Brand Indicators for Message Identificationは有効なの？メールのアイコンが変わるだけ？

2026年3月8日

金融機関からの連絡

GMOあおぞら銀行利用していますが、BIMIを導入して、メールのアイコンが変わります、メールが来ました。

→なりすまし防止を目的として正規メールの差出人欄に企業ロゴを表示させるBIMI（Brand Indicators for Message Identification）を導入

現在、当社正規メールには、差出人欄に「GMO」3文字のロゴが表示されておりますが、2026年３月５日（木）より、ロゴ表示を当社公式キャラクターの「テックま君」へ変更いたします。公式キャラクターの表示により、当社からの正規メールであることをより直感的にご認識いただけるようになります。

なんか、ロゴが変わることで、必ずロゴを確認してくださいということですが、これならアイコンがこの新しいテックま君になりすましていたら、無条件で信用しちゃう人がいそうですよね。

ということで聞いてみました。

Brand Indicators for Message Identificationはセキュリティ的に有効ですか？同じようなアイコンをセットされたらかえって、アイコンに安心して騙されたりしませんか？

結論から申し上げますと、BIMI（Brand Indicators for Message Identification）は「送信ドメイン認証の徹底」という観点では非常に有効ですが、ご指摘の通り「アイコンによる視覚的な安心感」がフィッシング詐欺に悪用されるリスクはゼロではありません。

「アイコンがあるから100%安全」と過信するのは危険ですが、仕組みを知るとその防御力の高さも見えてきます。

BIMIは単に画像を表示する機能ではなく、裏側に厳しい認証ハードルを設けています。

DMARCの強制適用: BIMIを表示させるには、送信者がDMARC（送信ドメイン認証）を「拒否（quarantineまたはreject）」という厳しい設定にしている必要があります。これにより、第三者がそのドメインを偽装してメールを送ることが極めて困難になります。
VMC（認証マーク証明書）: 大手企業がBIMIを利用する場合、ロゴの所有権を証明する「VMC」という証明書が必要です。これは認証局による厳格な審査を経て発行されるため、勝手に他社のロゴを公式として登録することはできません。

DMARCはまだnoneで、拒否してないんですよね。。。拒否した方がいいのだろうけどね。。。届くべきが届かなくなりそうだし、でもそういうメールだから拒否してもいいんだろうし。

おっしゃる通り、人間心理を突いた攻撃に対しては弱点があります。

類似アイコンの登録: 本物の銀行ロゴにそっくりな、しかし微妙に異なるロゴを、攻撃者が自身の所有するドメイン（例：safe-bank.com）でBIMI登録した場合、ユーザーは「アイコンがあるから公式だ」と信じ込んでしまう可能性があります。
視覚的な脆弱性: ユーザーの多くは、そのロゴが「認証されたもの（VMCあり）」か「単に設定されたもの（VMCなし）」かを区別して見ていません。

BIMIは「メールの信頼性を底上げするツール」であって、「万能の盾」ではありません。