ラテンアメリカのメールセキュリティ：2026年のLATAMにおけるDMARCおよびメール認証の現状
by
最終更新日:
8 読了時間：約8分
主なポイント
- PowerDMARCは、2026年にラテンアメリカ（LATAM）の5つの主要市場（ブラジル、メキシコ、アルゼンチン、エクアドル、ペルー）における電子メール認証を分析し、基本的な設定と実際の運用との間に重大な乖離があることを明らかにしました。
- 調査によると、SPFの設定率はかなり高い（86％～96％）ものの、真のDMARC適用率（p=reject）はわずか24.9％がピークとなっている。
- ラテンアメリカ全域において、通信の暗号化対策は事実上存在しておらず、その結果、社外へ送信されるビジネス用電子メールの約99％が傍受の危険にさらされています。
- メディア業界は、どの国においても一貫して最もパフォーマンスの低い業界であり、その結果、公共の通信チャネルはドメインスプーフィングに対して無防備な状態にある。
- エクアドルは、金融セクターの積極的な取り組みにより、DMARCの導入においてこの地域全体をリードしている一方、ブラジルは地域のDNSセキュリティ分野で圧倒的な優位性を示している。
2025年、ラテンアメリカではサイバー攻撃が前年比108％急増しました。現在、同地域で最も標的とされる市場はブラジルで、メキシコが僅差で2位につけています。現在、同地域の組織は週平均2,640件の攻撃に対処しています。
組織が自社のドメインをどの程度適切に防御しているかを把握するため、PowerDMARCは2026年の5つの主要市場（ブラジル、メキシコ、アルゼンチン、エクアドル、ペルー）における電子メール認証の導入状況を分析し、さらに2024年のチリに関する単独分析も実施しました。その結果、地域ごとに顕著な矛盾が明らかになりました。すなわち、基礎的な技術的基盤は堅固であるにもかかわらず、実際のセキュリティ対策の実施状況は危険なほど遅れているのです。 2026年に分析対象となったすべての市場において、Sender Policy Framework（SPF）の導入率は非常に高い（86％～96％）ものの、Domain-based Message Authentication, Reporting, and Conformance（DMARC）の適用率（p=reject）は、メキシコの16.2％という低水準からエクアドルの24.9％の範囲にとどまっています。 要するに、企業は自らの身元を証明しているものの、攻撃者によるなりすましを阻止できていないのです。
この包括的なガイドでは、これらの市場に共通する主要な脆弱性を詳しく解説しています。各セクターのヒートマップやコンプライアンス・ロードマップの全容については、「LATAMメールセキュリティレポート2026」の完全版をダウンロードしてください。
なぜラテンアメリカにおける電子メールのセキュリティは、絶え間ない攻撃にさらされているのか？
フィンテックの爆発的な成長、電子政府プラットフォームの拡大、クラウドの導入に後押しされ、ラテンアメリカ全域でデジタルトランスフォーメーションが急速に進んでいるため、防御対策の進化をはるかに上回るスピードでデジタル攻撃対象領域が拡大しています。このギャップにより、ラテンアメリカにおける電子メールセキュリティは、セキュリティ責任者にとって最優先課題となっています。
PowerDMARCが分析した市場には、以下の3つの構造的な脆弱性が共通して見られます：
- 多くの組織は、基礎となるレコードの設定には成功しているものの、厳格なDMARCポリシーの導入には至っていません。身元を明らかにしているにもかかわらず、ブランドなりすましの余地を残してしまっているのです。
- メール転送エージェントの厳格な転送セキュリティ（MTA-STS）は、この地域全体でほとんど導入されていない。
- コンプライアンス体制に一貫性がないため、国境や業界をまたいで執行状況にばらつきが生じている。
カスペルスキーのデータによると、アルゼンチンではフィッシング攻撃が前年比で44％急増した一方、メキシコの組織に対するサイバー攻撃の43％は、防御境界を突破することに成功している。
ラテンアメリカにおける電子メールセキュリティ：5カ国比較（2026年のデータ）
以下のベンチマークは、2026年コホートで分析対象となった5カ国におけるラテンアメリカの電子メールセキュリティの現状を示しています。この表にはチリは含まれていません。チリについては、2024年のデータセットが過去のものであり、テスト方法も異なるため、別途評価されています。
