「なりすましメール対策」ができている大学はわずか4.1％　27校が“完全無防備”状態【GMOブランドセキュリティ調べ】

大学メールはなりすましに弱い？ SPF/DMARCの設定状況を国内338校で調査。

6:00

GMOブランドセキュリティは、国内大学338校のメールセキュリティの実態調査を実施した。なりすましメール対策技術である「SPF」「DMARC」の設定状況について、国内大学の「.ac.jp」や「.jp」ドメインを対象に調べている。

SPFとは
送信元サーバーのIPアドレスをあらかじめ公開し、正しい場所から送られたメールかを判定する技術。導入が比較的容易な一方、メール転送時に認証に失敗しやすいという弱点がある。

DMARCとは
SPFやDKIMの認証に失敗したメールをどう処理するか、送信元が指示する仕組み。none（監視のみ）、quarantine（隔離）、reject（拒否）の3段階があり、なりすましメール対策の要となる。

調査によると、国内大学338校のドメインについて、なりすましメールを遮断できる適切なSPF/DMARC設定をしている割合（適切率）は、わずか4.1％（14校）にとどまった。区分別では、国立大学が5.9％（5校）、公立大学が4.3％（4校）、私立大学が3.1％（5校）となり、いずれも低水準だった。

一方で、「SPF設定あり」は全大学で91.4％（309校）と高く、「DMARC設定あり（noneを含む）」は57.4％（194校）にのぼっている。ただし、DMARCのうち「none（監視のみ）」が52.7％（178校）を占めており、実際になりすましメールを遮断する設定ができていない大学が多いことがうかがえる。

DMARC設定の内訳をみると、「none（監視のみ）」が52.7％（178校）と最も多く、次いで「未設定」が43.2％（146校）となった。実際に遮断効果を持つ「reject（拒否）」は1.5％（5校）、「quarantine（隔離）」は2.7％（9校）にとどまっている。

なお、SPFもDMARCも全く設定されていない「完全無防備」な状態の大学も8.0%（27校）存在し、多くの大学が高リスク状態にあることが明らかになった。

有効な設定が確認できた大学の一覧（2026年4月時点）

【国立】

北海道大学
山形大学
東京大学
一橋大学
横浜国立大学

【公立】

国際教養大学
横浜市立大学
大阪公立大学
長崎県立大学

【私立】

学習院大学
芝浦工業大学
日本大学
玉川大学
同志社女子大学

調査概要

【調査期間】2026年4月6日
【調査対象】国内大学338校（国立85校・公立93校・私立160校）が保有する「.ac.jp」や「.jp」ドメイン
【調査方法】データソースは文部科学省「大学・短期大学・高等専門学校及び専修学校の学校数、在学者数等」をもとに作成。パブリックDNS（Google: 8.8.8.8 / Cloudflare: 1.1.1.1）を使用し、DNS公開情報を調査・集計。全体適切である状態の基準は、SPF: v=spf1 -all（拒否設定）、DMARC: p=reject（拒否）または p=quarantine（隔離）とした。

この記事のキーワード：