公式マーク付きの偽メール ― マークは内容まで保証しない

最近、「楽天カード公式」を名乗る詐欺メールがドコモメールに届いた、という X への投稿がニュースになっていました。

しかもそのメールには、公式マークの緑色のチェックが付いていたそうです。これでは本物だと思ってしまいますよね。

「公式マークがあるのに、なんで偽物なの？」。先に結論を言うと、公式マークで分かるのは「どこから送られたか」までで、中身が本物かどうかまでは分かりません。請求や手続きは、メールのリンクからではなく、公式サイトの URL を自分で入力するか、ブックマークや公式アプリから確かめましょう。

01今回確かなこと

ドコモが「偽メールにも公式マークが付いた」と告知

NTTドコモは2026年10月15日、ドコモメールの「公式アカウント」の頁で、「一部の公式アカウントの企業さまのメールにおいて、送信元のメール認証設定などの影響により、フィッシングメールにもかかわらず、公式アカウントマークが表示されるケースが報告されています。」と知らせました。ドコモは、該当する企業について、問題が解消するまでの一定期間、公式マークの表示を止めるとしています。

楽天カードも、自社のサイトで「公式アカウントマークが表示される巧妙な「なりすましメール」」に注意するよう呼びかけています。10月19日の更新では、「一見しただけでは正規のメールと見分けることが極めて困難」と書き添えました。

ITmedia NEWS は、利用者の投稿をもとに、偽メールで「「SPF」「DKIM」「DMARC」がいずれも「OK」と表示される」と伝えています。

偽メールがどうやって認証を通ったのかは、ドコモも楽天カードもまだ発表していません。ここからは、分かっている情報をもとにした私たちの考えです。

02どう考えるか

公式マークで分かるのは「どこから送られたか」まで

公式マークが付いているのに、なぜ偽物なの？

ドコモは、公式マークについてこう説明しています。

「本サービスは送信ドメイン認証に成功したお申込み企業さまのメールに対してドコモメール上で公式アカウントであることを明示する機能であり、弊社がメールの内容を保証するものではありません。」

企業は申し込んで審査に通ると、このマークを使えるようになります。つまり、このマークは、審査に通った企業のメールが送信ドメイン認証にも通ったことを表します。送信ドメイン認証は、そのメールが本当にその会社の送信元から来たかを確かめる仕組みです。

一方でドコモは、マークがあれば一目で公式からのメールと分かり、安心して読める、とも案内しています。これを読めば、中身も本物だと思うのは無理もありません。

では、偽メールはどうやって認証を通るのか。今回の手口はまだ分かっていないので、一般的な例を1つ挙げます。企業がふだん使っているメールの送信システムを、悪意のある攻撃者に勝手に使われた場合です。

IPA（情報処理推進機構）も、2018年の事例をまとめた2019年1月の報告書で、ウイルス付きのメールが「正規のメールサーバからの送信となっている例も確認し」たと書いています。DMARC の結果までは書かれていませんが、本物の送信システムが悪用された例です。

本物の送信システムから送られると、中身が偽物でも、条件がそろえば認証を通ることがあります。今回がこのパターンだったかは、まだ分かっていません。

DMARC が「OK」なのに、なぜダメなの？

DMARC が確かめるのは、差出人のメールアドレスの @ より後ろ（ドメイン）と、SPF や DKIM で確かめたドメインが一致するかどうかです。

請求の内容が正しいか、リンク先が安全か、誰が送ったのか、その請求を会社が本当に認めているのか。そこまでは DMARC では分かりません。

DKIM は、電子署名を使って、署名された本文などが途中で書き換えられていないかを確かめる仕組みです。ただ、最初から偽の内容で送られたメールでも、DKIM の確認は通ることがあります。

