カナダのDMARC導入率は28.1%に過ぎず、つまり、カナダのドメインのうち3つに1つ未満しか、なりすまされたメールを積極的にブロックしていません。これはPowerDMARCが2026年4月に発表した555ドメインを対象とした調査に基づいています。カナダと他の主要英語圏との差は明らかです。米国は49.0%、オーストラリアは46.7%の導入率を記録しており、カナダの企業はフィッシング詐欺やドメインなりすまし攻撃により晒されている状況です。
このタイミングでの報告は、経営層にとって深刻な警告となります。IBMの「2025年データ侵害コスト報告書」によると、カナダにおける平均的なデータ侵害のコストはCA$698万で、フィッシング関連のインシデントではCA$791万に達しています。マーケティング担当者や成長戦略チームにとって、このリスクは単なる理論上の問題ではありません。なりすまされた送信ドメインは、キャンペーンの到達率、ブランド信頼性、送信者レピュテーションに直接的な悪影響を及ぼし、その回復には時間を要します。
導入率と実行率のギャップ、DMARCがあれば十分ではない理由
PowerDMARCのカナダDMARC およびMTA-STS導入レポート2026は、この問題の本質を危険な「実行ギャップ」と表現しています。基盤となる導入状況は良好に見えても、実際の電子メール保護の実行はほぼ機能していないため、大多数のカナダの組織はメールなりすまし、フィッシング詐欺、転送中のデータ傍受のリスクにさらされたままです。
このパターンは世界中で見られます。EasyDMARC 2026 DMARC導入・実行レポートによれば、DMARCレコードの発行はもはや真の指標ではなく、組織が監視段階から実行段階への移行を完了したかどうかが重要な判断基準となっています。EasyDMARCの調査では、有効なDMARC導入は2026年初頭までに937,931ドメインに達しましたが、グローバルでは依然としてp=noneポリシーが最も一般的で、525,996ドメインがDMARCを可視化目的のみで利用し、能動的な保護には至っていません。
p=noneポリシーはレポートデータを収集するだけで、なりすまされたメールのインボックス到達を防ぎません。p=quarantineまたはp=rejectのみが実際になりすまし攻撃をブロックします。
セクター別の分析、電気通信とヘルスケアが注目を集める
PowerDMARCレポートでは、銀行、教育、政府、ヘルスケア、メディア、電気通信、運輸部門全体のパフォーマンスを詳細に分析し、セクター間の大きなばらつきが明らかになっています。
銀行セクターはp=rejectで42.0%の導入率でリードしていますが、それでも58%の金融機関は高度ななりすまし攻撃の危険性を抱えています。電気通信セクターは最も脆弱で、34.1%のドメインがDMARCレコードをまったく保有していません。このセクターはSIM交換詐欺やアカウント乗っ取り詐欺の温床となりやすく、これは重大な脆弱性です。
トランスポート層のセキュリティ状況も同様に深刻です。調査対象のカナダ全域ドメイン全体でのMTA-STS導入率はわずか3.2%で、96.8%が中間者攻撃とダウングレード攻撃のリスクにさらされています。ヘルスケアとメディアセクターではMTA-STS導入率が0%で、患者記録と報道機関の通信が強制されたTLS暗号化なしで転送されています。DNSSEC導入率は9.4%にとどまり、カナダのドメイン全体の90%以上がDNSハイジャッキングとキャッシュポイズニング攻撃の危険性にさらされています。
メールマーケティング担当者と成長戦略チームにとっての重要性
脆弱な認証が到達率に与える影響は、もはや理論ではなく現実です。Microsoft、Google、Yahooを含む主要なメールプロバイダーは、現在、1日5000件以上のメールを送信する組織に対するDMARC導入を強制しており、この要件は2026年の標準となっています。Googleの現在の実施モデルでは、開封率やクリック率などの従来の到達率指標は、メールがインボックスに到達しなければ意味がありません。リスト品質管理と件名行の最適化に焦点を当てた従来のアプローチは引き続き有効ですが、これはメールが実際に到達することを前提としています。認証に失敗すれば、Gmailは最適化作業が行われる前にメッセージを拒否します。
マーケティングリーダーは、到達率がSPF、DKIM、DMARCの設定から始まることを理解する必要があります。IT部門やセキュリティチームがこれらのプロトコルを正しく実装していない場合、またはマーケティング自動化プラットフォームが適切に認証されていない場合、キャンペーンはクリエイティブやターゲティングとは無関係な理由でパフォーマンスが低下します。
監視から実行へのステップ、実装方法
p=noneに設定されたDMARCポリシーは、保護ではなく可視化のみをもたらします。なりすましのリスクは残存し、メールボックスプロバイダーは非実行ドメインを完全に認証されたものとして扱いません。
標準的な改善プロセスは3つのポリシーステップに従います。p=noneで可視化を実現し、p=quarantineで疑わしいメールをスパムにルーティングし、p=rejectで完全にブロックします。包括的なプラットフォームを使用する組織は通常、6週間から8週間でDMARC実行に到達しますが、手動アプローチでの業界平均は32週間です。
まだp=noneを使用しているカナダの企業は、マーケティングプラットフォーム、CRM、トランザクショナルメールプロバイダーを含む、認可された送信元全体の完全な監査を実施することから開始し、その後ポリシーをp=quarantineに移行することをお勧めします。その可視化なしでp=rejectに急速に移行すると、正当なメールをブロックするリスクがあり、キャンペーン配信率に直接的な悪影響を及ぼします。
カナダの連邦政府機関は、メール管理サービス設定ルールに基づいてSPF、DKIM、DMARCの実装が義務付けられています。つまり、規制対象部門の企業はDMARC実行をオプションアップグレードではなくコンプライアンス要件として扱う必要があります。民間セクターのマーケティング担当者にとって、ビジネスケースはより単純です。認証済みドメインは配信され、非認証ドメインは配信されなくなる傾向が高まっています。
