なりすましメール対策を強化する金融機関、実効性はまだ26.7%に留まる現状

なりすましメール対策の進捗と課題

最近、GMOブランドセキュリティが実施した調査で、全国の銀行と信用金庫386行を対象に、なりすましメール対策技術の導入状況が明らかになりました。この調査によると、実際になりすましメールを遮断できている金融機関はわずか26.7%にとどまっています。これは驚くべき数字で、金融機関にとっては深刻な課題です。

調査の結果

調査対象の386行のうち、SPF（Sender Policy Framework）を設定しているのは309行（80.1%）、DMARC（Domain-based Message Authentication, Reporting & Conformance）を設定しているのは233行（60.4%）でした。これに対し、実際に遮断が可能な強制ポリシー（p=quarantine または p=reject）で運用しているのは103行（26.7%）だけです。この結果は、金融機関におけるなりすましメール対策が実効性に乏しいことを示しています。

特に興味深いのは、都市銀行では全ての行が強制ポリシーを適用している一方で、信用金庫ではわずか30行（11.8%）しか実施していない点です。このことから、信用金庫など地域密着型の金融機関では対策の遅れが見られることが明らかになりました。

SPFとDMARCの導入状況

SPFは送信元サーバーのIPアドレスを公開し、正しい場所から送られたメールかを判断する技術ですが、簡単に設定できる一方で、メールの転送時に認証に失敗しやすいという弱点があります。DMARCはさらに進んで、SPFやDKIM（DomainKeys Identified Mail）の認証結果を元にメールの処理方法を指示しますが、233行中過半数の130行（55.8%）が「監視のみ」の設定にとどまっており、なりすましメールを遮断できない状態です。

実行可能な強制ポリシーを設定しているのは全体の17.1%にあたる66行のみです。このからくりは、導入状況が十分ではあっても、その実効性には乖離があることを示しています。さらに、BIMI（Brand Indicators for Message Identification）によってメールのブランドロゴを表示させる制度の導入も進んでいますが、その実施率は51行（13.2%）であり、金融機関間での差が顕著です。

信用金庫の特殊な状況

金融機関の中でも特に信用金庫では、公式サイトとメール送信で異なるドメインを使用しているケースが目立ちます。257行の信用金庫のうち、およそ117行（45.9%）がこの不一致をやらかしており、利用者にとっては混乱を招く可能性があります。このような環境下では、DMARC強制ポリシーの適用とBIMIの活用が特に重要になってきます。

提言と今後の対策

GMOブランドセキュリティは、以下の提言を行います。まず、SPF・DMARCの早期整備を行い、未設定の金融機関は早急に対応が必要です。また、DMARCを「none」で運用している場合は、「quarantine」や「reject」への移行を検討するべきです。さらに、BIMIを導入し、正規の送信元を視覚的に伝えることで受信者の信頼を高めることも推奨されます。最後に、生活者へのメールリンクの注意喚起も重要で、公式なアプリやサイトからのアクセスを促す啓発活動が必要です。