| 国数 | SPF値 | DMARC p=reject | MTA-STS | DNSSEC | LATAMランク（p=棄却） |
|---|---|---|---|---|---|
| エクアドル | 96.1% | 24.9% | 1.4% | 4.8% | #1：ラテンアメリカにおけるリーダー |
| ブラジル | 92.1% | 20.7% | 0.7% | 21.9% | #2: DNSSECのリーダー |
| ペルー | 86.1% | 17.9% | 0.6% | 4.6% | #3：SPF値が最も低い |
| アルゼンチン | 95.2% | 18.5% | 1.2% | 1.8% | #4: DNSSECの適用率が最も低い |
| メキシコ | 96.2% | 16.2% | 0.4% | 9.9% | #5：取り締まりが最も緩い |
主な調査結果：国別（2026年のデータ）
ブラジル：DNSSECのリーダー、メディア危機
ブラジルはラテンアメリカで最も標的とされる市場であるにもかかわらず、同国の組織のうち厳格なDMARC「p=reject」ポリシーを適用しているのはわずか20.7%にとどまっています。 明るい面としては、ドメインネームシステムセキュリティ拡張（DNSSEC）の導入率が21.9％と、同地域でトップであり、ポーランド（15.7％）や日本（16.4％）といった世界市場を上回っている。しかし、MTA-STSの導入率が0.7％にとどまっているため、事実上すべての電子メールトラフィックが転送中の傍受に対して脆弱なままである。
- 金融：執行拒否率が39.2％と国内で最も高いが、銀行セクター全体でMTA-STSの適用範囲に100％のギャップが生じている。
- 政府：DNSSECの導入率は57.3％という目覚ましい水準に達している（本調査の対象セクターの中で最高値）が、ドメインの53.7％は、脅威を完全にブロックするのではなく、より緩やかな「p=quarantine」ポリシーにとどまっている。
- メディア：メディア関連ドメインの41.8％という膨大な割合がDMARCレコードをまったく持っておらず、p=rejectを適用しているのはわずか6.4％にとどまっている。
より詳細な分析については、 『ブラジル DMARC 導入レポート 2026』で、より詳細な分析をご覧ください。
メキシコ：SPF値は最高、取り締まりは最低
メキシコは、ラテンアメリカにおける電子メールセキュリティの現状において大きな対照を示しています。SPF設定の正確性は96.2％と地域で最高水準を誇っている一方で、DMARCの適用率（p=reject）はわずか16.2％にとどまり、最下位となっています。また、分析対象となったドメインの34.9％がモニタリングモード（p=none）のままとなっています。
- 脅威レベル「高」：過去12か月間のピークサイクルにおいてランサムウェアの感染率が74％、境界防御の突破成功率が43％に達しているにもかかわらず、この緩慢な対策状況は依然として続いている。
- 金融：29.1％と他の地域セクターを上回っている（p=reject）が、依然として99％のMTA-STS赤字に苦しんでいる。
- 商用メールの露出状況：運輸セクターは9.5％で「p=reject」（うち28.6％がDMARC未導入）となっている一方、メディアセクターは5.2％で「p=reject」となり、31.1％が全く保護されていない。
全文を読む 『メキシコ DMARC 導入レポート 2026』の全文をご覧ください。
アルゼンチン：世界トップクラスのSPF、法執行における重大な不備
アルゼンチンのSPF導入率は95.2％と、米国と同水準であり、オーストラリアを上回っているため、基盤は整っている。しかし、p=rejectを適用しているのはわずか18.5％にとどまり、真のドメイン保護は著しく低下している。アルゼンチンのドメインのうち、合計56.9％がスプーフィング攻撃に対して完全に無防備な状態にある（p=noneが35.9％、DMARCレコードがないものが21.0％）。
- 医療：医療関連ドメインの52.2%が「p=none」の状態にあり、これは2026年コホートにおいて単一セクターとして最も高い「監視のみ」の露出率を示しており、さらにMTA-STSが0%であることも相まって、状況は深刻化している。
