Wymogi dotyczące DMARC w Japonii: MIC, JSDA i Rada ds. Zwalczania Phishingu

Japonia przeżyła trudny okres związany z phishingiem. W 2025 roku przestępcy wykorzystali fałszywe wiadomości e-mail od firm maklerskich, aby przejąć konta klientów i przeprowadzić nieautoryzowane transakcje, co skłoniło organy regulacyjne do podjęcia szybkich działań. W tym wpisie wyjaśniono wymagania dotyczące protokołu DMARC obowiązujące w Japonii, określone przez trzy instytucje: Ministerstwo Spraw Wewnętrznych i Komunikacji (MIC), Japońskie Stowarzyszenie Maklerów Papierów Wartościowych (JSDA) oraz Japońską Radę ds. Zwalczania Phishingu. Dowiesz się, kogo obejmuje działalność każdej z tych instytucji, jakich zasad oczekują oraz jakie kroki należy podjąć. DMARC (Domain-based Message Authentication, Reporting and Conformance) to protokół uwierzytelniania wiadomości e-mail, który informuje serwery odbiorcze, jak postępować z wiadomościami, które nie przeszły kontroli SPF i DKIM w Twojej domenie.

Dlaczego Japonia dąży do egzekwowania standardu DMARC?

W kwietniu 2025 r. podczas posiedzenia ministerialnego poświęconego zwalczaniu przestępczości przyjęto dokument „Kompleksowe środki ochrony społeczeństwa przed oszustwami 2.0”. Jednym z wymienionych w nim działań mających na celu walkę z oszukańczymi wiadomościami e-mailowymi i SMS-ami jest dalsze wdrażanie mechanizmów uwierzytelniania domen nadawców, takich jak DMARC. Stanowi to kontekst polityczny dla wszystkich poniższych informacji.

Powodem były rachunki papierów wartościowych. Z pisma MIC wynika, że cyberprzestępcy wykorzystali identyfikatory logowania i hasła skradzione za pomocą wiadomości phishingowych podszywających się pod prawdziwe firmy maklerskie, a następnie bez upoważnienia dokonywali transakcji na rachunkach klientów. Japońska Rada ds. Zwalczania Phishingu w swoim raporcie „Phishing Report 2026” oszacowała straty wynikające z tych nieautoryzowanych transakcji w 2025 r. na około 739,3 mld jenów. W tym samym raporcie odnotowano 2 454 297 zgłoszeń dotyczących phishingu w 2025 r., co stanowi rekordową liczbę i jest około 1,43 razy większe niż łączna liczba zgłoszeń z 2024 r.

MIC podaje drugi powód. Generatywna sztuczna inteligencja potrafi obecnie generować naturalny język japoński na dużą skalę, więc niezręczne sformułowania nie pozwalają już rozpoznać wiadomości phishingowej. To sprawia, że większe znaczenie nabierają weryfikacje, których czytelnik nigdy nie musi przeprowadzać, takie jak uwierzytelnianie nadawcy. 

Podstawowe informacje znajdziesz w artykule dlaczego DMARC jest ważny, a dane dotyczące wdrożenia znajdziesz w naszym raport dotyczący wdrażania standardów DMARC i MTA-STS w Japonii.

Wniosek MIC (Ministerstwa Spraw Wewnętrznych i Komunikacji) dotyczący DMARC

Kogo dotyczy wniosek MIC?

1 września 2025 r. MIC wysłało pismo z prośbą (dokument 総基用第76号) zatytułowane „Wzmocnienie środków przeciwdziałania wiadomościom phishingowym”. Pismo zostało skierowane do czterech stowarzyszeń: Stowarzyszenia Operatorów Telekomunikacyjnych, Stowarzyszenia Usług Telekomunikacyjnych, Japońskiego Stowarzyszenia Dostawców Usług Internetowych oraz Japońskiej Federacji Telewizji Kablowej. MIC zwróciło się do każdego z nich z prośbą o przekazanie tej prośby swoim członkom – operatorom i dostawcom usług internetowych. Pismo nie jest skierowane bezpośrednio do zwykłych przedsiębiorstw.

W piśmie określono jego status prawny. Stanowi ono wytyczne administracyjne w rozumieniu art. 2 pkt 6 ustawy o postępowaniu administracyjnym i nie jest formalnym aktem administracyjnym.

O co prosi MIC?

