「ドイツの小売・Eコマース業界におけるEメールセキュリティに関するレポート 2026」

ドイツの小売業界における228のドメインを対象とした電子メール認証体制の包括的な分析により、この業界は基礎は確立しているものの、防御体制が未整備であることが明らかになった。

ドイツは現在、フィッシング攻撃の標的となる国として世界で2番目に多く、 全世界の攻撃の14％を占めています。小売業界では、AIを活用したブランドなりすましや「クイッシング」が前例のない勢いで急増しており、サイバー犯罪によるドイツ経済への損失額は 2025年には2,890億ユーロと予測されています。フィッシングは、 成功した攻撃の90％以上 の成功した攻撃の90％以上において侵入経路となっており、高価値な顧客認証情報やサプライチェーンを標的としています。「拒否（reject）」ポリシーの導入は、これらのデジタル接点を保護し、消費者の信頼を維持するための主要な防御策です。PowerDMARCを活用することで、侵害が発生する前にこれらの脆弱性を確実に解消できます（PowerDMARC）。

レポート依頼 - ドイツの小売・Eコマースにおけるメールセキュリティ

「は必須項目

このフィールドは、検証のためのものであり、変更しないでおく必要があります。
名称*

世界中の企業や政府から信頼されています

コカ・コーラ
ラトガース大学
ティンストール
東芝
メルクグループ
タルパ・ネットワーク
クラウド・セキュリティ・アライアンス
OLXグループ
ヴァージン・オーストラリア
石油・ガス-当局
オーストラリア国立大学
バレー交通局
96.1%
SPFの採用
世界の小売業界の同業他社の中で最高
26.3%
P=執行拒否
ドメインの4分の1しか積極的にブロックしていない
3.1%
MTA-STS の使用方法
96.9%が格下げ攻撃の標的となっている

概要

ドイツの小売業界におけるメールセキュリティの概要

ドイツの小売業界は、重大な転換点に立っている。技術的な基盤は紛れもなく世界トップクラスだが、その運用面が危険なほど欠如している。

PowerDMARCは、ドイツの小売およびEコマース分野の228のドメインを対象に、メール認証の状況を分析しました。その結果、SPFの遵守率は96.1%と世界トップクラスである一方、脅威への積極的な対策においては世界の同業他社に後れを取っていることが明らかになりました。DMARCのp=rejectレベルに達しているドメインはわずか26.3%であり、96.9%のドメインでMTA-STSによる転送暗号化が欠如していることから、ドイツの小売業界は「受動的なリーダー」と言えます。つまり、世界トップクラスの基盤的な導入率がある一方で、対策の徹底という点で重大な欠如が見られるのです。.deドメインを標的としたAI駆動型のフィッシング攻撃が前年比で急増している現状において、監視と遮断の間のギャップがこれほど大きな代償を伴うことはかつてありませんでした。

主な調査結果：ドイツの小売業向けドメインの約47.4％（p=noneの設定があるドメイン（32.5％） とDMARCレコードがないドメイン（14.9％）を合わせたもの）は、なりすましやブランド偽装に対する有効な保護対策を一切講じていない。

脅威の状況

ドイツで深刻化する小売業界のセキュリティ危機

2025年から2026年にかけて、ドイツの小売業界はAIを活用したビジネスメール詐欺の主要な標的となりました。3つの脅威パターンが、攻撃対象領域を特徴づけています。

AIを活用したブランドなりすまし

AIによる自動化により、攻撃者は主要小売業者を模倣した、ピクセル単位で完璧なドイツ語の通知、DHLやUPSの配送通知、および請求書の訂正書を、産業規模で生成することが可能になります。

「ゴースト・シッピング」のトレンド

攻撃者は、高価値なサプライチェーン物流を横取りするために、小売業者のドメインを偽装するケースが増えています。詐欺メールの指示は、信頼できる送信者の評判を悪用して、貨物の配送先を変更させます。

規制の強化（BSIおよびNIS2）

EU全域でNIS2の施行が進む中、ドイツの小売企業は、電子メールセキュリティプロトコルの監視から積極的な実施へと移行するよう、法的圧力が高まっている。

.deドメイン名を標的とした攻撃

2025年から2026年にかけて発生したフィッシング事件では、.deドメインを直接なりすます手口が増加しており、ドイツの小売ブランドが高度ななりすまし攻撃の主な標的となっていることが明らかになった。

