サイバーセキュリティ

ドコモメール「公式マーク」付き詐欺メール、楽天カード装う手口と対策

楽天カードを装う詐欺メールが、ドコモメールの公式マークやBIMIロゴ付きで届く事例が相次いでいます。原因は一部企業の送信ドメイン認証設定の脆弱性。仕組みと限界、利用者と企業の対策を整理します。

claude

• 6 min read
Share

「楽天カードを持っていないのに、公式マーク付きのメールが届いた」――2026年10月15日ごろから、X（旧Twitter）でこうした報告が相次いでいます。楽天カードを装うフィッシング（詐欺）メールが、ドコモメール上で「公式アカウント」を示す緑色のチェックマークや、企業ロゴ（BIMI）付きで表示されていたのです。

NTTドコモは同日、「一部の企業のメールで、送信ドメイン認証の設定に脆弱性があった」ことが原因だと公表し、問題が解消するまで該当企業の公式アカウント表示を停止すると発表しました。これまで「本物のメールを見分ける目印」として案内されてきた公式マークが、詐欺メールにも付いてしまった――今回の件は、メールの見分け方そのものを考え直すきっかけになります。

この記事のポイント

  • 楽天カードを装う詐欺メールに、ドコモメールの公式マークとBIMIロゴが表示される事例が発生
  • ドコモは原因を「一部企業の送信ドメイン認証設定の脆弱性」と説明し、該当企業の表示を一時停止
  • 公式マークは「送信元の技術的な認証」を示すもので、メール内容の安全性は保証しない
  • 利用者は「メールのリンクから手続きしない」を徹底し、公式アプリやブックマークから確認するのが確実

背景：ドコモメール「公式アカウント」とは

ドコモメールの「公式アカウント」は、フィッシング詐欺対策として2021年5月25日に提供が始まった機能です。ドコモや、申し込みを行った企業・団体から届いたメールのうち、送信ドメイン認証に成功したメールにだけ、差出人の横に緑色の公式マークを表示します。Androidではドコモメールアプリ、iPhoneやiPadではブラウザ版ドコモメールで確認できます。

さらにドコモメールは、認証に成功したメールに企業・ブランドのロゴを表示する「BIMI（Brand Indicators for Message Identification）」にも対応しています。今回の詐欺メールでは、画面上に「楽天グループより送信されたメールです」「ドメイン所有者の認証済みメール（BIMI）」と表示されていたことが、利用者の投稿から確認されています。

こうした表示は、利用者にとって「本物かどうか」を判断する分かりやすい手がかりでした。セキュリティ対策Labによると、楽天カード自身も自社のフィッシング対策ページで、ドコモメールの緑のチェックマークを確認方法の一つとして紹介していました。一方でドコモは以前から、公式マークはメール内容の安全性を保証するものではないと注意書きしています。

何が起きたのか：楽天カードを装う「登録情報の更新」メール

迷惑メール相談センターは10月15日、楽天カードを装う偽メールについて注意喚起を出しました。件名は「【楽天カード株式会社】 楽天カード登録情報の更新について」。本文では、カードの利用状況に危険の兆候があると伝え、期限内に対応しないとサービスに影響が出る、カードの利用を一時停止するなどと不安をあおり、ボタンからログインして情報を確認・更新させる構成になっています。

X上では、受信者が次のような体験を投稿しました。

  • 楽天カードを持っていないのに届いたため、偽物だと気づいた
  • メールのヘッダーを見ると楽天から送られたように見えたが、リンク先は楽天のサイトではなかった
  • 宛名に個人名が書かれていないなど、ほかにも見分ける手がかりはあるものの「相当紛らわしい」

ドコモは公表時点で、該当企業名、問題が起きたメールの総数、悪用された具体的な認証設定、被害者数を明らかにしていません。

なぜ偽メールに公式マークが付いたのか

送信ドメイン認証の3つの仕組み

ITmedia NEWSによると、ドコモメールは次の3つの送信ドメイン認証技術を採用しています。

技術 確認する内容
SPF 送信元サーバーのIPアドレスが、そのドメインから送信を許可されたものか
DKIM メールに付けられた電子署名を検証し、改ざんがないか
DMARC SPF／DKIMの認証結果と、差出人欄（From）のドメインが整合しているか

ポイントは、SPFが確認するのは「エンベロープ送信元（配送用の送信元）」のドメインであり、利用者が目にする差出人欄そのものではないという点です。攻撃者が自分で管理するドメインを使えば、SPF自体は「成功」になり得ます。そのため、差出人欄との整合性を確かめるDMARCが重要な役割を担っています。

「すべてOK」なのに偽物だった

ITmedia NEWSは、問題のメールで送信元ドメインを確認すると「SPF」「DKIM」「DMARC」がいずれも「OK」と表示された一方、SPFの認証に使われたのは楽天グループと無関係に見える「.com」ドメインだったとの報告を紹介しています。