- DNSSECの普及率の低さ：アルゼンチンは、同地域で最も低い1.8％という国家レベルのDNSSEC普及率を示しており、政府および教育機関の普及率は0％にまで落ち込んでいる。
- 公共部門を標的とした攻撃：CERT.arは2024年に438件の重大なインシデントを記録し、そのうち61％が政府のインフラを明確な標的としていた。
詳細な分析については、全文の 『アルゼンチン DMARC 導入レポート 2026』の全文で、より詳細な分析をご覧ください。
エクアドル：LATAMの法執行のリーダー
エクアドルは、国内のDMARC適用率（p=reject）が24.9%に達し、この地域におけるDMARCのリーダーとしての地位を確立した。
- 金融：エクアドルの金融セクターにおけるコンプライアンス違反率は43.7％に達しており、これは分析対象となった全国の中で、単一セクターとして記録された執行指標としては最高値となっている。
- セクター別内訳：ヘルスケア分野は、わずか4.4％という極めて低い数値を示しており、これは現実とは正反対の状況である（p=棄却）。さらに、47.8％がDMARCレコードを全く保有しておらず、MTA-STSとDNSSECの採用率はともに0％である。
- 脅威の緊急度：Blind Eagle APTグループのような高度な脅威ベクトルは、この地域でターゲットを絞ったローカライズされたキャンペーンを積極的に展開している一方、この地域特有の生成AIを活用したフィッシングの誘引文により、受信者のクリック率が60％増加しています。
詳細な分析については、全文の 『エクアドル DMARC 導入レポート 2026』の全文で、より詳細な分析をご覧ください。
ペルー：基礎的導入率が最も低い
ペルーのSPF使用率は86.1％で、この地域で最も低く、メキシコやエクアドルより10ポイント下回っている。
- 多層的なリスク：国内のDMARC適用率（17.9％、p=reject）は技術的にはメキシコを上回っているものの、SPFレベルにおける根本的なエラーや不備により、ペルーのインフラ全体は極めて脆弱である。
- 暗号化の格差：暗号化および完全性に関する基準は、地域全体で横ばい傾向と一致している。MTA-STSは0.6%にとどまり、DNSSECは4.6%で伸び悩んでいる。
詳細な分析については、完全版である 『ペルー DMARC 導入レポート 2026』の全文で、より詳細な分析をご覧ください。
完全版をダウンロード 「LATAM Eメールセキュリティレポート 2026」 をダウンロードして、2026年の5カ国別の内訳をすべてご確認ください。
チリ特集：2024年の歴史的データ
- 調査方法に関する重要な注記：PowerDMARCによるチリの分析は、2024年2月に1,004のドメインから収集されたデータに基づいています。このデータには、最新のMTA-STSやDNSSECに関する内訳は含まれておらず、2026年のベンチマークと直接比較することはできません。
2024年2月時点で、チリは同地域の他国に比べて大幅に遅れをとっていた。チリのドメインの63.8％にはDMARCレコードが一切存在せず、厳格な「p=reject」ポリシーを適用していたのはわずか9.9％にとどまり、これはラテンアメリカで分析対象となった国々の中で最も低い適用率であった。SPFの導入率は70％だった。
- エネルギーセクターの成績が最も悪く、ドメインの77.4%がDMARCによる保護を全く受けていませんでした。メディアセクターもこれに続き、保護対象外の割合は74.6%でした。
- チリの銀行ドメインの半数以上（51.0％）は、金融業界における主要な標的であるにもかかわらず、DMARCによる保護がまったく施されていなかった。
- なお、このデータセットは、チリにおける主要な規制改正が行われる前のものです。法律第21.663号（サイバーセキュリティ基本法）は2025年3月に全面施行され、ラテンアメリカ初の国家サイバーセキュリティ専門機関である国家サイバーセキュリティ庁（ANCI）が設立されました。 この枠組みの下では、「重要インフラ事業者（OIV）」は、インシデント発生から3時間以内にCSIRT Nacionalへ報告することが法的に義務付けられています。こうした厳格なコンプライアンス要件により、2026年のチリの実際のセキュリティ環境は、大幅な改善が見られるものと予想されます。
PowerDMARCの チリ向けDMARCページをご覧ください。
各国比較：4つの主要な地域的傾向