MIC przedstawia trzy postulaty w ramach sekcji „Wzmocnienie środków przeciwdziałania wiadomościom phishingowym”:

1. Lepsze filtrowanie wiadomości e-mail. Popraw dokładność filtrowania, w tym wykorzystanie sztucznej inteligencji do wykrywania spamu, oraz dostosuj poziom filtrowania, aby system radził sobie z bardziej wyrafinowanymi atakami phishingowymi.
2. DMARC po obu stronach. Należy wdrożyć DMARC i ustawić politykę kwarantanny lub odrzucania. Po stronie odbiorczej należy przetwarzać wiadomości zgodnie z polityką DMARC nadawcy oraz wysyłać raporty DMARC. MIC zwraca się również do dostawców o aktywne uwzględnianie reputacji domeny, BIMI (Brand Indicators for Message Identification) oraz środków zapobiegających nadużyciom związanym z przekazywaniem wiadomości.
3. Świadomość użytkowników. Należy promować usługi przeciwdziałające phishingowi, które dostawca już oferuje, wśród szerszego grona użytkowników.

Obowiązuje również obowiązek składania sprawozdań. Ministerstwo Informacji i Komunikacji (MIC) zwróciło się do stowarzyszeń o monitorowanie postępów członków w okresie od września 2025 r. do końca sierpnia 2026 r. oraz o składanie co trzy miesiące sprawozdań do ministerstwa w ciągu miesiąca od zakończenia danego okresu. Okres ten już upłynął, więc prosimy śledzić stronę internetową MIC, aby dowiedzieć się, co będzie dalej.

Wytyczne JSDA (Japońskiego Stowarzyszenia Maklerów Papierów Wartościowych) dotyczące DMARC

Stowarzyszenie Japońskie Stowarzyszenie Maklerów Papierów Wartościowych (JSDA) Wytyczne DMARC to zbiór wytycznych dotyczących bezpieczeństwa opracowanych przez JSDA, organ samoregulacyjny zrzeszający firmy zajmujące się instrumentami finansowymi w Japonii, których celem jest ochrona inwestorów detalicznych i rynków finansowych przed atakami phishingowymi, spoofingiem oraz nieuprawnionym dostępem do kont za pośrednictwem poczty elektronicznej.

Dzięki wdrożeniu DMARC do swoich ram zgodności z przepisami, JSDA nakłada na firmy zajmujące się obrotem papierami wartościowymi obowiązek wdrożenia rygorystycznych standardów protokołów uwierzytelniania domen. Gwarantuje to, że fałszywe wiadomości e-mail podszywające się pod oficjalne firmy maklerskie są blokowane, zanim dotrą do klientów. Celem jest zapobieganie kradzieży danych logowania i uprawnień do wykonywania zleceń przez osoby o złych zamiarach.

Co się zmieniło w aktualizacji wytycznych z października 2025 roku?

W dniu 15 października 2025 r. organizacja JSDA zaktualizowała swoje „Wytyczne dotyczące zapobiegania nieuprawnionemu dostępowi w handlu internetowym”, a zmiany weszły w życie tego samego dnia. Jako powód podano fakt, że dane uwierzytelniające wykradzione w wyniku ataków phishingowych i złośliwego oprogramowania były wykorzystywane nie tylko do nielegalnych wypłat, ale także do nieuczciwego handlu.

Pozycja dotycząca DMARC znajduje się w sekcji poświęconej zapobieganiu phishingowi, w ramach poziomu „Standard”. JSDA definiuje poziom „Standard” jako elementy, którymi członkowie muszą się zająć, natomiast poziom „Najlepsze praktyki” obejmuje elementy zalecane. W treści dokumentu wzywa się firmy do zidentyfikowania domen, z których wysyłają wiadomości e-mail do klientów, wdrożenia DMARC w sposób zaplanowany, przeglądania raportów DMARC, a następnie skonfigurowania polityki tak, aby odrzucała wiadomości. W tekście podano datę wejścia w życie, ale nie określono terminu, w którym należy osiągnąć poziom odrzucania.

