を記録するだけで阻止する力を持たない単なる「傍観者」として機能させてはいけません。次の大規模な国境を越えたフィッシング攻撃の波が貴社の業界を標的にする前に、ブランドの評判を守り、組織をサービス中断から守り、重要なデジタル資産を保護してください。
PowerDMARCのチームにご連絡いただければ、ドメインのセキュリティを基本的な監視から完全な境界防御へとシームレスに強化することができます。