ラテンアメリカにおける電子メールセキュリティの全体像を見ると、セキュリティ担当者が早急に対処すべき4つの紛れもない傾向が浮かび上がってきます。
1. SPF適用におけるパラドックス
多くの組織は、電子メール認証を戦略的な保護モデルではなく、一度設定すればそれで済むような作業として扱っています。2026年の対象グループ全体では、SPFの正確な設定率は86％から96％の範囲に及んでいますが、DMARCの適用率で最も高いのはエクアドルの24.9％であり、オーストラリアの46.7％といった国際的な基準値のほぼ半分にとどまっています。
2. MTA-STSは完全な死角である
大陸全体で、通信の暗号化対策が著しく遅れている。2026年のデータによると、どの国でも導入率は一桁にとどまっている。エクアドルが1.4％でトップ、次いでアルゼンチン（1.2％）、ブラジル（0.7％）、ペルー（0.6％）、メキシコ（0.4％）となっている。 ラテンアメリカから送信されるビジネス用電子メールの約99％は、転送時のセキュリティ対策が施されていない状態で送信されているため、中間者攻撃（MitM）やSMTPダウングレード攻撃が成功しても驚くべきことではない。
3. メディアは、あらゆる分野を通じて最も脆弱なセクターである
調査対象となったすべての市場において、メディア・エンターテインメント分野は、この地域における最も脆弱な分野となっている。
| 国数 | Media DMARC p=reject | メディアにDMARCレコードがありません |
|---|---|---|
| 🇦🇷 アルゼンチン | 2.7% | 35.8% |
| 🇲🇽 メキシコ | 5.2% | 31.1% |
| 🇧🇷 ブラジル | 6.4% | 41.8% |
| 🇪🇨 エクアドル | 6.5% | 46.8% |
| 🇨🇱 チリ (2024) | 該当なし | 74.6% |
ラテンアメリカのメディア各社は、依然としてドメインスプーフィングの脅威にさらされやすい状況にある。
4. DNSSECにおいて、ブラジルが特異な事例として浮上
ブラジルでは、地域トップの21.9％というDNSSEC導入率（政府部門での57.3％という導入率が大きく寄与している）を除けば、ラテンアメリカのDNSコアは依然としてほとんど保護されていない。アルゼンチンの全国的なDNSSEC導入率は1.8％にとどまり、政府部門と教育部門の両方で導入率が0％であることから、同国のデジタルサービスはDNSキャッシュポイズニングの脅威にさらされている。
各地域の規制環境の把握
- チリ：法律第21.663号（2025年3月）に基づき、ANCIは重要な国家インフラに対して強力な執行権限を行使しており、厳格な「インシデント発生から3時間以内の通報」という規則によって裏付けられている。法律第21.719号（LPPDデータ保護法）は2026年12月に全面施行される。
- ブラジル：国家データ保護庁（ANPD）は、LGPDを積極的に執行している。電子メールは主要なデータ伝送経路となっているため、ドメインのなりすましに起因するデータ漏洩が発生した場合、コンプライアンス上の重い責任が問われることになる。また、ブラジル中央銀行（BACEN）も、金融グループに対して並行して圧力をかけている。
- メキシコとアルゼンチン：メキシコはNOM-151を活用し、INAIによる監督体制を併用しているのに対し、アルゼンチンはAAIPによる執行を通じてLey 25.326を適用している。いずれの国も、電子メールの認証を具体的に義務付ける直接的な国家的な規定は設けていないものの、それぞれの枠組みにおいて、認証されていない電子メールは容認できない企業リスクとして扱われる傾向が強まっている。
- エクアドルとペルー：エクアドルでは、データ保護当局であるSPDPを通じてLOPDPを施行しており、一方、ペルーではANPDPを通じてLey 29733を適用し、SBSが銀行セクターの監督を追加で担っています。いずれの国も、現時点では電子メールの認証を直接義務付けてはいませんが、両国とも認証されていない電子メールをデータ保護上のリスクとみなしています。
- グローバルな要件：現地の法律に加え、Google、Yahoo、Microsoftが定めるグローバルな受信トレイプロバイダーの要件は、大量の国際メールを送信するすべての企業に適用されます。
ラテンアメリカの組織は今、何をすべきか？
今すぐできることは以下の通りです：