セクターの動向

ドイツの小売業ドメイン228件におけるメール認証の導入状況

分析対象となったすべての事業体を横断して状況を総括し、当該セクターの現状と課題を明確に把握する。

SPF値 96.1%
96.1%
DMARC p=reject 26.3%
26.3%
DMARC p=quarantine 25.9%
25.9%
DMARC p=none（監視のみ） 32.5%
32.5%
MTA-STS 有効 3.1%
3.1%
DNSSEC有効化済み 3.5%
3.5%
i
合計：p=none の 32.5% に、記録なしの 14.9% を加えると、現在、ドイツの小売ドメインの 47.4% が、スプーフィングに対する有効な保護対策を一切講じていないことになる。
DMARCポリシーの配布
26.3%
25.9%
32.5%
14.9%
0.4%
p=reject 26.3%
p=quarantine 25.9%
p=none 32.5%
記録なし 14.9%
間違っています 0.4%
15日間のトライアル開始

根本原因分析

ドイツのEコマースにおけるメール認証の課題

表面的な数字の背後には、ドイツの優れた技術的基盤がなぜ現実的な防護につながらなかったのかを説明する、4つの具体的な失敗要因がある。

弱点 01

47.4%

保護されていない

p=none「コンプライアンスの罠」

ドメインの32.5%は「監視のみ」モードに固定されており、攻撃をブロックするのではなく、単に監視しているに過ぎない。さらに、DMARCレコードを全く持たないドメインが14.9%あることを合わせると、この分野のほぼ半数が有効な防御策を講じていないことになる。p=none の設定でDMARCレコードを持つことは、可視性は提供しても、セキュリティは提供しない。

専門家の見識

「ドイツの小売業界はDMARCレコードの導入において目覚ましい進展を遂げていますが、導入しただけでは十分な保護にはなりません。p=noneに設定されたドメインは受動的な観察者に過ぎず、攻撃に関するデータを収集するだけで、それを阻止するための行動は一切起こしません。監視のみに留まっている日々は、犯罪者が貴社のブランドを自由になりすますことができる日が続くことを意味します。強制モードへの移行は技術的なリスクではありません。適切なプラットフォームがあれば、それは管理可能で測定可能なプロセスなのです。」

マイサム・アル・ラワティ、PowerDMARC CEO

POWERDMARC ソリューション

段階的な対応プロセス：正当なメールの流通を妨げることなく、p=none → p=quarantine → p=reject へと安全にエスカレーションする

直感的 DMARCレポート分析ツール 生のXMLを分かりやすいダッシュボードに変換し、組織が現状把握できないという障壁を取り除きます

PowerAlerts セキュリティチームになりすましの試みをリアルタイムで通知し、対策を講じるための運用上の緊急性を生み出す

専門家の見識

「ドイツの小売業者は、欧州でも屈指の高度なマーケティングおよびロジスティクス・スタックを運用していますが、その複雑さがSPFの信頼性を直接脅かしています。送信エコシステムに新たなSaaSツールが追加されるたびに、10件というルックアップ上限に一歩近づくことになります。積極的なSPF管理を行わなければ、小売業者は、自社の正当なトランザクションメールが拒否される一方で、それをなりすました攻撃者のメールは問題なく通過してしまうという、理不尽な状況に陥る可能性があります。」

ユネス・タラダ、PowerDMARCサービス・デリバリー・マネージャー

弱点 02

3.9%

SPFが不正

SPFの複雑さと10ルックアップ制限

小売業者がKlaviyo、SAP Emarsys、Salesforce Commerce Cloud、および決済ゲートウェイといった最新のクラウドスタックを導入するにつれ、RFC 7208で定義されている「10回のDNSルックアップ」という制限に頻繁に抵触するようになっています。その結果、正当な注文確認メールや発送通知が認証を通過できず、スパムフォルダに振り分けられたり、最悪の場合、顧客体験の最も重要な局面で完全に拒否されたりしてしまうのです。

