GMOブランドセキュリティ株式会社は8月7日、全国の銀行および信用金庫を対象とした「SPF」「DMARC」「BIMI」の導入・運用状況に関する調査結果を発表した。
同レポートは、全国386行（都市銀行4行・信託銀行13行・地方銀行61行・第二地方銀行34行・その他の銀行19行・信用金庫255行）が保有する公式ドメインを対象に、なりすましメール対策技術である「SPF」「DMARC」「BIMI」の導入・運用状況について調査した結果をまとめたもの。
同レポートによると、調査対象386行のうち、DMARCの強制ポリシー（p=quarantine または p=reject）を適用しているのは103行（26.7%）であった。業態別に見ると、都市銀行は4行すべて（100.0%）、地方銀行は42行（68.9%）と高い水準にある一方で、第二地方銀行は10行（29.4%）、信用金庫は30行（11.8%）に留まり、業態による差が大きく開いていた。
DMARCを設定している233行のうち、過半数を超える130行（55.8%）が「p=none（監視のみ）」の設定に留まり、なりすましメールを遮断できない状態であることが明らかになった。実効性のある「reject（拒否）」を設定しているのは調査対象全体の17.1%にあたる66行（DMARC設定済みの28.3%）、「quarantine（隔離）」は全体の9.6%にあたる37行（DMARC設定済みの9.6%）であった。
メールの正当性をブランドロゴで視覚的に示すBIMIのレコードを公開しているのは51行（13.2%）で、業態別に見ると都市銀行は4行（100.0%）、ネット銀行等を含む「その他の銀行」は12行（63.2%）が導入している一方で、信用金庫は7行（2.7%）、信託銀行は0行（0.0%）に留まっていた。
BIMIレコードを公開する51行のうち50行（98.0%）はDMARCの強制ポリシーを併用しており、受信者側でロゴが表示され得る状態でった。残る1行は調査対象ドメインでDMARCの設定が確認できず、BIMIが機能する前提を満たしておらず、BIMIは「設定すれば表示される」技術ではなく、DMARCの適切な運用が前提となることを指摘している。