- 当社の DMARCレコードチェッカーなどの自動ツールを使用して、DMARC、SPF、およびDomainKeys Identified Mail（DKIM）プロ
- 厳格なDMARCポリシーを適用してください。メキシコ（34.9%）およびアルゼンチン（35.9%）のドメインの3分の1以上が、依然として「p=none」の状態にとどまっています。監視（p=none）から一時的な隔離（p=quarantine）へと体系的に移行し、最終的には「p=reject」を完全に適用することを目標としてください。
- MTA-STSをトランスポート層セキュリティ（TLS）レポート機能と併せて導入し、地域ごとの電子メールデータがダウングレード攻撃にさらされる原因となっている、導入率がほぼゼロという脆弱性を解消する。
- 医療やメディア業界において、インフラやベンダーとの関係を管理している場合は、直ちにリスク軽減策を講じてください。これらの業界は、どの国においても一貫して最も高いリスク要因を示しています。
- 当社の DMARC Analyzer を通じて、世界中の送信元を監視し、準拠状況を追跡し、なりすまし試みを迅速に特定します。
全16ページのセキュリティレポートを入手する
自社のドメインを、フィッシング攻撃者にとって格好の標的のままにしておいてはいけません。「LATAMメールセキュリティレポート2026：6カ国におけるDMARCとメール認証」の全文をダウンロードしてください。
よくあるご質問
なぜラテンアメリカにおける電子メールのセキュリティは、絶え間ない攻撃にさらされているのか？
フィンテックの爆発的な成長、電子政府の拡大、クラウドの急速な普及など、この地域における急速なデジタルトランスフォーメーションにより、企業のデジタル攻撃対象領域は、電子メールセキュリティ対策の進化をはるかに上回るスピードで拡大しました。その結果、この1年間で同地域におけるサイバー攻撃件数は108％急増しました。
2026年のLATAMメールセキュリティレポートで、最も注目されている主な課題は何ですか？
主な問題は、基本設定と実際のセキュリティ対策の間に深刻な隔たりがあることです。大多数の組織は、DMARCポリシーを「p=none」のままにしていたり、DMARC自体を設定していなかったりしています。
なぜ2024年のチリのデータは、2026年のベンチマークデータの他のデータとは別になっているのですか？
チリのデータセットは、2024年2月に、MTA-STSやDNSSECのデータを追跡しない別の手法を用いて収集されました。これは、チリの「サイバーセキュリティ基本法（Ley 21.663）」などの主要な国内規制が全面的に施行される以前の、より古いセキュリティ状況を反映しているため、2026年のデータと正確に比較することはできません。
どの産業分野が、ドメインのなりすましによるリスクが最も高いのでしょうか？
ラテンアメリカ全域において、メディアおよびヘルスケアの各セクターは一貫して最も低いパフォーマンスを示しています。メディア企業では、DMARC保護が適用されていない割合が最も高いケースが頻繁に見られます。一方、アルゼンチンのヘルスケア業界は、ドメインの52.2％が「p=none」ポリシーにより保護されていない状態にあることから、地域における深刻な問題点となっています。
ラテンアメリカの組織がドメインのセキュリティを確保するために、直ちにとるべき措置は何でしょうか？
組織はまず、DMARCレコードチェッカーを使用して外部監査を実施すべきです。その後、DMARCポリシーを監視モード（p=none）から強制モード（p=reject）へと積極的に移行させ、メール転送の暗号化を保護するためにMTA-STSを導入し、DMARCアナライザーを用いて継続的に監視を行う必要があります。
コンテンツスペシャリスト（勤務先： PowerDMARCの
ミレーナは、IT、サイバーセキュリティ、バーチャルイベントなどに関する魅力的なコンテンツ制作に7年以上の経験を持つ、熟練したライター兼コンテンツ制作者です。ニューヨーク大学アブダビ校、UWCチャイナ校、カレッジ・オブ・ヨーロッパなどの名門校を卒業。
最新記事 by Milena Baghdasaryan(全て見る)
- 職場におけるAI生産性ツールの暗部（そしてそれがあなたの受信トレイに与える影響） - 2026年7月17日
- 2026年の企業向けDMARCソリューションランキング：比較・レビュー - 2026年7月9日
- DKIM 鍵の長さ：1024、2048、4096の選び方 - 2026年7月9日