POWERDMARC ソリューション

自動的にフラット化し、 SPFレコードを自動的に平坦化および最適化し、常にDNSルックアップ回数をRFC 7208の制限内に収めます

動的なSPF更新により、新たに追加されたクラウドサービスが、手動でのDNS編集やダウンタイムを必要とせずに即座に反映されます

SPFレコードが検索閾値に近づいた瞬間にチームへリアルタイムで通知され、事前の是正措置が可能になります

弱点 03

96.9%

MTA-STSレコードがありません

MTA-STS：暗号化の死角

ドイツの小売業界では、ドメインの96.9%がMTA-STSを導入しておらず、SMTPダウングレード攻撃に対して極めて高いリスクにさらされています。この攻撃では、攻撃者がメールサーバーを強制的にTLSを放棄させ、データを暗号化されていない平文で送信させます。標準のSTARTTLSは状況に応じて使用されるものであり、完全に回避される可能性があります。MTA-STSがなければ、こうした攻撃が検知されずに発生するのを防ぐ強制的な仕組みが存在せず、顧客の個人情報（PII）や取引データが転送中に脆弱な状態にさらされてしまいます。

専門家の見識

「機会主義的な暗号化は、誤った安心感を与えます。それは、攻撃者があなたの代わりに簡単に拒否できるようなハンドシェイクに過ぎないのです。MTA-STSによる厳格なTLSポリシーの適用がなければ、ネットワーク上に位置するいかなる攻撃者も、メール配信から暗号化を密かに解除することが可能です。注文データや顧客の認証情報を扱うドイツの小売業者にとって、これは抽象的なリスクではありません。これは、ほとんどの組織が自らが抱えていることさえ気づいていない、現実的なGDPR違反のリスクなのです。」

PowerDMARC、オペレーション＆デリバリー・シフト・リーダー、アヤン・ブイヤ

POWERDMARC ソリューション

ホスト型MTA-STS 数分でポリシーを展開可能。サーバーインフラは不要、技術的な手間もかかりません

すべての受信メールの転送をTLS 1.2以上の接続に強制し、SMTPダウングレード攻撃の経路を完全に排除します

PowerTLS-RPTは、MTA-STSポリシーの違反や傍受の試みに関するリアルタイムのレポートを提供します

専門家の見識

「DNSSECは、他のすべての要素を信頼できるものにするセキュリティ層です。SPF、DKIM、DMARCレコードの信頼性は、それらを提供するDNSインフラの信頼性に左右されます。DNSSECがなければ、攻撃者は認証を破る必要すらなく、単にリダイレクトするだけで済んでしまいます。ブランドの信頼が収益の核心となる業界において、DNSを無防備なままにしておくことは、金庫の扉を取り付けたのに床を開放したままにしておくようなものです。」

アホナ・ルドラ、マーケティングマネージャー、PowerDMARC

弱点 04

96.5%

DNSSEC無効

DNSSEC：基盤のギャップ

調査対象となったドイツの小売業ドメインのうち、DNSSECが有効化されているのはわずか3.5%に過ぎない。暗号化されたDNS検証が行われない場合、攻撃者はDNSキャッシュポイズニングやハイジャック攻撃を実行し、ユーザーを詐欺サイトに誘導したり、DNS層で電子メールの通信全体を傍受したり、あるいは任意のドメインになりすましたりすることが可能となる。これにより、その上に慎重に導入された他のあらゆる認証層を完全に迂回することになる。

POWERDMARC ソリューション

PowerDMARCのドメインアナライザーが DNSSEC ステータスを表示し、DNSの整合性におけるギャップを即座に可視化します

実践的な是正措置の指針は、組織がDNSプロバイダーと連携し、解決処理を中断させることなくDNSSEC署名を有効にするのに役立ちます

ゾーンレベルでDNSSEC署名の有効期限が切れたり、DNSレコードが改ざんされたりした場合、継続的な監視機能によりチームにアラートが通知されます

お問い合わせ

グローバル・ベンチマーキング

主な調査結果

データが示すこと

2026年のドイツの小売業界におけるメールセキュリティの実態を明らかにする4つの主な調査結果。

エリートSPF部門

ドイツはSPFの正確性を96.1%達成した。ドイツのDNS管理の実践は、電子メール認証の基盤となる世界的な基準を確立している。

執行の不備

ドイツの小売業者のうち、DMARCのp=reject設定を通じてなりすましメールを積極的にブロックしているのは4社に1社に過ぎない。DMARCの適用が任意のままである限り、世界水準のSPF基準を満たしているだけでは不十分である。

