← OUTABOX TOP aiPentest

日本企業2,000社のメールセキュリティを調べた：
78%がなりすましメールを止められない

2026年10月8日 アウタボックス株式会社

はじめに

企業になりすましたフィッシングメールの被害が止まらない。ヤマト運輸、佐川急便、Amazon、各銀行を騙るメールは日常になった。

では、日本企業のメールセキュリティ設定は実際にどうなっているのか。

本調査では、日本の .co.jp ドメイン 2,000社を対象に、公開 DNS レコードおよび Web サーバーの公開設定を調査した。対象は Tranco（ウェブサイトアクセス数ランキング）上位1,000社を「大企業」、それ以降の1,000社を「中小企業」として分類した。

調査手法はすべて公開情報の参照のみであり、いかなるシステムへの攻撃・侵入も行っていない。

調査結果の要約

指標大企業 (1,000社)中小企業 (1,000社)全体 (2,000社)
DMARC 実効保護あり27.0%16.7%21.9%
DMARC 保護なし73.0%83.3%78.1%
SPF 設定あり94.3%92.3%93.3%
SPF 厳格（-all）18.1%16.0%17.1%
HTTPS 対応52.1%59.5%55.8%
HSTS 設定あり9.6%9.8%9.7%
CSP 設定あり3.3%4.7%4.0%
日本企業の約8割が、自社ドメインからのなりすましメールを技術的に阻止できる設定になっていない。

1. DMARC：78%が「なりすまし可能」な状態

DMARC（Domain-based Message Authentication, Reporting and Conformance）は、自社ドメインを騙ったメールを受信側に拒否・隔離させる仕組みである。

ポリシー動作該当企業数割合
rejectなりすましメールを拒否222社11.1%
quarantineなりすましメールを隔離215社10.8%
none何もしない（監視のみ）1,125社56.2%
設定なしDMARC レコード自体がない438社21.9%

reject または quarantine を設定している企業は全体の 21.9% にとどまる。

p=none の内訳

p=none の1,125社のうち：

大企業と中小企業の差

大企業中小企業
DMARC 実効保護あり27.0%16.7%
DMARC レコードなし15.1%28.7%

2. SPF：93%が設定しているが、厳格な運用は17%だけ

SPF 設定意味企業数
-all（厳格）許可外の送信を拒否341社 (17.1%)
~all（ソフト）許可外を「怪しい」とマーク1,493社 (74.7%)
?all（中立）判断しない19社 (1.0%)
設定なしSPF レコードがない134社 (6.7%)

3. HTTPS と TLS

項目企業数割合
TLS 1.3796社39.8%
TLS 1.2320社16.0%
HTTPS 接続不可884社44.2%

4. セキュリティヘッダー

ヘッダー設定企業数割合役割
HSTS194社9.7%HTTPS強制
CSP80社4.0%XSS緩和

HSTS を設定しているのは約10%、CSP に至っては4%。

5. Server ヘッダーの情報漏洩

サーバーソフトウェア名を返している企業：1,029社（51.5%）。バージョン番号まで公開：167社。

考察

なぜ DMARC p=none が多いのか

  1. 影響範囲がわからない — reject に変えると正規メールも止まる不安
  2. 設定したことを忘れている
  3. レポートを読む体制がない
  4. p=none でも「対応済み」と報告できてしまう

中小企業のリスク

中小企業の DMARC 実効保護は16.7%。サプライチェーン攻撃では中小企業になりすまして大企業を狙うケースが増えている。

調査手法

まとめ

DNS レコードや Web サーバーの設定変更だけで改善できるものばかりである。まずは自社の DMARC ポリシーを確認してほしい。

お問い合わせ: aiPentest / お問い合わせフォーム

情報セキュリティ基本方針
© outabox