Inne standardowe elementy w tej samej sekcji mają znaczenie dla zespołów zajmujących się pocztą elektroniczną:

• Zarządzaj domenami jako częścią marki, w tym cyklem życia domen oraz zabezpieczeniami przed przejmowaniem wygasłych domen i przejęciem poddomen
• Zlikwidujcie strony phishingowe podszywające się pod tę firmę
• Skorzystaj ze wspólnego skróconego numeru SMS i opublikuj go
• Należy unikać umieszczania w wiadomościach e-mail i SMS-ach linków do logowania lub adresów URL służących do wprowadzania hasła, chyba że nie ma innego wyjścia

Podpisy BIMI i S/MIME w wiadomościach e-mail z powiadomieniami zostały wymienione jako najlepsze praktyki. W tej samej aktualizacji wprowadzono również odporne na phishing uwierzytelnianie wieloskładnikowe (MFA), takie jak klucze dostępu lub logowanie oparte na infrastrukturze PKI, jako standardowy element, który musi być domyślnie włączony podczas logowania, wypłat oraz zmian dotyczących bankowego konta wypłatowego.

Jaka jest obecnie sytuacja firm zajmujących się obrotem papierami wartościowymi?

Badanie przeprowadzone przez firmę TwoFive, opublikowane 21 maja 2026 r., objęło 200 firm członkowskich JSDA oraz 421 domen. Wynika z niego, że 48,7% tych domen było chronionych przez politykę egzekwowania (kwarantanna lub odrzucanie), co stanowi wzrost w porównaniu z 36,4% odnotowanym w listopadzie 2025 r. W przypadku spółek z indeksu Nikkei 225 odsetek ten wyniósł 18,5%.

Odsetek firm, które wdrożyły protokół DMARC przynajmniej w jednej domenie, wzrósł z około 71,6% w maju 2025 r. do około 77,6% w listopadzie 2025 r. i wynosi obecnie około 81,0%. Liczba domen publikujących certyfikat BIMI (VMC lub CMC) wzrosła w ciągu sześciu miesięcy z 5% do 21%. Firma TwoFive wiąże ten skok z falą przejęć kont oraz zmianą wytycznych. Nieco ponad połowa domen firm zajmujących się obrotem papierami wartościowymi nadal nie spełnia wymogów.

Wytyczne Japońskiej Rady ds. Zwalczania Phishingu (フィッシング対策協議会)

W dniu 1 czerwca 2026 r. Rada opublikowała wytyczne dotyczące przeciwdziałania phishingowi w wydaniu z 2026 r. Uwierzytelnianie domeny nadawcy, na przykład za pomocą protokołu DMARC, jest jednym z pięciu priorytetowych zagadnień. W wytycznych zaleca się ustawienie parametru p=reject. Zaleca się również wyświetlanie logo marki za pomocą certyfikatu VMC (Verified Mark Certificate) oraz korzystanie z usług poczty internetowej, które wyświetlają ikony marek, dzięki czemu użytkownicy mogą rozpoznać nadawcę bez konieczności odczytywania nazw domen. Protokół DMARC po raz pierwszy pojawił się w tych wytycznych w 2022 r.

Kolejna kwestia z wydania z 2026 roku: należy używać tej samej nazwy domeny zarówno dla strony internetowej, jak i dla adresu nadawcy w wiadomościach e-mail wysyłanych do użytkowników. Wytyczna ta ma charakter zalecenia. Żadna z jej części nie wymaga stosowania BIMI.

Raport Rady dotyczący phishingu z 2026 r. zawiera dodatkowe ostrzeżenie. W lutym 2025 r. odsetek wiadomości e-mail z fałszywym nadawcą wzrósł do około 69,0% zgłoszeń, a ataki te wykorzystywały domeny z parametrem p=none lub całkowicie pozbawione DMARC. Po październiku udział takich domen spadł do około 27,0%. Raport sugeruje, że wrześniowy wniosek MIC mógł zniechęcić atakujących do fałszowania adresów, a w grudniu ataki wysyłane z własnych domen i przechodzące weryfikację DMARC stanowiły około 75,3%.

Wniosek jest prosty. DMARC chroni Twoją domenę, a nie domeny podobne, które rejestruje osoba atakująca. Należy go stosować w połączeniu z monitorowaniem domen marki i domen podobnych.

MIC a JSDA a Rada ds. Zwalczania Phishingu: porównanie

Inne czynniki: normy rządowe i globalne zasady dotyczące skrzynek pocztowych

Trzy inne źródła wskazują na ten sam kierunek. W lutym 2023 r. MIC, Krajowa Agencja Policji oraz Ministerstwo Gospodarki, Handlu i Przemysłu (METI) wspólnie zwróciły się do operatorów kart kredytowych o wdrożenie protokołu DMARC we wszystkich domenach udostępnianych użytkownikom – w tym w domenach, które nie wysyłają wiadomości e-mail – oraz o stosowanie zasad odrzucających fałszywe wiadomości. Nasz Przewodnik PCI DSS 4.0 dotyczący protokołu DMARC omawia kwestie finansowe. Wytyczne Narodowego Centrum Gotowości na Incydenty i Strategii w zakresie Cyberbezpieczeństwa (NISC) dotyczące zasad bezpieczeństwa agencji rządowych również wymieniają protokół DMARC w kontekście wysyłania i odbierania wiadomości, a w projekcie na rok budżetowy 2023 zalecono agencjom, aby nie pozostawały zbyt długo przy ustawieniu p=none.

