DMARC-vereisten in Japan: MIC, JSDA en de Anti-Phishing Council

Japan heeft een moeilijke periode achter de rug wat phishing betreft. In 2025 maakten criminelen gebruik van valse e-mails van effectenbedrijven om klantaccounts te kapen en ongeoorloofde transacties uit te voeren, waarop de toezichthouders snel ingrepen. In dit bericht worden de DMARC-vereisten in Japan toegelicht vanuit het perspectief van drie instanties: het Ministerie van Binnenlandse Zaken en Communicatie (MIC), de Japan Securities Dealers Association (JSDA) en de Anti-Phishing Council of Japan. U zult zien voor wie elk van deze instanties verantwoordelijk is, welk beleid zij verwachten en wat u vervolgens moet doen. DMARC (Domain-based Message Authentication, Reporting and Conformance) is een e-mailauthenticatieprotocol dat ontvangende servers aangeeft wat ze moeten doen met e-mails die de SPF- en DKIM-controles op uw domein niet doorstaan.

Waarom zet Japan zich in voor de handhaving van DMARC?

In april 2025 heeft de ministeriële bijeenkomst over misdaadbestrijding de „Alomvattende maatregelen ter bescherming van het publiek tegen fraude 2.0” aangenomen. Een van de genoemde maatregelen tegen frauduleuze e-mails en sms-berichten is de verdere invoering van authenticatie van het afzenderdomein, zoals DMARC. Dat is de beleidsachtergrond voor alles wat hieronder volgt.

De aanleiding waren effectenrekeningen. In de brief van MIC staat dat de aanvallers inloggegevens en wachtwoorden gebruikten die waren gestolen via phishing-e-mails waarin ze zich voordeden als echte effectenmakelaars, en vervolgens zonder toestemming transacties uitvoerden via de rekeningen van klanten. De Anti-Phishing Council of Japan schatte de schade als gevolg van deze ongeoorloofde transacties in 2025 op ongeveer 739,3 miljard yen in haar Phishing Report 2026. In hetzelfde rapport werden 2.454.297 meldingen van phishing geregistreerd voor 2025, een recordaantal en ongeveer 1,43 keer zoveel als het totaal in 2024.

MIC noemt nog een tweede reden. Generatieve AI kan tegenwoordig op grote schaal natuurlijk klinkend Japans genereren, waardoor een phishing-e-mail niet langer te herkennen is aan onhandige formuleringen. Daardoor wordt het nog belangrijker om controles uit te voeren die de lezer zelf nooit hoeft te doen, zoals het verifiëren van de afzender. 

Voor de basisinformatie, zie waarom DMARC belangrijk is, en voor cijfers over de acceptatie, zie ons rapport over de acceptatie van DMARC en MTA-STS in Japan.

Verzoek van het MIC (Ministerie van Binnenlandse Zaken en Communicatie) inzake DMARC

Op wie is het MIC-verzoek van toepassing?

Op 1 september 2025 heeft het MIC een verzoekbrief (document 総基用第76号) verstuurd met als titel „Versterking van de maatregelen tegen phishing-e-mails”. Deze brief was gericht aan vier verenigingen: de Vereniging van Telecommunicatiebedrijven, de Vereniging voor Telecommunicatiediensten, de Japanse Vereniging van Internetproviders en de Japanse Federatie voor Kabeltelevisie. Het MIC heeft elk van deze verenigingen verzocht het verzoek door te geven aan hun aangesloten telecombedrijven en internetproviders. Gewone bedrijven worden niet rechtstreeks aangesproken.

In de brief wordt de juridische status ervan uiteengezet. De brief geldt als administratieve richtsnoer in de zin van artikel 2, punt 6, van de Wet op de administratieve procedure en is geen formele administratieve beschikking.

Wat vraagt het MIC?