ドコモは原因を「企業側の送信ドメイン認証設定の脆弱性」と説明するにとどめており、具体的にどの設定がどう悪用されたのかは公表されていません。セキュリティ対策Labも、現時点で「SPFを突破した攻撃」とは断定できないとしています。一般論としては、企業が利用している外部の配信サービスや古い送信経路の設定に隙があると、第三者が正規の認証結果を得られてしまう可能性が指摘されていますが、今回の原因がそれに当たるかどうかは、ドコモや関係企業の追加発表を待つ必要があります。

なお、現時点で楽天側のシステムが侵害されたという発表はありません。

利用者と企業への影響：「マーク頼み」からの転換

利用者：見分け方の前提が変わる

今回の件で最も大きいのは、「公式マークがあれば本物」という判断基準が、少なくとも一時的に通用しなくなったことです。楽天カードを装うフィッシングはもともと多く、セキュリティ対策Labによると、フィッシング対策協議会の2026年5月の月次報告では楽天カードをかたるものが全報告の約18.5%を占めました。楽天カードも9月10日付で、請求や支払い手続きを案内する不審メールに注意を呼びかけています。

スマートフォンではリンク先のURLが表示されにくく、送信元アドレスや表示名も偽装されやすいため、「メールの中だけで本物か偽物かを鑑定する」のは限界があります。

企業：設定して終わりにしない

企業のメール管理者にとっても教訓は大きいといえます。セキュリティ対策Labは、SPF・DKIM・DMARCを設定しただけで満足せず、次の点を点検するよう勧めています。

  • 利用する配信サービスごとに、認証結果と差出人ドメインの整合性（アライメント）を確認する
  • 許可しているIP範囲や、使われなくなった外部配信経路を整理する
  • DMARCのポリシーと、認証結果の集計レポートを定期的に確認する

また、認証が正常でも、正規の送信機能やアカウントが第三者に悪用されれば不正メールは届き得ます。受信側でもリンクや本文の検査を組み合わせる多層的な対策が欠かせません。

今後の見通し

ドコモは、事象が解消するまでの一定期間、該当企業の公式アカウント表示を停止するとしています。表示が復活する時期や原因の詳細は今後の発表次第です。同種の認証表示はほかのメールサービスにもあるため、今回の件は「認証マークは参考情報の一つ」という位置づけを改めて利用者に浸透させる契機になりそうです。

よくある質問

ドコモメールの公式マークが付いていれば安全なメールですか？

安全とは限りません。公式マークは送信ドメイン認証に成功したことを示す表示で、ドコモもメール内容の安全性を保証するものではないと説明しています。2026年10月には、楽天カードを装う詐欺メールに公式マークが付く事例が確認されました。

「楽天カード登録情報の更新について」というメールが届いたらどうすればいいですか？

本文のリンクやボタンは開かず、メールを閉じてください。登録情報や利用状況は、楽天カードアプリや楽天e-NAVIなど公式サービスを自分で開いて確認するのが安全です。迷惑メール相談センターも、このメールには反応しないよう呼びかけています。

偽メールのリンク先で情報を入力してしまった場合は？

すぐにカード会社の公式窓口へ連絡してください。楽天IDやパスワードを入力した場合は再設定を、カード番号や暗証番号を入力した場合はカードの利用停止や再発行の手続きを、公式サイトの案内から確認します。

なぜ詐欺メールが送信ドメイン認証を通過したのですか？

ドコモは「一部企業の送信ドメイン認証の設定に脆弱性があった」と説明していますが、具体的な設定内容は公表していません。報道では、SPFの認証に楽天グループと無関係に見える「.com」ドメインが使われていたとの報告が紹介されています。

公式マークの表示は今後どうなりますか？

ドコモは、問題が解消するまでの一定期間、該当企業の公式アカウント表示を停止するとしています。該当企業名や再開時期は公表されていないため、当面はマークの有無にかかわらず慎重に判断する必要があります。

まとめ

楽天カードを装う詐欺メールに、ドコモメールの公式マークとBIMIロゴが付いた今回の件は、「認証マーク＝本物」という分かりやすい目印にも限界があることを示しました。原因は一部企業の送信ドメイン認証設定の脆弱性とされ、技術的な詳細は今後の発表待ちです。

利用者にできる最も確実な対策は、メールのリンクから手続きをしないというルールを決めておくことです。カードや銀行、通販サイトの手続きは、公式アプリや保存済みのブックマークから行う。マークや送信元表示は「参考情報の一つ」として受け止め、少しでも違和感があればメールを閉じて公式サービスで確認しましょう。

参考ソース

関連記事