Dostawcy skrzynek pocztowych ustalili niższy próg. Zasady Gmaila dotyczące nadawców masowych mają zastosowanie do nadawców wysyłających ponad 5 000 wiadomości dziennie, a serwis Outlook.com zaczął egzekwować te zasady od 5 maja 2025 r. w przypadku takiej samej liczby wiadomości. Oba wymagają SPF, DKIM i DMARC, ale wystarczy ustawienie „p=none”. Dlatego właśnie ustawienie „p=none” spełnia wymagania skrzynek pocztowych, ale nadal nie odpowiada oczekiwaniom japońskich organów regulacyjnych. 

Aby zapoznać się z ogólnym obrazem sytuacji, zapraszamy do zapoznania się z naszym przewodnik po wymaganiach DMARC, a lokalny przykład można znaleźć na stronie wdrożenie DMARC przez Yahoo! JAPAN.

Jak krok po kroku spełnić wymagania DMARC w Japonii

Droga do uzyskania statusu „p=reject” jest taka sama niezależnie od tego, komu odpowiadasz. Nasz przewodnik po DMARC zawiera pełne informacje na temat wdrażania.

1. Należy sporządzić wykaz wszystkich domen i subdomen, z których korzystają klienci. Uwzględnij domeny zaparkowane oraz te, z których nigdy nie wysyłana jest poczta. To właśnie ma na myśli JSDA, mówiąc o identyfikacji domen, z których wysyłasz wiadomości e-mail do klientów.
2. Opublikuj p=none za pomocą rua. Rekord początkowy wygląda następująco: v=DMARC1; p=none; rua=mailto:[email protected]. Pozwól, aby raporty były generowane do momentu, aż pojawią się wszyscy legalni nadawcy.
3. Należy skonfigurować SPF i DKIM dla każdego dostawcy usług e-mailowych (ESP) i narzędzia SaaS. Platformy marketingowe, narzędzia do sprzedaży biletów i systemy rozliczeniowe to typowe źródła niespodzianek. Należy zwrócić uwagę na limit SPF wynoszący 10 zapytań DNS, który na tym etapie często przekracza dopuszczalne wartości.
4. Przejdź do kwarantanny. Dokument RFC 9989, opublikowany w maju 2026 r., zastąpił RFC 7489. Usunięto w nim znacznik „pct” i dodano „t” dla trybu testowego, „np” dla nieistniejących subdomen oraz „psd” dla domen z publicznym sufiksem. Odbiorcy wdrażają te zmiany w różnym tempie, dlatego po każdej zmianie należy sprawdzać raporty.
5. Wniosek o odrzucenie. JSDA zwraca się o to po przeanalizowaniu raportu, a Rada to zaleca. Przeprowadź sprawdź zgodność z DMARC przed i po zmianie.
6. Chroń domeny zaparkowane i nienadające wiadomości. Opublikuj p=reject oraz rekord SPF o treści v=spf1 -all , ponieważ atakujący lubią nieużywane domeny.
7. Dodaj BIMI za pomocą VMC lub CMC. Aby wdrożyć BIMI, należy najpierw ustanowić odpowiednią politykę. JSDA wymienia to jako najlepszą praktykę, a Rada zaleca wyświetlanie logo.
8. Dodaj MTA-STS. Żadna z tych trzech organizacji tego nie wymaga, ale chroni to pocztę podczas przesyłania i dobrze współdziała z DMARC.

