一方、SPFの導入率は91.4％と高水準だった。だが、DMARCでメールを遮断できる「p=reject」設定は1.5％、「p=quarantine」設定は2.7％にとどまった。DMARCを導入済みでも、多くの大学が「p=none」の監視モードにとどまっており、実効性のある対策まで踏み込めていないケースが目立つ。

画像をご覧いただくには会員登録が必要です

会員登録・ログイン

DMARCは「監視のみ」が大半。設定しても遮断できていない実態（出典：GMOブランドセキュリティのリリース）

　また、SPFとDMARCの両方が未設定だった大学は27校あり、全体の8.0％を占めた。同社は、この状態では第三者による大学ドメインのなりすましが容易になり、学生や保護者、取引先を狙ったフィッシングメールに悪用されるリスクが高まると警告している。

　文部科学省の学校数データを基に抽出した国内338大学の「.ac.jp」および「.jp」ドメインを対象に、Google Public DNSとCloudflare DNSを使って設定状況を確認した。適切設定の判定基準は、SPFが「v=spf1 -all」、DMARCが「p=reject」または「p=quarantine」となっていることとしている。

　大学は学生や受験生や保護者から信頼を得ているだけに、ドメインが悪用された場合の影響は大きい。近ごろは教育機関を装ったフィッシングメールも増加しており、DMARCの「reject」設定への移行や継続的な監視体制の整備が求められそうだ。