
3人の専門家が語る! DMARCは導入から“活用”へ。 DMARC運用のリアルとBIMI導入のメリットとは
Gmailのガイドライン強化をきっかけに、一挙に関心が高まったDMARC。今では多くの企業がDMARC対応を推進しています。一方、DMARCを導入後、どのように運用していくべきか悩んでいる担当者も多いと思います。そこでベアメールでは2025年6月に「DMARC設定だけじゃ意味がない! BIMI/VMC導入のメリットと効果」と題したウェビナーを開催。DMARC運用、そしてその先にあるBIMI導入のメリットについて3人の専門家が語りました。
1.なぜメールセキュリティ対策が必要なのか? 登壇者:森下 源一
メールセキュリティ対策が必要な背景
Gmailの新ガイドラインでは、すべての送信者に「送信元ドメインにSPFまたはDKIMメール認証の設定」が求められています。さらに1日にあたり5,000件を超える送信をする事業者については、DMARCの導入が必須となりました。
DMARCを導入することで、SPFやDKIMといった認証に加えて、メールソフト上で表示される差出人ドメインに対する認証を行うので、なりすましメールを判定できるようになります。なりすましメールと判定されたメールをどのように扱うかは、ドメインを管理する事業者が指示できます。その指示には「none(何もしない)」「quarantine(隔離)」「reject(拒否)」の3段階があります。これをDMARCポリシーと呼び、2024年2月から適用が始まったGmailの新ガイドラインでは今のところポリシーはnoneで問題ないとなっていますが、2023年に総務省、警視庁、経済産業省が出した「クレジットカード会社などに対するフィッシング対策強化の要請」では、ポリシーをrejectに設定することと記載されています。
DMARC対応を進めないと起こる問題
ニュースになったのでご存じの方も多いと思いますが、2024年に神奈川の公立高校入試のインターネット出願システムで、Gmailを使用している受験生にメールが届かないトラブルが発生しました。これはメールを送信するシステム側の設定不備により、Gmail側が迷惑メールと判断したことが原因と考えられています。このように、Gmail宛のメールが届かない事態はすでに発生しています。
DMARCの導入を求める動きは、日本国内の他のプロバイダも追随しています。今後は、Gmail宛てだけに限らず、それ以外のプロバイダ宛のメールも届かなくなる可能性があります。
なりすましメールは、なりすましをされている企業のブランドイメージにも影響します。日本データ通信協会の迷惑メール相談センターでは、どういったメールが送られているのかを社名入りで公表しています。消費者への注意喚起のためではあるものの、なりすましをされている企業として名前が挙がるのは、マイナスイメージにつながってしまいます。
マーケティング視点での問題点
B to Bビジネスを展開している企業は、Gmail宛にメールを送ることが少ないため、今のところ影響は感じていないかもしれません。しかし今後、他のプロバイダや企業のメールサーバーが同様の対応を進めることで、影響が出てくる可能性があります。
また既存顧客へのご案内、たとえばセキュリティアップデートの通知など、顧客側での対応が必要な重要なお知らせなどが届かなくなる可能性もあります。

