DMARCポリシーは reject を推奨 ～「フィッシング対策ガイドライン 2026年度版」公開

　フィッシング対策協議会は6月1日、「フィッシング対策ガイドライン 2026年度版」を公開した。

　同ガイドラインは、フィッシングによる被害を受ける可能性のある利用者やWebサイト運営者が講じておくべき対策について、適切かつ有効であるという観点から選択・整理し、提示することを目的としたもの。

　総務省では2025年9月に「フィッシングメール対策の強化に関する要請」を公表し、日本証券業協会が10月に「インターネット取引における不正アクセス等防止に向けたガイドライン」を改定する等、フィッシング対策が個々の事業者の自主的な取り組みにとどまらず、業界横断的な枠組みの中で強化されつつある制度面での重要な動きも踏まえ、フィッシング対策協議会 技術・制度検討WGにおいて検討を重ね、改定を行っている。

　同ガイドラインでは、2025年度に項目構成の整理を行ったことを受け、2026年度版ではその枠組みを基礎として各項目の内容を精査・更新している。

　同ガイドラインでは重要5項目の一つとして、利用者等がフィッシングメールを判定可能にするためにはDMARC等の送信ドメイン認証技術を利用し、メールにおける送信者のドメイン名を詐称されないようにすることが対策の第一歩となるとし、DMARCポリシーの設定で「p=reject」（排除）を設定することを推奨している。

　また、送信ドメイン認証技術の導入によって、スマートフォン等でブランドのマークが表示される認証マーク証明書（VMC）やブランドアイコンが表示されるWebメールのサービスが利用可能となり、ドメイン名の知識のない利用者にも送信者が確認できるようになるため、同ガイドラインではこれらの導入も推奨している。