CyberSecurityAction

ソーシャルエンジニアリング2.0

銀行 国内386行のうちなりすましメール遮断できるのは26.7％のみ

GMOブランドセキュリティが銀行・信用金庫386行のドメインを調査。なりすましメールを実際に遮断できる状態の金融機関は全体の4分の1強にとどまり、フィッシング詐欺のリスクが高い実態が明らかになりました。

喜村 圭佑（編集責任者）更新 約5分

SHARE

XB!in
銀行 国内386行のうちなりすましメール遮断できるのは26.7％のみ

THREAT GAUGE算出基準

IMPACT（影響範囲）8.0
URGENCY（対応緊急度）7.5
EXPLOIT（悪用の容易さ）7.0

“金融機関名義のなりすましメールは攻撃者が容易に悪用でき、利用者への被害が広範に及ぶ”

01 · Overview

ニュースの概要

GMOブランドセキュリティ株式会社は2026年8月7日、国内の銀行・信用金庫386行を対象になりすましメール対策技術の導入状況を調査した結果を発表しました。なりすましメールを実際に「遮断」できる水準で運用できている金融機関は全体のわずか26.7％にとどまることがわかりました。

なりすましメール対策の代表的な技術として、送信ドメイン認証と呼ばれる仕組みがあります。「SPF」「DKIM」「DMARC」の3つが主な規格で、これらを組み合わせることで、自社のドメインを名乗った偽メールを受信側のメールサーバーが検知・拒否できるようになります。

特に重要なのが「DMARC」のポリシー設定です。DMARCには認証失敗時に何もしない「none（モニタリング）」、迷惑メールフォルダへ振り分ける「quarantine（隔離）」、完全に遮断する「reject（拒否）」の3段階があります。なりすましメールを実際に届かなくするには「reject」または「quarantine」に設定する必要がありますが、今回の調査ではこの水準に達している金融機関が全体の26.7％にすぎませんでした。

金融機関は銀行振込や口座管理など、利用者の重要な資産に直接かかわるサービスを提供しています。そのため、金融機関を名乗ったフィッシングメールは攻撃者にとって特に「効果的」な手口であり、対策が不十分なドメインはなりすましに悪用されやすい状態にあります。

技術的な設定が不完全であっても、利用者側でフィッシングを見抜くことは容易ではありません。送信元ドメインが本物と同一であっても、DMARCのrejectポリシーが設定されていなければ偽メールが届いてしまうためです。金融機関自身による対策強化が急務といえます。

調査対象
国内銀行・信用金庫 386行
遮断できている割合
26.7%（約4行に1行）
調査主体
GMOブランドセキュリティ株式会社
発表日
2026年8月7日
主要対策技術
SPF / DKIM / DMARC

出典: INTERNET Watch（2026年8月7日）、GMOブランドセキュリティ株式会社の調査発表をもとに作成

02 · Analysis

詳細な原因解説

なりすましメール対策が進まない背景には、設定の複雑さと運用負荷があります。SPF・DKIM・DMARCはそれぞれDNS（ドメインの住所録にあたる仕組み）上に設定が必要で、既存のメール送信システムやクラウドサービスとの整合性を確認しながら段階的に展開する必要があります。設定を誤ると正規のメールまで届かなくなるリスクがあるため、「none」のままにしている組織が多い傾向があります。

また、金融機関であっても情報システム部門の人員や専門知識には組織規模による差があります。大手銀行と比べて地域の信用金庫などでは、セキュリティ専門の担当者が少なく、メール認証の優先順位が上がりにくい実態があります。

さらに、DMARCはあくまで「受信側のサーバーが拒否する」仕組みであり、受信側も対応していなければ効果が限定的になります。この相互依存の構造が、対策の緊急性を実感しにくくしている一因と考えられます。規制当局や業界団体によるガイドラインの整備・周知が対策加速のカギを握っています。

03 · Action

今からできる主な対策

明日からすぐ

1週間以内

05 · Forecast

今後起こりうる展開と対策

Substitute（代替）：DMARCの段階移行

「設定が難しい」という障壁を下げる代替アプローチは何か？

「一気にrejectへ移行する」のではなく、まずnoneでモニタリング→quarantineで隔離→rejectで完全遮断という3段階の移行パスを採用することで、正規メールの誤遮断リスクを最小化しながら確実に対策を進められます。小規模な信用金庫でもマネジメントしやすい現実的な代替戦略です。