PowerDMARC obsługuje te etapy z poziomu jednej platformy. Usługa ta hostuje rekordy DMARC, SPF, DKIM, MTA-STS i BIMI, dzięki czemu większość zmian w DNS odbywa się w panelu administracyjnym, a ponadto generuje zbiorcze raporty wymagane przez JSDA do celów weryfikacji. Oś czasu DNS pokazuje zmiany rekordów w czasie. Alerty o przejęciu DNS, dostępne w planach Enterprise, sprawdzają obecność wiszących rekordów NS, MX, CNAME oraz A/AAAA, a także przejęcia subdomen SPF, co pokrywa się z punktem dotyczącym przejęcia subdomen w wytycznych JSDA. Narzędzie Email Deliverability Tester sprawdza dostarczalność wiadomości do skrzynek odbiorczych u sześciu dostawców testowych (Gmail, Outlook, Yahoo Mail, iCloud, AWS Mail i Zoho Mail). Agent DMARC AI, dostępny w wersji beta dla użytkowników planów Basic i Enterprise, odpowiada na pytania dotyczące uwierzytelniania bezpośrednio w panelu sterowania, a serwer MCP łączy Twoje konto z hostami AI, takimi jak Claude Desktop, Cursor i Claude Code. Jeśli porównujesz dostawców, zapoznaj się z naszą listą najlepszych rozwiązań DMARC w Japonii oraz nasze zestawienie kosztów i cen DMARC w 2026 r..

Wniosek: Co oznaczają dla Ciebie wymogi DMARC obowiązujące w Japonii

Wymogi dotyczące protokołu DMARC w Japonii zmierzają w tym samym kierunku, choć mają różną moc prawną. MIC zaleca kwarantannę lub odrzucanie wiadomości przez wszystkich operatorów i dostawców usług internetowych, JSDA – odrzucanie przez firmy maklerskie, a Rada zaleca odrzucanie wszystkim podmiotom, które chcą chronić swoją markę. Jeśli nadal stosujesz ustawienie p=none, zacznij od sporządzenia wykazu i raportów.

Przeprowadź bezpłatną weryfikację za pomocą naszego narzędziem do sprawdzania rekordów DMARC w języku japońskim lub rozpocznij 15-dniowy bezpłatny okres próbny PowerDMARC. Aby uzyskać szerszy obraz sytuacji rynkowej, zapoznaj się z naszą stroną poświęconą DMARC w Japonii.

Często zadawane pytania dotyczące wymagań DMARC w Japonii

Czy stosowanie protokołu DMARC jest prawnie obowiązkowe w Japonii?

Żaden z trzech dokumentów wymienionych w tym poście nie ma mocy prawnej i żaden z nich nie określa wysokości kar. Pismo MIC stanowi wytyczne administracyjne, tekst JSDA jest wytyczną samoregulacyjną, a tekst Rady ma charakter zalecenia.

Czy wniosek MIC dotyczy zwykłych przedsiębiorstw?

Nie bezpośrednio. List jest kierowany do czterech stowarzyszeń w imieniu ich członków – operatorów telekomunikacyjnych, dostawców usług internetowych i operatorów kablowych. Część dotycząca odbiorców nadal ma dla Ciebie znaczenie, ponieważ dostawcy ci są proszeni o działanie zgodnie z zasadami DMARC nadawcy, a brak rekordu lub rekord „p=none” nie daje im żadnych podstaw do podjęcia działań.

Jakie zasady DMARC wymaga organizacja JSDA?

Odrzuć. Wytyczne zalecają firmom zidentyfikowanie domen e-mailowych swoich klientów, wdrożenie protokołu DMARC zgodnie z planem, przeanalizowanie raportów DMARC, a następnie skonfigurowanie polityki tak, aby odrzucała wiadomości.

Czy istnieje termin, w którym firmy zajmujące się obrotem papierami wartościowymi muszą podjąć decyzję o odrzuceniu?

Wytyczne weszły w życie 15 października 2025 r. i nie określają odrębnego terminu na zgłoszenie sprzeciwu. Prosimy o sprawdzanie strony internetowej JSDA pod kątem ewentualnych późniejszych ogłoszeń.

Czy Rada ds. Zwalczania Phishingu wymaga stosowania BIMI?

Nie. Wytyczne z 2026 r. zalecają wyświetlanie logo za pośrednictwem VMC oraz ikon marek w poczcie internetowej. JSDA wymienia BIMI jako najlepszą praktykę, a MIC zwraca się do dostawców o rozważenie tej opcji.

Co się stanie, jeśli pozostaniemy przy ustawieniu p=none?

Odbiorcy dostarczają sfałszowane wiadomości jak zwykle, ponieważ ustawienie p=none służy wyłącznie do monitorowania. Nie spełniłbyś żadnego z tych trzech oczekiwań, a raport Rady wykazał, że atakujący preferowali domeny z ustawieniem p=none lub bez DMARC.