日本の高等教育におけるDMARCの導入：現状と課題
2026年6月に実施した今回の DMARC導入調査において、私たちは日本の高等教育分野における1,000近くの親ドメイン（組織ドメイン）を分析し、ITチームがドメインの安全性を確保する上で直面している課題を浮き彫りにしました。
日本の大学ドメインにおけるDMARCの導入は拡大しているものの、その多くは可視性を提供するだけの「p=none（監視）」ポリシーに留まっています。この段階では、SPFやDKIMの認証に失敗したメールに対して、受信側での強制的な防御アクションは実行されません。
DMARCは、メールドメインの使用状況を可視化し、管理することを可能にするなりすまし防止技術です。
高等教育機関のITチームが直面する独自の課題
ahoo! JAPAN、米Yahoo、Google、Microsoft、Appleなどの主要なメールプロバイダーは、フィッシング詐欺を防ぐために大量送信者に対して基本的なDMARC準拠を義務付けました。しかし、日本の高等教育機関がこの「監視ポリシー」から「厳格な強制（拒否・隔離）ポリシー」へと移行するまでには、特有の課題が存在します。
大学や短期大学などの高等教育機関は、大量の個人特定情報（PII）、財務データ、研究記録、知的財産を保有しているため、サイバー犯罪者にとって格好の標的です。さらに、細分化された学部、シャドーIT、そしてクラウドベースの学習管理システム（LMS）や出願ポータルを含む多数の外部ベンダーの存在により、メールを中心とした巨大な攻撃面（脆弱な窓口）が形成されています。
日本を含むアジア全体におけるDMARCの導入は、サイバーセキュリティへの対応力のばらつき、急速なデジタルトランスフォーメーション（DX）、そしてそれに伴うサイバー脅威の増加により、これまで低調な推移をたどってきました。
近年、日本の高等教育機関で発生したデータ漏洩事例
日本最高峰の国立研究大学である東京大学では、攻撃者がサードパーティ（外部）の盗まれた資格情報を悪用して不正アクセスを行い、研究用サーバーからデータが漏洩する事件が発生しました。犯罪者は外部サーバーへのアクセス権を得た後、侵入範囲を広げるために接続された大学のネットワークへのアクセスを試みました。大学側はサーバーを隔離し、データが盗まれたりマルウェアが仕込まれたりする前に攻撃を封じ込めることに成功しました。
また別の事例として、地域の中核的な教育病院であり災害拠点病院にも指定されている日本医科大学武蔵小杉病院がランサムウェア攻撃の被害に遭い、病院の内部システムが影響を受けました。当初、氏名、住所、電話番号、生年月日を含む約1万人の患者記録の漏洩が確認されましたが、調査が進むにつれてその数は約13万人にまで膨れ上がりました。
ランサムウェアを仕込むための主な侵入手法としては依然としてフィッシング詐欺が主流ですが、DMARCはドメイン所有者がランサムウェアの「配送（メール送信）」自体を阻止するための強力な武器となります。米サイバーセキュリティ・インフラセキュリティ庁（CISA）が発行している「#StopRansomware（ランサムウェアを止めよう）」ガイドでも、メールのなりすましを防ぐために、SPF、DKIM、DMARCを使用して受信メールを認証することをドメイン所有者に推奨しています。
日本の高等教育エコシステムにおけるDMARC導入状況
日本の高等教育セクターの公開DNSレコードを分析した結果、親ドメインの95%が、メールを悪用したサイバー攻撃に対して無防備な状態にあることが判明しました。これらは、DMARCレコードが存在しないか、レコードに誤りがあるか、あるいはメールの配送に影響を与えない監視フェーズの「p=none」ポリシーに設定されているためです。
DMARCの強制ポリシーである「p=reject（拒否）」によって完全に保護されているのはわずか2%で、認証に失敗したメールが迷惑メールフォルダに配送される「p=quarantine（隔離）」ポリシーを採用しているのは3%に留まります。
【詳細な調査結果】
- DMARCレコードが存在しない：51%
- 監視フェーズ（p=none）のレコードがある：24%
- ベストプラクティスに従っていない、またはエラーがある（可視性がない、またはドメインが露出している）：20%
- 隔離ポリシー（p=quarantine）を設定している：3%
- 拒否ポリシー（p=reject）を設定し、DMARCの保護機能を最大限に活用している：2%
DNSデータが明かす実態
サブドメインの多用
今回の調査範囲は主に組織のメインドメイン（コーポレートドメイン）ですが、学校におけるサブドメインの多用は注意を要するポイントです。多くの機関がメインのWebサイトをルート組織ドメインで運用し、公式な組織メールはサブドメインを経由してルーティングしていることが分かりました。これらのサブドメインの多くに適切なDMARC保護が欠けているため、一般ユーザーを容易に騙せるフィッシング攻撃の格好の標的となっています。
DMARCレコードの課題
最も多く見られた課題（197ドメインに影響）は、DMARCレコード自体は存在するものの、エラーや不備があるために効果を発揮していない、あるいは不完全な状態になっているケースです。特に目立ったのが、「RUAタグ（集計レポートの送信先メールアドレス）」の未設定です。