Combine（結合）：送信ドメイン認証の三位一体運用

SPF・DKIM・DMARCをバラバラに管理せず、一元的に組み合わせる方法は？

SPF・DKIM・DMARCはそれぞれ単独では不完全です。三つを組み合わせてDMARCを「仲裁者」として機能させることで初めてなりすまし遮断が実現します。さらにBIMI（ブランドロゴをメールに表示する規格）を追加すると、受信者の信頼感向上という副次的な効果も得られます。

Eliminate（排除）：設定の属人化を排除する

担当者交代でDMARC設定が形骸化するリスクをどう取り除くか？

DMARC設定はDNSの深部に埋まりがちで、担当者が変わると「なぜこの設定なのか」が引き継がれない問題があります。設定変更手順・レポート確認フロー・ポリシー変更の承認プロセスをドキュメント化し、定期的に棚卸しを行う運用体制を構築することで、属人的なリスクを排除できます。

フィードバックループ：報告がない＝問題がない、の誤解

なりすましメール被害が「見えにくい」構造はなぜ生まれるのか？

なりすましメールの被害を受けるのは金融機関の顧客であり、金融機関自身のシステムには直接の警告が届きません。「インシデント報告がない＝問題なし」という誤ったフィードバックループが、対策の優先順位を下げ続けます。DMARCレポートを導入することで、このループを「見えるインシデント」に変換する仕組みが作れます。

遅延効果：対策コストと被害発生のタイムラグ

今対策しないことのコストが見えにくい理由は何か？

なりすましメールによるフィッシング被害は、設定不備から数か月〜数年後に表面化することがあります。この長いタイムラグが「今すぐ対策しなくてもよい」という判断を生みます。しかし攻撃者は常にドメインをスキャンしており、DMARCポリシーがnoneの金融機関ドメインは「今この瞬間も」なりすましに利用可能な状態にあります。

システム境界：受信側の対応依存という構造的脆弱性

送信側だけで対策を完結できない理由と、それでも対策すべき理由は？

DMARCはあくまで受信側メールサーバーがポリシーを尊重して初めて効果を発揮します。一方、GmailやMicrosoft 365など主要プロバイダーはDMARCに対応しており、個人・法人の大多数のメールボックスをカバーしています。「完全ではないから意味がない」ではなく、「大多数の利用者を守れる」という視点で対策を評価すべきです。

金融機関が今すぐ取れる現実的な対策ステップ

まずはDMARCの「noneポリシー」でレポート受信を開始し、自社ドメインからの送信実態を可視化することが出発点です。レポートを分析することで、把握していない送信元システムや、なりすまし試行の有無が確認できます。

その後、レポートの内容をもとに全送信元を整理し、quarantine→rejectへと段階的にポリシーを強化します。この移行には数週間〜数か月かかりますが、各ステップで正規メールへの影響を確認しながら進めることがリスク低減の鍵です。

自社での対応が難しい場合は、DMARCマネージドサービスを提供するセキュリティベンダーへの委託も有効な選択肢です。特に専任担当者を置きにくい規模の信用金庫では、外部の専門サービスを活用することで、設定の正確性と継続的な運用を確保できます。

06 · AI Prompt

AI対策プロンプト

あなたは金融機関のサイバーセキュリティ担当者です。[組織名]（[組織種別]、従業員数[従業員規模]）のメールセキュリティ担当として、現在のなりすましメール対策の状況を評価し、改善計画を策定してください。 現在の設定状況： - SPF：[SPF設定状況] - DKIM：設定済み - DMARC：[DMARCポリシー] 以下の観点で、経営層向けの報告資料に使えるレベルで具体的にアドバイスしてください。 1. 現状のリスク評価（利用者・組織への影響） 2. DMARCをrejectポリシーへ移行するための3ステップロードマップ（期間の目安を含む） 3. 移行中に正規メールを誤遮断しないための注意点 4. 対策完了後の効果測定方法

プロンプトのカスタマイズ

以下を入力すると、上のプロンプトに反映されます。

自組織の名称（銀行名・信用金庫名など）

金融機関の種別

従業員数のおおよその規模

現在のSPFの設定状況

現在のDMARCポリシーの設定状態

キーワード

  • DMARC
  • なりすましメール
  • フィッシング対策
  • 送信ドメイン認証
  • 金融機関セキュリティ

SOURCES · 参考情報源