国内大学338校のメールセキュリティ調査、SPF/DMARC適切運用は4.1%にとどまる

「大学からのメールが本物か怪しい時、何で見分けたらいい？」
「DMARCって聞くけど、設定しているだけじゃダメなの？」

チップス

ボス、大学の9割以上はSPF入れているのに、ちゃんと守れているのは4.1%しかないって本当でしゅか？

ボス

うむ、GMOブランドセキュリティが5月18日に発表した調査結果だ。形だけ整えても、運用が伴わなければ意味がない。大学に限らず日本全体の課題でもある。

本記事ではGMOブランドセキュリティが338大学を対象に実施したメールセキュリティ調査の結果と、組織が押さえるべきDMARC運用のポイントを整理します。
学生や保護者をフィッシングから守るためにも必読の内容です。

続きを読めば、なぜSPFだけでは不十分なのか、自組織のドメインをどう守るかが見えてきます。

国内338大学の調査結果が示す現実

SPFは普及していても、DMARCの本格運用は驚くほど少数派です。
まずは数字で実態を確認しましょう。

SPF 91.4%対、DMARC適切運用 4.1%

同調査は2026年4月6日時点で、国立85校・公立93校・私立160校の合計338大学のメインドメインを対象としています。
SPFの設定率は91.4%と高い水準ですが、DMARCを「reject」または「quarantine」で運用しているのはわずか4.1%にとどまります。
多くの大学はDMARC自体は宣言しているものの「none（監視のみ）」の状態で、なりすましメールを実際に遮断できていません。

DMARCポリシーの内訳は次のとおりです。

完全無防備な27校が抱えるリスク

SPFもDMARCも未設定の27校は、なりすましメールを技術的にまったく止められません。
大学ドメインは学生・保護者・取引先に強い信頼があるため、攻撃者にとって極めて利用価値の高い偽装先になります。
奨学金・授業料・採用関連を装ったフィッシングが届けば、受信者が疑う余地もなく被害が拡大します。

チップス

大学からのメール、ちゃんと本物か区別できる仕組みがないとアウトでしゅね…

ボス

うむ、信頼の高いドメインほど偽装の見返りが大きい。守りが甘い組織から狙われる。

DMARCを実効化するために必要なこと

DMARCを「宣言した」だけでは、なりすましは止まりません。
運用フェーズに入って初めて、フィッシング遮断という本来の効果が発揮されます。

none→quarantine→rejectの段階移行

DMARC運用の王道は、none（監視のみ）で正規メールの送信元を洗い出し、SPFとDKIMを整備したうえでquarantineへ、最終的にrejectへ昇格する段階移行です。
noneのまま放置していると、攻撃メールの可視化はできても遮断はできません。
「監視中」が長期化している組織は、レポート集計サービスを使って次のステップを見える化することが先決です。

運用を回す際に注意したいポイントを箇条書きにまとめます。

「形だけ対策」が招く副作用

調査で浮かんだのは、設定の有無を表面的にチェックするだけでは安全とはいえないという事実です。
noneのままDMARCを宣言した状態は、コンプライアンス上の体裁を保てる一方、攻撃者からは「素通り」と判定されます。
監査や入札の評価軸として、ポリシーの中身まで踏み込んだ確認項目を加える動きが今後求められそうです。

チップス

「やっている風」のセキュリティが一番危ないってことでしゅね…

ボス

そのとおりだ。導入したか否かではなく、動いているか否かで測れ。

まとめ：宣言から運用へ、組織が踏み出す一歩

大学だけでなく、ブランドを背負うすべての組織に同じ課題が突きつけられています。
本調査から得られる行動指針を整理します。

チップス

うちの会社、DMARCのレポートちゃんと見てるか確認するでしゅ！

ボス

うむ、まずはレポートを読む癖をつけることだ。攻撃者の動きが見えるようになる。

詳しい情報はASCII.jpの記事とGMOインターネットグループのリリースを参照してください。