【銀行・信金386行を調査】なりすましメールを遮断できる金融機関は26.7%に留まる

　GMOインターネットグループのGMOブランドセキュリティ株式会社（代表取締役社長：中川 光昭、以下GMOブランドセキュリティ）は、全国の銀行および信用金庫、計386行が保有するドメインを対象に、なりすましメール対策技術である「SPF（※1）」「DMARC（※2）」および「BIMI（※3）」の導入・運用状況に関する調査を実施しました。その結果、なりすましメールを実際に遮断できる状態にある金融機関は26.7％に留まることが分かりました。

　銀行（131行）および信用金庫（255行）の計386行のうち、SPFを設定しているのは309行（80.1%）、DMARCを設定しているのは233行（60.4%）に上ります。一方で、なりすましメールを実際に遮断できる強制ポリシー（p=quarantine または p=reject）で運用しているのは103行（26.7%）に留まりました。対策の「導入」と「実効性」の間に乖離が見られます。
　また都市銀行では4行すべて（100%）がDMARCポリシーをp=rejectまで引き上げている一方で、信用金庫では30行（11.8%）に留まっています。
　さらに、メールの正当性をブランドロゴで可視化するBIMIを導入しているのは51行（13.2%）でした。都市銀行では4行すべてが導入済みである一方、信用金庫では255行中7行（2.7%）に留まっており、対策は進んでいる一方、実際に利用者を守れる状態にある金融機関は限定的であることが明らかになりました。

（※1）SPF（エスピーエフ）　送信元サーバーのIPアドレスをあらかじめ公開し、正しい場所から送られたメールかを判定する技術。導入が比較的容易な反面、メールが転送されると認証に失敗しやすいという弱点があります。
（※2）DMARC（ディーマーク）　SPF・DKIMの認証結果と送信元表示（Fromヘッダー）のドメインの一致を判定し、不一致時の処理（隔離・拒否等）を送信者が指示する仕組み。none（監視のみ）、quarantine（隔離）、reject（拒否）の3段階があり、なりすまし防止の要となります。
（※3）BIMI（ビミ）　DMARCと連携し、受信者のメールクライアント上に送信者の企業・組織ロゴを表示させる技術。視覚的にメールの正当性を示すことができます。

【調査結果のサマリー】

　なりすましメール対策は「SPF → DMARC → BIMI」の順に段階を上げていきます。SPFで送信元を明示し、DMARCで不正メールの処理方法を指示し、BIMIで正規メールであることを受信者に視覚的に示す、という積み上げの構造です。

1. 386行のうち、なりすましメールを実際に遮断できるのは103行（26.7%）

　調査対象386行のうち、DMARCの強制ポリシー（p=quarantine または p=reject）を適用しているのは103行（26.7%）でした。業態別に見ると、都市銀行は4行すべて（100.0%）、地方銀行は42行（68.9%）と高い水準にある一方、第二地方銀行は10行（29.4%）、信用金庫は30行（11.8%）に留まり、業態による差が大きく開いています。

2. DMARC設定済みでも過半数が「監視のみ」。設定しても遮断できていない実態

　DMARCを設定している233行のうち、過半数を超える130行（55.8%）が「p=none（監視のみ）」の設定に留まり、なりすましメールを遮断できない状態です。実効性のある「reject（拒否）」を設定しているのは調査対象全体の17.1%にあたる66行（DMARC設定済みの28.3%）、「quarantine（隔離）」は全体の9.6%にあたる37行（DMARC設定済みの9.6%）でした。DMARCを導入しながらも実効性のある設定に移行できていない金融機関が多数存在します。

3. BIMI導入は51行（13.2%）。業態間の差が最も大きい領域

　メールの正当性をブランドロゴで視覚的に示すBIMIのレコードを公開しているのは51行（13.2%）です。都市銀行は4行（100.0%）、ネット銀行等を含む「その他の銀行」は12行（63.2%）が導入している一方、信用金庫は7行（2.7%）、信託銀行は0行（0.0%）に留まります。
　BIMIレコードを公開する51行のうち50行（98.0%）はDMARCの強制ポリシーを併用しており、受信者側でロゴが表示され得る状態にありました。残る1行は調査対象ドメインでDMARCの設定が確認できず、BIMIが機能する前提を満たしていませんでした。BIMIは「設定すれば表示される」技術ではなく、DMARCの適切な運用が前提となります。

4. 77行がSPF未設定、153行がDMARC未設定。75行（19.4%）は双方が未設定の「高リスク」状態

　SPFを設定していない金融機関は77行（19.9%）、DMARCを設定していない金融機関は153行（39.6%）でした。このうちSPF・DMARC双方が未設定の金融機関は75行（19.4%）にのぼり、第三者がドメインを詐称したなりすましメールを容易に送信できる状態にあります。
　ただし、DMARCはSPFとDKIM（※4）のいずれかの認証が成立していれば判定が可能な仕組みであり、SPFが未設定であってもDKIMのみでDMARCを機能させている場合があります。実際に、SPFが未設定でありながらDMARCの設定が確認できた金融機関は2行（0.5%）あり、DKIMを前提とした運用が想定されます。したがって、より注意が必要なのはSPF・DMARC双方の設定が確認できない75行（19.4%）です。
　一方、SPFを設定している309行のうち78行（25.2%）はDMARCが未設定でした。SPFは不正な送信元を「検出」する技術であり、検出結果をどう扱うかを指示するDMARCがなければ遮断にはつながりません。加えて、SPFを設定している309行のうち、認証失敗時に受信を拒否させる「-all（ハードフェイル）」を指定しているのは49行（15.9%）に留まり、256行（82.8%）は認証に失敗してもメールを受け入れる余地を残す「~all（ソフトフェイル）」の設定でした。SPFの設定だけでは、なりすましメールの遮断には至らないことを示しています。
（※4）DKIM（ディーキム）　送信するメールに電子署名を付与し、受信側が公開鍵で検証することで改ざんや送信者の偽装を判定する技術。SPFと並ぶDMARCの認証基盤の一つですが、公開鍵を参照するためのセレクタ名が外部から特定できないため、インターネット上に公開された情報だけでは網羅的な調査ができません。

