GMOブランドセキュリティ調査、国内大学の95%以上でメールセキュリティ対策に不備、なりすまし「高リスク」状態と判明

GMOインターネットグループのGMOブランドセキュリティ株式会社（代表取締役社長：中川 光昭）は、国内338大学（国立85校・公立93校・私立160校）が保有するドメインを対象に、なりすましメール対策技術である『SPF』および『DMARC』の導入状況に関する調査を実施しました。

調査の結果、SPFとDMARCの両方を有効な設定にした「適切」な状態の割合は、調査対象338大学中わずか4.1%にとどまることが判明しました。これはGMOブランドセキュリティが2026年4月に公表した国内Top50ブランドの適切率4.8%と同水準であり、日本の教育機関においてもメールセキュリティ対策の遅れが浮き彫りになりました。「適切」な状態にないドメインはSPF/DMARCの未設定または不備という脆弱な状態にあり、大学名を騙ったなりすましメールを容易に送信可能な「高リスク」状態にあることが明らかになりました。

【調査結果のサマリー】
1. 国内338大学の適切率は4.1%。国立・公立・私立いずれも低水準
適切に設定している大学は14校に過ぎず、設置区分を問わず極めて低水準です。
2. DMARCは「監視のみ」が大半。設定しても遮断できていない実態
実際に遮断可能な「reject」はわずか1.5%、「quarantine」は2.7%で、過半数が遮断効果のない「none（監視のみ）」でした。DMARCを導入しながらも実効性のある設定に移行できていない状況が浮き彫りになりました。
3. 27校が完全無防備。SPFもDMARCも未設定
SPFもDMARCも全く設定されていない大学が27校（8.0%）あり、フィッシング詐欺の踏み台として悪用されるリスクが極めて高い状況です。
4. 有効な設定が確認できた大学の一覧（2026年４月時点）
【国立】北海道大学、山形大学、東京大学、一橋大学、横浜国立大学
【公立】国際教養大学、横浜市立大学、大阪公立大学、長崎県立大学
【私立】学習院大学、芝浦工業大学、日本大学、玉川大学、同志社女子大学

【考察と提言】
今回の調査で、日本の大学におけるなりすましメール対策の深刻な遅れが明確になりました。SPF設定率は91.4%と高い一方、実効性のあるDMARC（reject/quarantine）設定率はわずか4.1%で、対策の「形式」と「実効性」に大きな乖離があります。
大学ドメインは学生、保護者、受験生などが信頼して利用するため、悪用されれば個人情報漏洩や金銭被害に加え、大学のブランドと信頼を根底から損ないます。これは情報システム部門だけでなく、大学の社会的責任として取り組むべき経営課題です。

GMOブランドセキュリティは以下の対策を提言します。
1. DMARCポリシーの早期強化：「none」で設定している178校は、早急に「quarantine」または「reject」へ移行を推奨。
2. 完全無防備ドメインへの即時対応：未設定の27校は、最低限「SPF: v=spf1 -all」と「DMARC: p=quarantine」の即時設定を強く推奨。
3. DMARCレポートによる継続的な監視：レポートを活用し不正利用を継続的に監視・分析する体制の構築が重要。
4. BIMIの導入による信頼性の可視化：DMARCの適切な運用を前提に、BIMIとVMCの取得でメールの正当性を視覚的に示せます。

【調査の背景】
近年、大学を騙ったフィッシングメールや標的型攻撃メールが急増しています。SPFは送信元を検出しますが、DMARCと組み合わせることで初めてなりすましメールを「遮断」できます。本調査は、国内大学の対策実態を可視化し、課題を明らかにしました。