MIC somt drie verzoeken op onder het kopje „Versterking van de maatregelen tegen phishing-e-mails”:

1. Betere e-mailfiltering. Verbeter de nauwkeurigheid van de filters, inclusief AI voor spamdetectie, en stel de filtersterkte zo in dat deze ook verfijndere phishing-aanvallen kan afweren.
2. DMARC aan beide kanten. Implementeer DMARC en stel een beleid in voor quarantaine of afwijzing. Verwerk e-mail aan de ontvangende kant volgens het DMARC-beleid van de afzender en verstuur DMARC-rapporten. MIC vraagt providers ook om actief rekening te houden met domeinreputatie, BIMI (Brand Indicators for Message Identification) en maatregelen tegen misbruik van relay-diensten.
3. Bewustwording bij gebruikers. Breng de anti-phishingdiensten die de provider al aanbiedt onder de aandacht bij een bredere groep gebruikers.

Er geldt ook een rapportageverplichting. Het MIC heeft de verenigingen gevraagd om de voortgang van hun leden te volgen van september 2025 tot eind augustus 2026 en om elke drie maanden, binnen een maand na afloop van die periode, verslag uit te brengen aan het ministerie. Die follow-upperiode is nu verstreken, dus houd de website van het MIC in de gaten voor verdere informatie.

JSDA (Japan Securities Dealers Association) DMARC-richtlijn

De Japan Securities Dealers Association (JSDA) DMARC-richtlijn is een reeks beveiligingsrichtlijnen die is opgesteld door de JSDA, de zelfregulerende instantie voor financiële instellingen in Japan, met als doel particuliere beleggers en financiële markten te beschermen tegen phishing, spoofing en ongeoorloofde toegang tot accounts via e-mail.

Door de integratie van DMARC in haar regelgevingskader, verplicht de JSDA effectenbedrijven om strenge normen voor domeinauthenticatieprotocollen toe te passen. Dit zorgt ervoor dat frauduleuze e-mails die beweren afkomstig te zijn van officiële effectenmakelaars, worden geblokkeerd voordat ze klanten bereiken. Het doel is te voorkomen dat kwaadwillende actoren inloggegevens en uitvoeringsrechten stelen.

Wat is er veranderd bij de herziening van de richtlijnen in oktober 2025?

De JSDA heeft op 15 oktober 2025 haar „Richtlijn ter voorkoming van ongeoorloofde toegang bij internethandel” herzien, en de herziening is diezelfde dag van kracht geworden. Als reden hiervoor wordt aangevoerd dat inloggegevens die via phishing en malware waren gestolen, niet alleen werden gebruikt voor illegale opnames, maar ook voor oneerlijke handelspraktijken.

Het DMARC-punt staat in het gedeelte over phishingpreventie, onder het niveau ‘Standaard’. JSDA definieert ‘Standaard’ als punten die leden moeten aanpakken, terwijl ‘Best Practice’ betrekking heeft op aanbevolen punten. In de tekst wordt bedrijven gevraagd om de domeinen te identificeren die zij gebruiken om e-mails naar klanten te sturen, DMARC op een geplande manier in te voeren, DMARC-rapporten te controleren en vervolgens het beleid zo in te stellen dat e-mails worden geweigerd. De tekst vermeldt een ingangsdatum, maar geen deadline voor het bereiken van de ‘weigeren’-status.

Andere standaardonderdelen in dezelfde rubriek zijn van belang voor e-mailteams:

• Beheer domeinen als onderdeel van het merk, inclusief de levenscyclus van domeinen en beveiligingsmaatregelen tegen ‘drop-catching’ en het overnemen van subdomeinen
• Verwijder phishing-websites die zich voordoen als het bedrijf
• Gebruik de gedeelde SMS-kortcode en maak deze bekend
• Vermijd het vermelden van inloglinks of URL’s voor het invoeren van wachtwoorden in e-mails en sms-berichten, tenzij er geen alternatief is

BIMI- en S/MIME-handtekeningen voor meldingsmails worden aangemerkt als ‘best practice’. Met dezelfde herziening wordt ook phishingbestendige meervoudige authenticatie (MFA), zoals passkeys of inloggen op basis van PKI, een standaardvereiste die standaard ingeschakeld moet zijn voor het inloggen, het opnemen van geld en het wijzigen van de bankrekening voor opnames.