5. 信用金庫255行のうち117行は、公式サイトとメール送信で異なるドメインを使用

　信用金庫255行のうち117行（45.9%）は、公式サイトを業界共通ドメイン（shinkin.co.jp）配下で運用しながら、メール送信には各金庫独自のドメインを使用していました。生活者から見ると「ウェブサイトのドメイン」と「メールのドメイン」が一致しないため、ドメイン名を手がかりに正規のメールかどうかを判断することが難しい構造になっています。こうした環境では、送信側でのDMARC強制ポリシーの適用と、BIMIによるロゴ表示による識別性の確保が特に重要となります。

【考察と提言】

　今回の調査では、金融機関のなりすましメール対策が「導入は進んでいるが、実効性には至っていない」段階にあることが数字として明確になりました。SPFの設定は309行（80.1%）、DMARCの設定は233行（60.4%）と一定の水準に達している一方、実際に遮断効果を持つDMARC強制ポリシーの適用は103行（26.7%）に留まり、対策の「形式」と「実効性」の間に大きな乖離が存在します。特に信用金庫では強制ポリシーの適用が30行（11.8%）に留まり、地域に密着した金融サービスほど対策の遅れが目立つ結果となりました。
　銀行・信用金庫のドメインは、預金者・利用者が日常的に信頼して利用するものです。このドメインを悪用したなりすましメールは、口座情報の詐取や金銭被害のみならず、金融機関のブランドと信頼性を根底から損なうリスクがあります。もはやメールセキュリティは情報システム部門の課題に留まらず、金融機関のブランド価値や顧客との信頼関係を守るためにも、送信ドメイン認証は経営レベルで取り組むべき課題です。

　GMOブランドセキュリティは、金融機関に対して以下の対策を提言します。

1.    SPF・DMARCの早期整備と強制ポリシーへの移行　SPF・DMARCが未設定の金融機関は早期に設定を行うとともに、DMARCを「none」で運用している場合は、「quarantine（隔離）」または「reject（拒否）」への段階的な移行を推奨します。
2.    「企業ロゴ付きメール（BIMI）」の導入による信頼性の可視化　DMARCの適切な運用を前提に、「企業ロゴ付きメール（BIMI）」および「企業ロゴ所有証明書（VMC）」を導入することで、受信者に対し、正規の送信元からのメールであることを視覚的に伝えることが可能になります。
3.    生活者への適切なアクセスルートの啓発　生活者に対しては、メール内リンクではなく、公式アプリや正規サイトのブックマークなど、あらかじめ確認された経路からアクセスするよう促す啓発活動が重要です。特にフィッシング詐欺が増加する大型連休前には、注意喚起の強化が求められます。

【調査概要】

• 調査期間：2026年7月22日（水）
• 調査主体：GMOブランドセキュリティ株式会社
• 調査対象：全国386行（都市銀行4行・信託銀行13行・地方銀行61行・第二地方銀行34行・その他の銀行19行・信用金庫255行〈信金中央金庫を含む〉）が保有する公式ドメイン
• 調査方法：各金融機関の公式サイトのURLからドメインを抽出し（信用金庫については公式サイトが業界共通ドメイン配下にある場合はメール送信用ドメインを対象）、パブリックDNSを使用してDNS TXTレコード（SPF・DMARC・BIMI）を調査・集計
• 判定基準：実効的な対策の基準は、DMARC: p=reject（拒否）または p=quarantine（隔離）とした

【調査の背景】

　お盆休みなど大型連休は金融機関を装ったフィッシングメールが増える傾向があり、生活者が被害に遭いやすい時期です。
　銀行・信用金庫のドメインは、預金者・利用者が高い信頼を寄せるため、ひとたび悪用されれば甚大な被害につながりかねません。一方で、生活者がメールの見た目だけで真偽を見分けることは難しく、送信側での送信ドメイン認証による対策強化が求められています。
　しかし、業界全体でどの程度対策が進んでいるかは、生活者にも金融機関自身にも見えにくい状況にあります。そこでGMOブランドセキュリティは、全国の銀行および信用金庫386行を対象に調査を実施し、現状と課題を定量的に示すことにしました。

【GMOブランドセキュリティについて】（URL：https://brandsecurity.gmo）

　GMOブランドセキュリティは、”すべてのブランドにセキュリティを”というスローガンのもと、ブランド侵害リスクに対して、インターネットを中心に監視サービスや権利行使のサポートを提供しています。また、権利行使の前提となる商標やドメインネームの取得支援や管理サービスも提供しており、ワンストップでブランドを安心・安全な状態に導きます。
　GMOブランドセキュリティが提供するサービスは、国内を代表するグローバル企業をはじめ、2025年12月時点で約1,200社にご利用いただいています。