こういった最悪の事態を避けるためにも、企業は積極的にDMARCの導入・運用を進めるべき、と言えます。

なりすまし対策に有用なBIMI
BIMIは、Gmailなどのメールクライアント上にメール送信者が認証済みのロゴ画像をプロフィール画像のように表示する仕組みになります。
BIMIを導入し、ロゴを表示させるためにはDMARCを導入しており、なおかつポリシーが「quarantine」あるいは「reject」でなければなりません。さらに企業、もしくはブランドのロゴが偽物ではないことを証明するため、デジタル証明書「VMC(Verified Mark Certificate)」の取得も必要です。VMCは認定局によって発行されるため偽造が難しく、なりすましメール対策として有効な手段となります。また、メールを受信する側にとっても、ロゴマークがついていれば正規の送信元から送られたメールであることを視覚的に認識でき、安心してメールを開くことができます。
すでに日本でも信用が特に重要視される金融業界を中心に、BIMIの導入が始まっています。今後は、なりすましメール対策の手段の一つとして、広がっていくことは間違いありません。
2.DMARC導入状況と今後必要になるDMARC運用とは? 登壇者:菱沼 憲司
DMARCの必要性に加え、導入後の運用課題とその対応方法について解説します。
DMARCでできること
1つ目は、なりすましメールを排除する「DMARCポリシー」です。森下さんのお話しにもありましたが、DMARCには「none(何もしない)」「quarantine(隔離)」「reject(拒否)」の3つのポリシーがあります。ポリシーを「quarantine」や「reject」に設定することで、自社のブランドやお客さまをフィッシングの脅威から守ることができます。
2つ目は、メールの配信状況を確認できる「DMARCレポート」です。DMARCを導入すると、送信ドメインに関するレポートを受信できるようになります。このレポートはでは、自社ドメインから送信されたメールが、送信ドメイン認証でどのように判定されたか確認することができます。また、どんな送信環境からメールが送られているのかも把握できます。
DMARCは、レポートを活用して運用を継続しながらポリシーを強化することで、「なりすましメールをブロックし、届けるべきメールを確実に届ける」ことを実現します。
DMARC導入の状況と運用の課題
「DMARCを導入していますか」という問いに対して、82.8%の方が「導入している」と回答しています。2024年6月にも同様の調査を実施しましたが、そのとき「導入している」と回答した方はまだ27.5%でした。わずか半年の間に導入率が大きく上がっていることがわかります。

noneのまま放置すると、DMARC本来の効果がないばかりか、実はさまざまなリスクにつながります。
まず、なりすましメールとして悪用される可能性があること。これまでは、たとえポリシーがnoneであっても、DMARCを導入しているだけで、なりすましメールの抑止につながると考えられていました。しかし、DMARCの普及に伴い、その仕組みを理解した上で悪用する業者もでてきました。彼らはポリシーがnoneであれば、メールが届くことを把握しているため、none設定のドメインが標的とされるケースが急増しています。
もし自社のドメインがなりすましメールに悪用されてしまうと、ドメインレピュテーションが低下し、そのドメインから送ったメールは届かなくなる可能性があります。
他にも、今後更なるガイドラインの強化の可能性があることもリスクとして考えられます。DMARCは、なりすましメールをなくすことを目的として作られたものです。Gmailは今のところnoneを許容していますが、近い将来、quarantineやrejectに引き上げる可能性はかなり高いと言えます。当然Gmail以外の他のプロバイダもガイドラインの引き上げに追随するはずです。
noneからポリシーを引き上げるには、短くても半年ほどの期間が必要になります。いざガイドラインの要件が厳しくなったときに対応ができていないと、メールが遅延したり、届かなくなってしまったりと、ビジネスに大きな影響を与えてしまいます。このような事態を避けるためにも今からポリシーの引き上げを進めておくべきです。

DMARCポリシー強化のために何をすべきか
DMARCレポートには、DMARC認証に失敗した原因が記載されています。ただこのレポートはXMLデータで送られてくるため、エンジニアでないと内容を把握することは難しく、エンジニア以外の方がDMARCレポートを活用するためには分析ツールが必要になります。
かつては分析ツールもエンジニア向けに作られており、専門の知識がない方にとってはとっつきにくいものでした。しかし、DMARCが普及したことで、最近はエンジニア以外の方でも使いやすいものが増えてきています。
最新の分析ツールは、DMARCレポートを自動で受信、集計し、グラフとして可視化するだけではありません。エラーが起きている原因が一目でわかるような分析や、どこから送信しているメールがエラーになっているかを識別できるようにタグで送信元管理ができる機能など、よりわかりやすく、より使いやすいように進化しています。送信元を管理できていれば、問題が発生しているメールの送信環境を速やかに特定できるため、改善対応の優先順位を判断しやすくなります。
DMARCの運用は、エラーが発生している送信環境を確認して、エラーの原因を突き止め、優先順位を付けて改善していく。一度PDCAのサイクルを構築できれば、後はそれを回していくだけです。「なりすましメールをブロックし、届けなければならないメールを確実に届ける」ために、DMARCレポートの分析ツールを活用して、ぜひポリシー強化の取り組みを進めていただきたいです。

3.BIMIと認証マーク証明書VMCとは? 登壇者:大塚 雅弘
安心を届けるBIMI
そこで受信者が安全なメールかどうかを一目で判断できるように考えられたのが、BIMIです。BIMIを導入すると、送信者が指定したロゴをプロフィール画像のように表示することができるようになります。ロゴが表示されているメールは、正規のメールであると瞬時に判断できるため、受信者は安心してメールを開くことができます。

