公式マーク付きの詐欺メールとは、メールアプリが「公式アカウント」を示すマークやロゴを表示しているのに、中身はフィッシングだったという事例です。2026年10月15日ごろから、楽天カードをかたるメールがドコモメールの公式アカウントマーク付きで届いたという報告が相次ぎました。本記事は2026年10月21日時点の情報です。NTTドコモは「一部の企業のメールで、送信ドメイン認証の設定に脆弱性があった」と説明していますが、技術的な詳細は公表されていません。そこで本記事では、確認できた事実と、一般論として起こり得ることを分けて整理し、自社ドメインで見直したい設定を制作会社の視点でまとめます。

何が起きたのか｜2026年10月時点で分かっていること

まず事実関係です。ITmedia NEWSの報道とドコモの案内で確認できた範囲だけを書き、推測は含めません。公式マークがあれば安心という前提が揺らいだ出来事ですが、特定の企業を責める話ではなく、仕組みの限界を知るための事例として扱います。

時系列で見る経緯

報告されている現象

ITmedia NEWSによると、問題のメールではSPF・DKIM・DMARCがいずれも「OK」と表示されていました。一方で、SPFの認証に使われたのは楽天グループと無関係に見える「.com」ドメインだったとの報告もあります。ただし、これはSNS上の報告として紹介されたもので、原因を断定する材料ではありません。報道は脆弱性の具体的な内容にも触れていません。

まだ分かっていないこと

対象となった企業の範囲、悪用された設定の中身、被害の規模は、確認した範囲では公表されていません。楽天カード側の設定に起因するのか、受信側の判定の仕組みに起因するのかも明言されていません。この点は断定できないため、本記事も原因の特定はしません。楽天カードについては、公式サイトのお知らせで注意喚起の有無を確認できませんでした。最新の状況は、各社の公式サイトでご確認ください。

公式マークの仕組み｜何を確かめていて、何を保証しないのか

公式マークは「送信ドメインの認証に成功したこと」を目印にした表示で、メール本文の安全性を保証するものではありません。ドコモも、メールの内容を保証するものではないと案内ページに明記しています。

SPF・DKIM・DMARCは送信元ドメインの確認

SPFは送信してよいサーバーの宣言、DKIMは電子署名、DMARCは不合格時の扱いの指示です。いずれも「そのドメインを名乗って送る資格があるか」を確かめる仕組みで、そのドメインの持ち主が信頼できる相手かどうかまでは見ていません。基本の設定手順はフィッシング対策の基本｜見分け方7つと自社ドメインを守るSPF・DKIM・DMARC設定で解説しているので、ここでは繰り返しません。

BIMIとVMC・CMCによるロゴ表示

BIMIは、認証に成功したメールの差出人名の横に企業のロゴを表示する仕組みです。Googleのヘルプによると、BIMIを使うにはDMARCのポリシーをquarantineまたはrejectにし、pctを100にする必要があり、p=noneは対象外です。さらにロゴの正当性を示すVMC（認証マーク証明書）またはCMC（共通マーク証明書）が求められます。どの表示にどの証明書が必要かはメールサービスごとに異なるため、導入時は各社の公式ドキュメントで確認してください。

ドコモメールの公式アカウントマーク

ドコモメールの公式アカウントは2021年5月25日に始まった機能で、送信ドメイン認証に成功した申込企業のメールにマークを表示します。ドコモの案内ページでは、自動転送やメーリングリスト経由で受信した場合、送信側の設定変更で認証に失敗した場合などにマークが出ないことがあるとも説明されています。ITmedia NEWSによると、ドコモメールはSPF・DKIM・DMARCに加えてBIMIも採用しています。

認証を通ったメールが偽物になり得る理由｜一般論として

ここからは今回の原因ではなく、あくまで一般論です。メールの認証は「ドメインの名乗りが正しいか」の確認なので、条件次第では、認証に合格しても送信者が本人とは限らない状況が生まれます。今回の事例がこのどれに当たるのかは、現時点では分かっていません。

無関係なドメイン自身が認証に合格する

攻撃者が自分で取得したドメインにSPF・DKIM・DMARCを正しく設定すれば、そのドメインとしては全て合格します。前掲記事で紹介したとおり、フィッシング対策協議会の2026年7月の報告でも、攻撃者が取得したドメインから送られたメールの大半がDMARCに合格していたとされています。合格と本物は別の話です。

サブドメインの扱いが緩い

DMARCにはサブドメイン用のポリシー（sp）があり、省略すると親ドメインと同じ扱いになります。ただし、使っていないサブドメインにメール関連の設定が何もない、別の担当者が管理していて設定が揺れている、といった状態は起こり得ます。自社の全サブドメインを把握しているかどうかが分かれ目です。

DMARCがp=noneのまま止まっている

p=noneは監視だけで、不合格のメールを止めません。導入時はそれで正しいのですが、そのまま何年も放置されているドメインは少なくありません。BIMIのようにquarantine以上を前提とする機能もあり、強化の段階を進めていないと、なりすましを止められないだけでなく、受信側の表示機能も使えません。

委託先の配信サービスのSPFが広すぎる

メルマガや通知の配信を外部サービスに任せるとき、SPFにそのサービスのincludeを追記します。共有のIPアドレス帯を広く許可する形だと、同じサービスを使う別の契約者の送信も合格しやすくなる場合があります。サービスごとに専用のサブドメインを割り当て、DKIMの署名ドメインも自社ドメインで揃える設計が安全です。

正規アカウントそのものが乗っ取られる

認証は送信元ドメインの確認なので、正規のメールアカウントや配信サービスのアカウントが乗っ取られて送られたメールは、全ての認証に合格します。この場合、ドメインの持ち主も被害者です。管理画面の多要素認証が、設定の中でも優先度の高い項目になります。

