日経225の過半数がDMARC導入、半年で12社増 ～ TwoFive調査

　株式会社TwoFiveは11月10日、⽇経225企業のDMARC導⼊状況についての調査結果を発表した。

　DMARCは、メール送信元のドメインが詐称された偽物でないか、信頼できるかを判断するために、送信者と受信者が連携してなりすましメールに対抗する認証技術。同調査は2022年11月に、日経225企業が管理・運用する5,047ドメインについて「DMARCを導入しているかどうか」「DMARCのポリシー設定状況」「DMARCレポート先（ruaタグ、rufタグ）の指定状況」を調べたもので、前回（2022年2⽉・5⽉調査）に続き第2回となる。

　調査結果によると、2022年11月時点で全225社のうち124社（55.1％）、5,047ドメインのうち932ドメイン（18.5％）がDMARCを導入しており、5月の調査結果と比較すると、約半年で12社、276ドメインでDMARCを新規に導入している。

　なりすましと判定された場合の取り扱いを定めるDMARCポリシーについて、何もしないで受け取る「none」の増加が顕著であるのに対し、強制⼒のあるポリシーであるquarantine（隔離）やreject（拒否）の増加は緩やかで、現時点で全体の約30％となっている。

　「none」設定では、DMARCの認証に失敗したメッセージに対し受信サーバは何もしないが、受信メールサーバは認証結果の統計情報をレポートとして送信するため、⾃社ドメインになりすましている送信者を特定する情報が収集できる。またDMARCレポートでは、社員による想定しないメールの送信や意図しない経路でのメール送信が発⾒できるなど、メールの使われ⽅の可視化に活⽤できる。

　DMARC導⼊はドメイン数ベースでは増加しているが、DMARCレポートを受け取る設定「ruaタグ」「rufタグ」はいずれも未指定が多く、設定しているドメインの11⽉の割合は減少している。　

　株式会社TwoFive 開発マネージャー 加瀬 正樹 氏は本誌の取材に応え、DMARCレポートを受け取る「ruaタグ」「rufタグ」が未指定の理由として「大企業はサブドメインを多く運用していて、そこでは rua タグを指定しないケースも多かったため、ドメインベースでの rua タグ未指定の割合が高かった」可能性、及び「日経225の中にはISPのドメインが含まれており、そのサービスドメインでDMARCを導入しているものの rua タグが未指定のサブドメインが多く見られたため、同様に割合が高かった」ふたつを挙げた。