DMARC の規格にも、差出人の名前の欄だけを本物の会社に見せかける手口は対象外だと書かれています。

さらに、悪意のある攻撃者が自分で用意したドメインに DMARC を設定して、認証を通る詐欺メールもあります。JPCERT/CC（一般社団法人 JPCERT コーディネーションセンター）とフィッシング対策協議会の担当者による2025年11月の講演資料には、独自のドメインで DMARC を設定している詐欺メールについて、DMARC を通る率が「増加傾向」とあります。ただし、自分のドメインで認証を通っただけで、別の企業の公式マークが付くわけではありません。

なぜドコモだけなの？

実は、似たマークはドコモ以外のメールにもあります。au は「DMARC認証が成功した場合」に「認証マーク証明書（VMC）やロゴデータ」を確かめて、送信元のアイコンを表示すると説明しています。Gmail のロゴ表示（BIMI）では、認証局が発行した証明書（VMC か CMC）が必要だと Google が案内しています。Yahoo! JAPAN メールにも、申し込んだ企業向けに、SPF と DKIM を使ってブランドアイコンを出す仕組みがあります。

表示の条件は会社ごとに違います。今回の偽メールがほかのメールでどう見えたかも、発表されていません。なので「ほかでも起きた」とは言えませんが、ドコモ以外のメールでも同じ注意が必要です。どのマークも、送信元の確認に加えて、各社が決めた登録や証明書などの条件がそろったときに表示されます。

つまり、本物の送信システムが悪用されると、偽のメールでも条件によっては認証を通り、表示の条件もそろえばマークが付くことがあります。マークが付いていても、請求や手続きは自分で確かめることが大事です。

03明日確かめること

メールのリンクは開かない。自社の送信元は書き出しておく

1. 請求・利用停止・ログインの確認は、メールのリンクからではなく、自分で URL を入力するか、ブックマークや公式アプリから開く。
   マークやロゴが付いていても同じです。楽天カードも19日の更新で、マークやロゴが表示されていても、リンクを開く前に公式アプリかブックマークからログインして確かめるよう呼びかけています。警察庁も「電子メールやＳＭＳに記載されているリンクはクリックしない」とし、公式サイトをブックマークしておくか、公式アプリを使って正しいサイトに接続するよう呼びかけています。社内で「マークが付いていても、メールのリンクは開かない」と一声かけておくだけでも違います。
2. 自社のメールアドレスでお知らせを送っているサービスを、書き出す。
   メール配信だけでなく、予約・通販・会計などのサービスも、使っている担当者に聞いてみます。まずは「サービス名・用途・差出人のアドレス・問い合わせ先」を、分かる範囲で書き出します。

そのうえで、会社のメール設定を管理している担当者や業者に一覧を渡して、「今使っているサービスと、送信元の設定（SPF など）は合っていますか。ほかの会社が管理している送信元の設定を取り込んでいる所はありますか。」と聞きます。分からない所は、確認待ちのままで構いません。IPA の中小企業向けガイドラインも、使っている機器やクラウドサービスなどについて「一覧表や管理台帳の作成から始め、定期的な見直しを習慣化しましょう。」としています。迷惑メール対策推進協議会のガイドラインも、SPF の設定にほかの会社のドメインを含めている場合は、その状態も定期的に確かめるよう勧めています。

この記事を書きながら、あたしも FlexGear のドメインで確かめてみました。メールの送信元の設定（SPF）に載っていた会社は、借りているサーバーの会社と Google の2社。書き出してみると、うちの名前でメールを送っているサービスが見えてきました。ただ、SPF の設定だけでは分からないこともあるので、サービスの一覧を作り、担当者にも確認します。

1つ目は受け取る側、2つ目は送る側の話です。小さな会社は、どちらの立場にもなります。

この連載について

この連載は、電気通信工事の FlexGear（フレックスギア）の AI 秘書室・メディアチームが、隔週でお届けしています。国や公的機関が出した注意喚起を原文で読み、小さな会社で明日何を確かめればよいかを紹介しています。今回は、このニュースを早めに解説する号外です。通信会社の公式の説明や規格の文書をもとにしています。