Hoe staat het er nu voor bij effectenbedrijven?

Het onderzoek van TwoFive, dat op 21 mei 2026 werd gepubliceerd, had betrekking op 200 JSDA-lidbedrijven en 421 domeinen. Hieruit bleek dat 48,7% van die domeinen werd beschermd door een handhavingsbeleid (quarantaine of afwijzing), een stijging ten opzichte van 36,4% in november 2025. Bij de Nikkei 225-bedrijven bedroeg dit percentage 18,5%.

Het aandeel van bedrijven die DMARC op ten minste één domein hebben ingeschakeld, steeg van ongeveer 71,6% in mei 2025 naar ongeveer 77,6% in november 2025 en bedraagt nu ongeveer 81,0%. Het aantal domeinen dat een BIMI-certificaat (VMC of CMC) publiceert, steeg in zes maanden tijd van 5% naar 21%. TwoFive brengt deze stijging in verband met de golf van account-overnames en de herziening van de richtlijnen. Iets meer dan de helft van de domeinen van effectenbedrijven voldoet nog steeds niet aan de handhavingsvereisten.

Richtlijn van de Japanse Raad voor de bestrijding van phishing (フィッシング対策協議会)

De Raad heeft op 1 juni 2026 zijn Anti-Phishing-richtlijn (editie 2026) gepubliceerd. Authenticatie van het afzenderdomein, met DMARC als voorbeeld, is een van de vijf prioritaire punten. De richtlijn beveelt p=reject aan. Ook wordt aanbevolen om het merklogo weer te geven via een VMC (Verified Mark Certificate) en gebruik te maken van webmaildiensten die merksymbolen weergeven, zodat gebruikers de afzender kunnen herkennen zonder domeinnamen te hoeven lezen. DMARC verscheen voor het eerst in deze richtlijn in 2022.

Een gerelateerd punt uit de editie van 2026: gebruik dezelfde domeinnaam voor je website en voor het afzenderadres in e-mails aan gebruikers. De richtlijn is een aanbeveling. Er staat niets in dat BIMI verplicht stelt.

Het Phishingrapport 2026 van de Raad voegt hier een waarschuwing aan toe. In februari 2025 steeg het aandeel e-mails met een vervalste afzender tot ongeveer 69,0% van de meldingen, en bij die aanvallen werd gekozen voor domeinen met p=none of helemaal geen DMARC. Na oktober daalde het aandeel van dergelijke domeinen tot ongeveer 27,0%. Het rapport suggereert dat het MIC-verzoek van september aanvallers mogelijk heeft afgeschrikt van spoofing, en in december bestonden aanvallen die vanaf hun eigen domeinen werden verzonden en DMARC doorstonden uit ongeveer 75,3%.

De les is simpel. DMARC beschermt uw domein, niet de op uw domein lijkende domeinen die een aanvaller registreert. Het moet worden ingezet in combinatie met monitoring van uw merkdomein en op uw domein lijkende domeinen.

MIC versus JSDA versus Anti-Phishing Council: een vergelijking

Andere factoren: overheidsnormen en wereldwijde regels voor mailboxen

Drie andere bronnen wijzen in dezelfde richting. In februari 2023 hebben MIC, het Nationaal Politiebureau en het Ministerie van Economie, Handel en Industrie (METI) gezamenlijk creditcardmaatschappijen verzocht om DMARC in te zetten op elk domein dat zij aan gebruikers aanbieden, inclusief domeinen die geen e-mail versturen, en om een beleid te hanteren waarbij vervalste e-mail wordt geweigerd. Onze PCI DSS 4.0 DMARC-gids behandelt de financiële kant. De richtlijn van het Nationaal Centrum voor Incidentparaatheid en Strategie voor Cyberbeveiliging (NISC) voor de beveiligingsregels van overheidsinstanties noemt DMARC ook voor het verzenden en ontvangen, en in het concept voor het boekjaar 2023 werd instanties aangeraden niet te lang op p=none te blijven staan.