受け取る側の見分け方｜マークを判断材料の1つにとどめる

マークは安心材料にはなりますが、最終判断の根拠にはしないのが現実的です。確認の順番を決めておくと迷いません。

マークやロゴがあっても本文の要求を確認する

「会員情報の更新」「支払い方法の確認」「利用停止の回避」など、行動を急がせる内容は、マークの有無に関係なく疑います。カード番号や暗証番号をメールのリンク先で入力させる案内は、通常ありません。

リンクを押さず、公式アプリかブックマークから開く

本当に必要な手続きなら、公式アプリや自分で登録したブックマークからログインした画面にも案内が出ています。メール内のリンクは使わない、という習慣を決めておくだけで、偽サイトへの入力はかなり防げます。

押してしまったときの動き方

入力してしまった場合は、そのサービスのパスワードを公式の画面から変更し、カード会社の窓口に連絡して利用状況を確認します。同じパスワードを使い回していた他のサービスも変更します。ドコモは不審なメールについて、閲覧を中止するか削除するよう呼びかけています。報告先は前掲記事のFAQにある、フィッシング対策協議会の窓口を参照してください。

自社ドメインで見直す設定チェックリスト

自社がメールを送る側になるとき、見直す項目は次の表のとおりです。今回の事例の原因が公表されていない以上、これは特定の原因への対策ではなく、一般的な点検項目です。

DMARCの強化手順そのものは前掲記事のステップ4〜6を参照してください。Gmailの送信設定を使っている場合はGmailの送信元・POPが2027年1月廃止｜独自ドメインメールへの影響と対策も確認しておくと、送信経路の整理がしやすくなります。

制作現場で見かける落とし穴

制作の現場では、DNSの設定が「作った人の頭の中」にしかなく、後から誰も全体を把握していないサイトによく出会います。メール認証の事故は、技術の難しさより管理の抜けから起きやすいと感じます。

制作会社・ホスティングを替えたあとの古い設定

サーバーや制作会社を替えたあとも、以前のメール配信サービスのincludeや、使っていないサブドメインのレコードが残っていることがあります。サイトのリニューアル時に、DNSレコードの棚卸しを一緒に行うと安心です。

フォームやCRMが別の経路で送っている

問い合わせフォーム、予約システム、請求書の送付サービスは、導入した時期も担当者もばらばらです。DMARCを強める前に、送信しているサービスを洗い出し、全てのメールが自社ドメインで署名されているか確認します。

トラブル対処｜よくあるつまずきと考え方

設定を見直すときと、実際に不審なメールが出回ったときの対処をまとめます。

DMARCを強めたら正規メールが届かない

洗い出し漏れのサービスが原因であることが多く、p=noneに戻してレポートで不合格の送信元を特定します。強化は一度に進めず、quarantineでしばらく様子を見てからrejectにします。

自社名をかたるメールが出回っていると言われた

まず自社ドメインのDMARCを確認し、サイトのお知らせで正規の送信元アドレスと、メールで暗証番号などを求めないことを案内します。似たドメインから送られている場合はDMARCでは止められないため、フィッシング対策協議会や契約している配信サービスに相談します。

公式マークが表示されなくなった

今回のように、受信側が一定期間、該当企業のマーク表示を止めるケースがあります。ほかにも、自動転送やメーリングリスト経由、認証失敗でも表示されません。表示が消えたからといって、その企業のメールが偽物になったわけではないので、表示の有無だけで判断せず、公式サイトのお知らせを確認します。

よくある質問

Q. 公式マークが付いていれば安全ですか？

A. 安全とは言い切れません。マークは送信ドメインの認証結果に基づく表示で、本文の内容を保証するものではありません。

Q. 今回の原因は楽天カードの設定ミスですか？

A. 分かっていません。ドコモは「一部の企業のメールで、送信ドメイン認証の設定に脆弱性があった」と説明していますが、対象企業や具体的な内容は、確認した範囲では公表されていません。

Q. 自社のメールにもマークやロゴを表示させたほうがいいですか？

A. 必須ではありません。まずSPF・DKIM・DMARCを整え、DMARCをquarantine以上にしてから、必要に応じてBIMIを検討する順番が現実的です。

Q. DMARCをrejectにしていれば、今回のようなことは防げますか？

A. 自社ドメインのなりすましは防げますが、攻撃者が別のドメインを使う場合や、正規アカウントが乗っ取られた場合は防げません。受け取る側の確認と組み合わせて考えてください。

Q. 小さな会社でもDMARCの見直しは必要ですか？

A. 必要です。独自ドメインを持っていれば、規模に関係なく悪用の対象になり得ます。まずは現在の設定を確認することから始めてください。

Q. 怪しいメールのリンクを押してしまったらどうしますか？

A. 入力していなければ、画面を閉じて端末のウイルス検査を行います。入力した場合は、公式の画面からパスワードを変更し、カード会社や該当サービスの窓口に連絡してください。

まとめ

公式マークは「送信ドメインの認証に成功した」ことを示す表示であって、メールの中身の安全を保証するものではありません。今回の事例では、ドコモが一部企業の設定に脆弱性があったと説明しており、詳細は公表されていません。受け取る側はマークを判断材料の1つにとどめ、公式アプリやブックマークから確認する。送る側はDMARCの強化、サブドメインや委託先の棚卸し、管理アカウントの多要素認証を定期的に見直す。この両方が大切です。各社の仕様や状況は変わることがあるため、最新情報は公式サイトでご確認ください。主な出典はITmedia NEWS（2026年10月16日）、NTTドコモの公式案内、Googleの公式ヘルプです。

THREE D PLUS は大阪の Web 制作会社です。ホームページ制作から公開後の運用・改善までまとめてご相談いただけます。お問い合わせはこちら。