RUAが設定されていないDMARCレコードも「有効」ではありますが、悪用に対して非常に脆弱です。RUAの送信先がなければ、ドメイン所有者は「誰（または何）が自分たちの代わりにメールを送信しているのか」「正当なメールが正しく認証されているか」「犯罪者が自社ドメインを現在進行形で悪用していないか」というフィードバックを一切受け取ることができません。組織がDMARCを設定して「課題を解決した」と思い込んでいても、それが正しく機能しているか、あるいは悪用されているかを知る手段がないのです。このブラインドスポット（盲点）は、保護者や学生に機密性の高い連絡を送る学校にとって、重大なリスクとなります。
また、15のドメインではさらに特定の不備が見つかりました。サードパーティのレポート送信先（自社ドメイン以外のメールボックス）に対してレポート送信を許可するために必要な、DNSの「TXTレコード（外部ドメイン認証）」が欠落していたのです。組織がこのステップの必要性を認識していないことが多く、結果として監視体制が不完全になり、レポートデータが静かに破棄されてしまう原因になります。
RUAの送信先を dmarcian に向けることで、この問題は解決します。本来のRUAレポートは解読が難しい形式（生XMLファイル）で届きますが、dmarcianのDMARC管理プラットフォームはこのデータを視覚的なグラフやインタラクティブなダッシュボードに変換します。これにより、セキュリティチームは認証のギャップや、メールの送信元、新たに発生している脅威のディテールをひと目で把握できるようになります。
SPFレコードの課題
SPFレコードの欠落：
53のドメインにはSPFレコードがまったく存在しませんでした。SPF（Sender Policy Framework）はメール認証の基盤であり、どのIPアドレスがそのドメインに代わってメールを送信することを許可されているかを受信側サーバーに伝えます。これがなければ、誰でもその学校のドメインから送信されたように見えるメールを送ることができ、受信側サーバーはそれが偽物であることに気づけません。
学校において、校長や事務局から送られたように見える偽装メールは、非常に効果的なフィッシングのシナリオになります。保護者や学生は、学校からの連絡に対して無条件に、かつ迅速に行動を起こしがちだからです。正しいSPFレコードが公開されない障壁の多くは、学校側に内部的な技術専門知識がないことや、その必要性に対する認識が不足していることにあります。
破損したSPFレコード：
SPFに問題がある62のドメインのうち、18のドメインが無効なSPFレコードを公開しており、6つのドメインが複数のSPFレコードを公開していました。これらはそれぞれ異なる形で悪影響を及ぼします。
無効なSPFレコード（構文エラー、サポートされていないメカニズム、構造的な問題があるもの）は、受信メールサーバーによって「SPFレコードが存在しない」ものとして処理されるため、公開するための努力が一切保護に繋がりません。これは、メール認証をクリアしたと思い込み、バックグラウンドでエラーが起きていることに気づいていない組織にとって特に有害です。
また、複数のSPFレコードの公開も同様に問題です。SPFの仕様では、1つのドメインに対して公開できるSPFのTXTレコードは「1つのみ」と明記されています。時間の経過とともに、異なるチームやベンダーが連携せずにそれぞれ独自のレコードを追加した結果、複数存在してしまうケースが多く、この場合ほとんどのメールサーバーは認証を「失敗」として処理します。
dmarcianは、正当な送信元の特定や正確なレコード構築における手探りの作業を排除し、ガイドに沿ったSPF設定をサポートします。
最近、日本の教育分野のお客様とディスカッションを行った際、DMARCの本質的な価値を突いた、非常に示唆に富む視点に出会いました。
そのお客様は、「DMARCの導入は、自社の受信環境を守るための単なる防御策ではない。むしろ、自社のドメイン名を信頼して受け取る、外部のステークホルダーやパートナー、受信者を守るための『利他的なセキュリティのアプローチ』である」と指摘されたのです。
DMARCがもたらす直接的な恩恵は、必ずしも送信者（学校側）にすぐ還流するわけではないため、日本の多くの教育機関がこれまで自発的な導入に踏み切れなかったのは事実かもしれません。
しかし、DMARCを「強制（enforcement）ポリシー」まで進めることは、組織のセキュリティへの姿勢を社会に明確に示す強力な手段となります。私たちの主要なコミュニケーションチャネル（メール）をクリーンで安全に保つことは、もはや「任意」の取り組みではありません。企業の社会的責任（CSR）であり、ガバナンスそのものです。そして最終的には、その教育機関が長期にわたって築いていく「信頼」と「名声」を支える重要な柱となるのです。
—— 大塚 正弘（APAC ビジネス開発マネージャー）
私たちは日本の学校をサポートします
教育セクターの信頼できるパートナーとして、dmarcianは学術機関の皆様がDMARC導入の複雑なプロセスを円滑に進められるよう専門的な支援を行っています。学校やその関連機関に特有のニーズに応えるため、予算の制約に対応しつつも、教育機関の発展に不可欠なエンタープライズレベルの保護を実現できる、特別な価格設定とサポートパッケージをご用意しています。
さらに詳しく議論を続けたい方は、ぜひ dmarcian Forum へお越しください。