E-mailproviders hanteren lagere eisen. De regels van Gmail voor massale verzenders gelden voor verzenders die meer dan 5.000 berichten per dag versturen, en bij Outlook.com is de handhaving op 5 mei 2025 van start gegaan voor hetzelfde volume. Beide vereisen SPF, DKIM en DMARC, maar p=none is voldoende. Daarom voldoet p=none aan de regels van de e-mailproviders, maar voldoet het nog steeds niet aan de verwachtingen van de Japanse toezichthouders. 

Voor een algemeen overzicht, zie onze DMARC-vereistenhandleiding, en voor een lokaal voorbeeld: de invoering van DMARC bij Yahoo! JAPAN.

Stap voor stap: hoe voldoe je aan de DMARC-vereisten in Japan?

De procedure om tot een afwijzing (p=reject) te komen is altijd hetzelfde, ongeacht aan welke instantie je antwoordt. Onze DMARC-gids bevat alle details over de implementatie.

1. Maak een inventarisatie van alle domeinen en subdomeinen die zichtbaar zijn voor klanten. Houd hierbij ook rekening met geparkeerde domeinen en domeinen die nooit e-mail versturen. Dit is ook wat JSDA bedoelt met het identificeren van de domeinen van waaruit u e-mails naar klanten verstuurt.
2. Publiceer p=none met rua. Een startrecord ziet er als volgt uit v=DMARC1; p=none; rua=mailto:[email protected]. Laat de rapporten draaien totdat u alle legitieme afzenders kunt zien.
3. Zorg ervoor dat SPF en DKIM voor elke ESP en SaaS-tool op elkaar zijn afgestemd. Marketingplatforms, ticketingsystemen en factureringssystemen zorgen vaak voor verrassingen. Let op de SPF-limiet van 10 DNS-lookups, die in dit stadium al vaak wordt overschreden.
4. Naar quarantaine verplaatsen. RFC 9989, gepubliceerd in mei 2026, vervangt RFC 7489. Hierin is de pct-tag geschrapt en zijn t (voor testmodus), np (voor niet-bestaande subdomeinen) en psd (voor domeinen met een openbaar achtervoegsel) toegevoegd. Ontvangers passen deze wijzigingen in verschillende tempo's toe, dus controleer de rapporten na elke wijziging.
5. Voorstel tot verwerping. JSDA vraagt hierom na beoordeling van het rapport, en de Raad beveelt dit aan. Voer een DMARC-conformiteitscontrole voor en na de omschakeling.
6. Bescherm geparkeerde en niet-verzendende domeinen. Publiceer p=reject en een SPF-record van v=spf1 -all daarop, aangezien aanvallers graag misbruik maken van ongebruikte domeinen.
7. Voeg BIMI toe met een VMC of CMC. Voor BIMI is eerst een handhavingsbeleid nodig. JSDA noemt het een best practice en de Raad beveelt aan om het logo weer te geven.
8. Voeg MTA-STS toe. Geen van de drie instanties vraagt erom, maar het beschermt e-mail tijdens het transport en sluit goed aan bij DMARC.