BIMIを導入するメリット
さらに自社やブランドロゴを表示することは、他社との差別化、ブランドイメージの向上につながります。なりすましメールではないことも瞬時に判断できるため、米国ではメールの開封率が10%上昇したという調査結果も報告されています。
なりすましメールを送られている企業には、お客さまから「怪しいメールが届いたけど、このメールはどうしたらいいのか」といった問い合わせが、多数寄せられます。BIMIに対応することでなりすましメールと正規メールの違いを明確にできれば、こういった問い合わせに対応するためのリソース、時間の削減にもつながります。これも企業にとっては大きなプラスではないでしょうか。
BIMIを表示させる条件
1つ目はDMARCに準拠していること。加えて、ポリシーをreject、またはquarantineの適用割合が100%である必要があります。noneのままではロゴは表示できません。
2つ目は、商標登録されたロゴとその画像ファイルの準備です。
BIMIには商標登録されているロゴが必要です。商標登録には申請してから約半年かかりますので、BIMIを検討されているのであれば、早めに申請を進めておくのがお勧めです。また、表示するロゴの画像はフォーマットが決まっていますので、それに合わせて画像を用意する必要があります。
3つ目は、認証マークの証明書(VMC)の取得です。
VMC(Verified Mark Certificate)は、BIMIで表示するロゴの所有権と正当性を証明するデジタル証明書になります。VMCを取得するためには第三者認証局に申請し、きちんと存在している企業・組織であるか、企業ドメインがきちんと管理され正しく利用されているかなどを認証してもらう必要があります。
この3つの条件をクリアして、はじめてBIMIを導入できるようになります。

DMARCによって技術的な「安全」を、BIMIによって心理的な「安心」を、お客さまに提供することでメールを開封してもらう。そのためにも、DMARCやBIMIの導入・運用は、今後ますます重要になるはずです。すでに信頼性やブランドイメージを大切にする金融機関などの業界・企業では導入が始まっています。ぜひDMARCのポリシー強化とあわせて、BIMIの導入も検討していただければと思います。

DMARCは導入からポリシーの強化のフェーズへ。
DMARCのポリシー強化には、DMARCレポートの可視化と分析が不可欠です。ベアメールでは、DMARCレポートを視覚的にわかりやすく分析できる「DMARC分析機能」を「迷惑メールスコアリング」の一機能として提供しています。加えて、迷惑メールスコアリングでは、テストメールを送信することで迷惑メールに判定される可能性やその原因、改善策を確認する機能も備えています。こうした機能は、DMARCポリシー強化を進めている多くのユーザから高い評価を集めています。
また、初めての方でも安心してDMARCレポートの分析を進められるようにサポートも充実しています。これからポリシー強化に向けてツールを導入しようとしている方、ポリシー強化に向けて何をしたらいいのかわからないという方も、お気軽にご相談ください。

株式会社KDDIウェブコミュニケーションズ
マーケティング部
森下 源一
20代は商業印刷のアートディレクターとして従事。28歳のときにIT業界へ転職。以降、レンタルサーバー会社にてインサイド、パートナーセールス、マーケティングなど幅広い部門での業務に携わりながら、主に制作会社様向けセミナーの開催や、各種コミュニティの運営をしています。現在は事業部を横断するマーケティング部の一員として、より多くの方に「サービスを知ってもらう」「良さを伝える」ために活動をしています。

株式会社リンク
クラウド・ホスティング事業部 サービス企画部
部長
菱沼 憲司
2011年からインフラエンジニアとして活動。数万⼈が利⽤する⼤⼿グループ企業のメールシステム基盤など、複数システムの設計‧構築‧運⽤を⽀援。その後、複数クラウドサービスの企画から運営までを⼿がけ、2017年にメール到達率を⽀援するサービス「ベアメール」の提供を開始。

デジサート・ジャパン合同会社
パートナマーケティング
大塚 雅弘
外資系コンピュータベンダー、ネットワーク機器ベンダーでの営業職を経て、2005年に日本ベリサイン株式会社(現:デジサート・ジャパン合同会社)に入社。SSL/TLSサーバ証明書やクラウド型WAFなどインターネットの各種セキュリティソリューションに関する営業職を経て、現在はパートナマーケティングを担当。セキュリティソリューションをかみ砕いて紹介することに腐心しています。