警察庁がDMARCの段階的強化を呼びかけ — 郵便局に例えて「None放置」からの移行を解説

警察庁は2026年9月1日、企業のメールなりすまし対策として「DMARC」の段階的な強化を呼びかける文書「サイバー警察局便り R8 Vol.11 — あなたの会社のメール、『誰でも名乗れる状態』になっていませんか？」を公開した。文書はDMARCを郵便局の業務に例えて仕組みを説明し、ポリシー設定が「None（記録のみ）」のまま放置されていないか確認し、状況把握の上で「Quarantine」または「Reject」へ移行するよう求めている。

警察庁は、DMARCを「自社ドメインを悪用したなりすましメールから顧客・取引先・自社ブランドを守る仕組み」と位置づけている。なりすましメールは取引先への詐欺やブランド毀損に直結するため、警察庁は企業が自社ドメインの悪用実態を把握し、対策を段階的に強めることが重要だと説明している。

郵便局に例えるDMARC — 「住所・封蝋」「名義照合」「ポリシー処理」

警察庁の便りは、DMARCの3段階を郵便局の手紙の確認に例えて示した。

1. 住所・封蝋の確認（SPF・DKIM認証）
   郵便局員が送り主の住所や封蝋（印）を確認するように、受信側は送信元IPアドレス（SPF）や電子署名（DKIM）を検証する。

2. 名義の照合（アライメント確認）
   差出人の氏名と、郵便局が持つ差出人リストを照合するように、FromヘッダーのドメインとSPF/DKIMで検証されたドメインが一致するかを確かめる。

3. 怪しい手紙への対応（ポリシー処理）
   異常を検知した場合、事前に定めた手順に沿って対応する。DMARCでは管理者が設定したポリシーに従い処理する。

警察庁は、この例えを用いることで、DMARCが単なる技術設定ではなく、組織が定めた運用ルールに基づいて不審なメールを扱う仕組みであることを示している。

ポリシーは3段階 — 「None放置」が最も危険

DMARCポリシーには3つの段階があると警察庁は説明している。

ポリシー	動作	利用者への届き方
None（記録のみ）	記録し、宛先に送付する	顧客がそのまま受信する
Quarantine（隔離）	不審物として保管する	顧客の迷惑メールフォルダへ入る
Reject（拒否）	配達しない	顧客に届かない

警察庁は、特に「Noneのまま放置されている状態」が危険だと指摘している。Noneではなりすましメールが素通りし、DMARCレポートで実態を把握できるだけで防御にならないからだ。

対策の手順として、警察庁は次の3点を「今すぐチェック」として示している。

• DMARCポリシーの設定がNoneのままになっていないかを確認する
• DMARCレポートを確認し、自社ドメインを名乗るメールがどれだけ存在するかを把握する
• 実態を把握できた段階で、QuarantineまたはRejectへの移行を検討する

いきなりRejectへ切り替えると正規のメールまで届かなくなる恐れがあるため、レポートで自社や委託先からの正規の送信経路を確認してから段階的に強めることが重要だ。

導入の3つのメリット — 顧客保護・ブランド維持・到達性向上

警察庁は、DMARC導入の主なメリットを3つ挙げている。

• 顧客・取引先の保護 — なりすましによる詐欺や情報漏えいを防止する
• ブランド・信頼の維持 — 自社ドメインの悪用を防ぎ、企業イメージを守る
• メール到達性の向上 — 正規メールの迷惑メール判定を減らし、届きやすくする

DMARCは自社だけでなく、顧客や取引先が受信する際の判定にも影響する。警察庁は、自社ドメインを守ることが取引先全体の安全につながると説明している。

便りはA4で1枚のPDFとして公開され、社内掲示や経営層への説明資料として活用しやすい構成になっている。警察庁のサイバー警察局は、従来から「パスワードだけの認証は限界」「DDoSは犯罪」といった啓発を続けており、今回のDMARC便りもその一環だ。

出典

• 警察庁 サイバー警察局便り R8 Vol.11「あなたの会社のメール、『誰でも名乗れる状態』になっていませんか？」 (PDF)