PowerDMARC regelt al deze stappen via één platform. Het host uw DMARC-, SPF-, DKIM-, MTA-STS- en BIMI-records, zodat de meeste DNS-wijzigingen via het dashboard plaatsvinden, en het genereert geaggregeerde rapporten voor de rapportbeoordeling die JSDA verwacht. De DNS-tijdlijn toont recordwijzigingen in de loop van de tijd. DNS-overnamewaarschuwingen, beschikbaar bij Enterprise-abonnementen, controleren op loshangende NS-, MX-, CNAME- en A/AAAA-records en op de overname van SPF-subdomeinen, wat aansluit bij het subdomeinovername-item van JSDA. De e-mailbezorgbaarheidstester controleert de plaatsing in de inbox bij zes testproviders (Gmail, Outlook, Yahoo Mail, iCloud, AWS Mail en Zoho Mail). De DMARC AI Agent, die zich in de bètafase bevindt voor Basic- en Enterprise-gebruikers, beantwoordt authenticatievragen binnen het dashboard, en de MCP-server koppelt uw account aan AI-hosts zoals Claude Desktop, Cursor en Claude Code. Als u leveranciers vergelijkt, bekijk dan onze lijst met de beste DMARC-oplossingen in Japan en ons overzicht van DMARC-kosten en -prijzen in 2026.

Conclusie: Wat de DMARC-vereisten in Japan voor u betekenen

De DMARC-vereisten in Japan gaan allemaal in dezelfde richting, ook al verschilt hun juridische gewicht. Het MIC wil dat e-mails door alle providers en internetdienstverleners in quarantaine worden geplaatst of worden geweigerd, de JSDA wil dat effectenmakelaars e-mails weigeren, en de Raad beveelt aan dat iedereen die een merk te beschermen heeft, e-mails weigert. Als je nog steeds op p=none staat, begin dan met de inventarisatie en de rapportages.

Voer een gratis controle uit met onze Japanse DMARC-recordchecker of start een gratis proefperiode van 15 dagen met PowerDMARC. Lees voor een breder marktbeeld onze pagina over DMARC in Japan.

Veelgestelde vragen over DMARC-vereisten in Japan

Is DMARC in Japan wettelijk verplicht?

Geen van de drie documenten in dit bericht is een wet, en in geen enkel document worden boetes vastgesteld. De brief van MIC is een administratieve richtlijn, de tekst van JSDA is een richtlijn voor zelfregulering en de tekst van de Raad is een aanbeveling.

Geldt de MIC-aanvraag ook voor gewone bedrijven?

Niet direct. De brief wordt verstuurd naar vier verenigingen, gericht aan hun aangesloten providers, internetproviders en kabelexploitanten. Het gedeelte dat betrekking heeft op de ontvangende partij is voor jou nog steeds van belang, omdat die providers wordt gevraagd om actie te ondernemen op basis van het DMARC-beleid van de afzender, en een ontbrekend of p=none-record geeft hen geen aanleiding om actie te ondernemen.

Welk DMARC-beleid schrijft JSDA voor?

Weigeren. De richtlijn vraagt bedrijven om de e-maildomeinen van hun klanten in kaart te brengen, DMARC op een gestructureerde manier te implementeren, DMARC-rapporten te beoordelen en vervolgens het beleid in te stellen op ‘weigeren’.

Is er een deadline waarbinnen effectenbedrijven tot een afwijzing moeten komen?

De richtlijn is op 15 oktober 2025 in werking getreden en bevat geen aparte termijn voor afwijzing. Kijk op de website van de JSDA voor eventuele latere mededelingen.

Eist de Anti-Phishing Council dat BIMI wordt gebruikt?

Nee. In de richtlijn van 2026 wordt aanbevolen om het logo weer te geven via een VMC en via merkpictogrammen in webmail. De JSDA noemt BIMI als best practice, en het MIC vraagt providers om dit in overweging te nemen.

Wat gebeurt er als we bij p=none blijven?

Ontvangers bezorgen vervalste e-mails gewoon zoals altijd, omdat p=none alleen controleert. Je zou aan geen van de drie verwachtingen voldoen, en uit het rapport van de Raad bleek dat aanvallers de voorkeur gaven aan domeinen met p=none of zonder DMARC.