GMO Brand Security調查發現，超過95%的日本大學郵件安全措施不足，使其面臨偽冒郵件的「高風險」狀態

GMO網際網路集團旗下的GMO Brand Security株式會社（代表取締役社長：中川 光昭），針對日本國內338所大學（國立85校、公立93校、私立160校）持有的網域，就其導入電子郵件偽冒對策技術『SPF』及『DMARC』的狀況進行了調查。

調查結果顯示，將SPF與DMARC皆設定為有效狀態的「適當」比例，在338所大學中僅佔4.1%。此比率與GMO Brand Security於2026年4月公布的國內Top50品牌的4.8%適當率相當，凸顯了日本教育機構在郵件安全對策方面的延遲。處於非「適當」狀態的網域，因SPF/DMARC未設定或設定不全而呈現脆弱狀態，顯然已處於容易被他人冒用大學名義發送偽冒郵件的「高風險」狀態。

【調查結果摘要】 1. 國內338所大學的適當率為4.1%，國立、公立、私立大學均處於低水準。 適當設定的大學僅有14所，無論設立類別為何，水準都極低。 2. DMARC設定多為「僅監視」，無法有效阻擋威脅。 真正能阻擋郵件的「reject」政策僅1.5%，「quarantine」為2.7%，過半數採用無阻擋效果的「none（僅監視）」。這凸顯了即使導入了DMARC，也未能轉換至有效設定的現況。 3. 27所大學處於完全無防備狀態，未設定SPF及DMARC。 有27所大學（8.0%）完全未設定SPF及DMARC，其網域極易被利用於針對學生、家長及合作夥伴的釣魚詐騙，風險極高。 4. 確認設定有效的大學名單（截至2026年4月）： 【國立】北海道大學、山形大學、東京大學、一橋大學、橫濱國立大學 【公立】國際教養大學、橫濱市立大學、大阪公立大學、長崎縣立大學 【私立】學習院大學、芝浦工業大學、日本大學、玉川大學、同志社女子大學

【分析與建議】 本次調查明確地量化了日本大學在偽冒郵件對策上的嚴重延遲。雖然SPF的設定率高達91.4%，但具有實際阻擋效果的DMARC政策（reject/quarantine）設定率僅4.1%，顯示形式上的導入與實際效果之間存在巨大落差。 大學的網域受到學生、家長、考生及研究機構的日常信賴與使用。若這些網域被惡意用於偽冒，不僅會導致個資外洩和金錢損失，更會從根本上損害大學的品牌與信譽。這已不僅是資訊系統部門的問題，而是大學應承擔社會責任的管理層級課題。

GMO Brand Security提出以下對策建議： 1. 盡速強化DMARC政策：建議採用「none」政策的178所大學，應盡快轉移至「quarantine」或「reject」。 2. 對無防備網域立即採取行動：強烈建議尚未設定的27所大學，立即實施至少「SPF: v=spf1 -all」和「DMARC: p=quarantine」的設定。 3. 利用DMARC報告持續監控：建立一個利用DMARC報告持續監控和分析詐欺性使用的體系至關重要。 4. 導入BIMI以視覺化信賴：在適當設定DMARC的前提下，取得BIMI的驗證標記證書（VMC），可以向收件人視覺化地展示郵件的合法性。

【調查背景】 近年來，冒充大學的釣魚郵件及針對學生和教職員的目標式攻擊郵件急劇增加。SPF雖然能檢測未經授權的來源，但必須與DMARC結合才能有效「阻擋」偽冒郵件。本次調查旨在將日本大學的對策現狀可視化，並闡明現存的挑戰。