「自社の社名やドメインを使った詐欺メールが出回ったらどうしよう……」

「うちみたいな中小企業でも、なりすましメールの対策って必要なの？」

最近、セキュリティの話題でよく耳にするようになった「DMARC（ディーマーク）」という言葉。警察庁や警視庁をはじめとする警察当局も、自社のドメイン（メールアドレスの@以降）を悪用したなりすましメールやフィッシング詐欺から顧客・取引先を守るため、DMARCの導入と実効性のある設定への移行を強く呼びかけています。

直近の2026年9月には、警察庁サイバー警察局が広報誌『サイバー警察局便り』にて、DMARCの仕組みを分かりやすく「郵便局」に例えて解説し、企業へ注意を促したことが大きな話題になりました。

大企業では導入が当たり前になりつつあるDMARCですが、実は中小企業での導入や運用には非常に高いハードルが存在します。

今回は、「自社のDMARC設定を今すぐ調べる方法」から「なぜ中小企業にとってDMARCは難しいのか？」まで、ITが苦手な方にもわかりやすく噛み砕いて解説します！

そもそもDMARC（ディーマーク）とは？

DMARCを一言でいうと、「自社になりすました偽メールをブロックし、取引先や顧客を守る仕組み」です。

メールの世界は、実は「差出人の名前やアドレスを簡単に偽装できてしまう」という弱点があります。差出人にあなたの会社のメールアドレスが書かれていても、実際には全く関係のない悪意ある第三者が送っている可能性があるのです。

これを防ぐのが送信ドメイン認証技術「DMARC」です。

日経225企業の導入率は92%！しかし中小企業は……

現在、日経225に選ばれるような大企業のDMARC導入率は約92％に達しています。大手企業の多くは「自社を騙った詐欺メール」を出回らせないための対策を完了しているのです。

一方で、日本の中小企業における明確な全体統計はありませんが、各種調査からは「およそ10%〜数十%程度」に留まっていると推測されています。

【まずはチェック】自社のDMARC設定状況を3分で調べる方法

「自社のメールアドレスは大丈夫かな？」と思ったら、Web上で公開されている無料のDMARCチェックツールを使って、今すぐ現在の設定状況を確認してみましょう！

専門知識がなくても、自社のドメイン名（例：example.co.jp）を入力するだけで簡単に判定できます。

調べ方の手順

1. ブラウザで無料のDMARCチェックサイト（例：「Valimail Domain Checker」など）を開く。

2. 検索窓に自社のドメイン名（@以降の部分）を入力して検索する。

3. 画面に表示される結果を確認する。

診断結果の読み解き方

結果画面には、主に以下のようなステータス（設定状況）が表示されます。

• 「未設定（DMARC Record Not Foundなど）」

  👉 危険度：高。誰でもあなたの会社のドメインを騙ってメールを送れてしまう状態です。早急な導入検討をおすすめします。

• 「監視のみ（p=none）」

  👉 DMARCは設定されていますが、「レポートを受け取るだけ」の観察モードです。不正なメールをブロックする効果はまだありません。

• 「隔離（p=quarantine）」

  👉 不正メールを相手の「迷惑メールフォルダ」に振り分ける運用ができています。

• 「拒否（p=reject）」

  👉 不正メールを相手の受信サーバーで即座に拒否・ブロックする、最も安全な本格運用状態です。

中小企業でDMARC導入が進まない最大の問題：「運用」のハードル

チェックしてみて「未設定」や「p=none（監視のみ）」だった企業も多いのではないでしょうか？

実は、DMARCの導入が進まない（または監視のみで止まってしまう）最大の理由は、「設定して終わり」ではなく「届くレポートの分析・管理」という運用が必要になるからです。

専門のIT担当者がいない中小企業にとって、この「週に30分程度のレポートの分析・管理」が極めて高いハードルとなっています。

具体的にどんな作業が必要になるのか、3つのステップで見てみましょう。

1. レポート（XMLファイル）の可視化

DMARCを設定すると、日々GoogleやYahoo!などのメール事業者から「あなたのドメインを使ってこれだけのメールが送られました」というレポートが届きます。

しかし、このレポートは機械向けの「XML形式」という暗号のような文字列で書かれており、人間がそのまま読むのは困難です。そのため、専用の「DMARC解析ツール」などを導入して、グラフや表に変換して見やすくする必要があります。

2. 「正規のメール」と「なりすまし」の仕分け

グラフ化されたデータを見ながら、送信されたメールをチェックします。

• 正規のメール（身内）：社内のメールサーバー、Salesforceなどの営業ツール、お弁当の注文システム、外部のメルマガ配信サービスなど。

• 不正なメール（敵）：悪意ある第三者が送ったフィッシングメールやスパム。

3. 設定のエラー修正（一番重要な作業！）

仕分けの結果、「自社の正規メールなのに、設定漏れのせいで『エラー（認証失敗）』になっているもの」を救い出します。

ここが最も重要なポイントです！

もしこの設定漏れを放置したまま、DMARCのセキュリティレベルを「拒否（p=reject：不正メールを届かなくする設定）」に引き上げてしまうと、「自社のメルマガや取引先への重要なメールが相手に届かなくなる」という大トラブルが発生してしまいます。

そのため、レポートを定期的に確認し、エラーの原因（DNSの設定間違いや、未登録の配信システムの発見）を一つずつ修正していく必要があるのです。

「手作業では不可能」だからこそ知っておきたいこと

このように、DMARCの運用には以下の知識と手間が必要です。

• 専門知識が必要：「表示されたIPアドレスが、自社のどのツール（メルマガやフォームなど）なのか」を判別するIT知識が必要です。

• 手作業は不可能：毎日届く大量のデータを手動で集計することはできないため、解析ツール（DMARCアナライザー）の選定や導入の手間・コストがかかります。

だからこそ、導入している企業の中でも、不正メールを自動で拒否・隔離する「本格運用（Reject/Quarantine）」まで辿り着けている企業は全国でも一部にとどまり（全体の43%程度）、多くの企業がただ監視するだけの「none（何もしない）」設定でストップしてしまっています。

おわりに

セキュリティ対策と聞くと「難しそう」「事故が起きてから考えればいいか……」と思いがちですが、DMARCはいきなり強い制限をかけるのではなく、「まずはレポートを受け取って現状を把握する（none設定）」という安全なステップからスタートしましょう。