通信の暗号化におけるギャップ

ドイツの小売業界におけるメールインフラの96.9%にはMTA-STSレコードが存在せず、これにより受信メールはSMTPダウングレード攻撃に対して脆弱な状態にあります。顧客の個人情報や決済関連の通信は、転送中に強制的な暗号化が適用されないまま送信されています。

モニタリングの罠

ドメインの32%以上がDMARCレコードを導入しているものの、設定は依然として「p=none」のままであり、ブロック機能はまったく発揮されていません。フィッシング攻撃が前年比で急増している状況下において、監視のみという態勢は、実質的に攻撃者に対する受動的な譲歩に他なりません。

推奨される対応

小売業界向けメールセキュリティの推奨事項 2026

ドイツの小売企業向けの優先順位付けされた行動ロードマップ。緊急度と影響度に基づいて順序付けられています。

至急対応

DMARCのp=rejectにエスカレートする

p=none 設定の小売業者のうち 32.5% は、p=reject へ移行する必要があります。PowerDMARC のホスト型 DMARC プラットフォームは、監視から隔離、完全な拒否に至るまで、正当なメールの流通に一切の支障をきたすことなく、段階的な適用プロセスをガイド形式で提供します。これは、利用可能な対策の中で最も大きな効果をもたらす措置です。

至急対応

MTA-STS を導入する

96.9%に及ぶ通信暗号化のギャップを解消します。PowerMTA-STSは、すべての受信メールトラフィックにTLSを強制適用することで、SMTPダウングレード攻撃を排除します。顧客の個人識別情報（PII）や取引データを扱う小売業者にとって、これはセキュリティ上の要件であると同時に、GDPR準拠に向けた新たな要件でもあります。

短期

SPFの設定ミスを修正する

3.9%というSPF不一致率は、PowerSPFの「SPF Flattening」またはマクロ機能を活用して対処する必要があります。CRM、CDP、マーケティングオートメーションプラットフォームなどが追加され、小売業界の技術スタックが複雑化する中、SPFを積極的に管理することで、配信失敗や認証エラーを未然に防ぐことができます。

長期

ブランドの信頼性を高めるためにBIMIを導入しましょう

Eメールが依然として主要なコンバージョンチャネルである競争の激しい小売市場において、BIMIは、対応する受信トレイにおいて認証済みのEメールに、検証済みのブランドロゴを直接表示します。BIMIを導入した企業は、開封率や顧客によるブランド認知度の著しい向上を報告しています。

デモのご予約 お問い合わせ

結論

ドイツには土台がある。次は骨組みだ。

ドイツの小売業界は、電子メール認証の基盤において、真のグローバルリーダーとしての地位を確立しています。96.1%というSPFの正確性率は単なる幸運によるものではなく、厳格なDNSガバナンスと、技術標準の導入に対する成熟したアプローチを反映したものです。

しかし、AIを活用したフィッシング攻撃が急増し、ドイツの小売ブランドが直接なりすましの標的となっている脅威環境下において、強制力のない導入は、サイレンのない警報システムのようなものです。攻撃者のメールが送信され、ブランドは評判を傷つけられ、顧客は信頼を失うことになります。

「受動的なリーダー」から「強靭な防御者」へと至る道筋は明確です。DMARCを徹底し、MTA-STSのギャップを埋め、その堅固な基盤の上に認証スタックを構築していくことです。2026年のドイツの小売業界にとって、屋根を築くことはもはや選択の余地のない必須事項となっています。

ドイツは完璧な土台を築いた。その上の構造物は未完成のままだ。2026年、屋根を建てることはもはや選択の余地がない。

PowerDMARC 調査チーム

方法論

本レポートは、2026年に実施された、ドイツの小売およびEコマース関連ドメイン228件に対するPowerDMARCによる自動化されたDNSレベル分析に基づいています。認証レコード、SPF、DMARC、MTA-STS、およびDNSSECについて、プログラムによりクエリを実行し、スコア付けを行いました。すべての調査結果は、分析時点における公開DNSレコードの状態を表しています。 フィッシング攻撃の急増に関するデータは、2025年から2026年にかけてのPowerDMARCの脅威インテリジェンスおよびBSIのインシデント報告に基づいています。

DMARCの適用を始めましょう

PowerDMARCは、ドイツの小売企業に対し、正当なメールの配信に一切支障をきたすことなく、p=noneからp=rejectへの安全かつ段階的な移行を支援します。

15日間のトライアルデモを予約する