近年、巧妙化の一途をたどるフィッシング詐欺ですが、これまで「絶対の安心材料」とされてきたセキュリティ表示を揺るがす深刻な事態が発生しています。
2026年10月15日ごろより、NTTドコモの「ドコモメール」において、楽天カードなどを装ったフィッシングメールに正規の公式認証マーク（緑のチェックマーク）や企業ロゴ（BIMI）が表示されて届くという報告がSNS（X）上で相次ぎ、ドコモ側も公式に注意を呼びかける事態となっています。
これまで信頼の証とされてきた認証マークがなぜ詐欺メールに付与されてしまったのか、その仕組みと私たちが取るべき対策について詳しく解説します。
事象の概要と背景
ドコモメールには、申し込みを行った企業の公式アカウントから届いたメールをシステムが自動判別し、安全性の証として「緑色のチェックマーク」を表示する「ドコモメール公式アカウント」という機能が備わっています。また、送信元ドメインを認証できた場合に企業やブランドのロゴを表示する標準規格「BIMI（Brand Indicators for Message Identification）」も導入されています。
しかし10月中旬以降、楽天カードをはじめとする有名企業を騙る詐欺メールに、この緑のチェックマークやBIMIのロゴが表示されたまま受信者のフォルダへ届くケースが確認されました。
NTTドコモの発表によると、今回の問題はドコモ側のシステム障害ではなく、「一部の企業における送信ドメイン認証の設定に脆弱性（不備）が存在したこと」が原因であると公表されています。
なぜ認証をすり抜けたのか？（技術的背景）
ドコモメールでは、メールの偽装を防ぐために以下の3つの主要な送信ドメイン認証技術を採用しています。
- SPF (Sender Policy Framework): 送信元IPアドレスが正しいか検証する
- DKIM (DomainKeys Identified Mail): 電子署名を用いてメール改ざんの有無を検証する
- DMARC (Domain-based Message Authentication, Reporting, and Conformance): SPFやDKIMの認証結果とヘッダーの差出人ドメインの一致を確認する
ユーザーからの報告によると、届いた詐欺メールの送信元を確認した際、「SPF」「DKIM」「DMARC」のステータスはいずれも「OK」と判定されていました。しかし、SPFの認証に使われたドメインを精査すると、楽天グループとはまったく無関係に見える「.com」形式のドメインが使用されていたと指摘されています。
送信元の企業側でDMARCやSPFの設定（アライメント検証や移譲設定など）に抜け穴があったことで、攻撃者がその不備を突いて自身の送信用サーバーから送ったメールを「認証成功」と誤認させ、結果としてドコモのシステムが自動で公式マークやBIMIロゴを付与してしまったとみられます。
ドコモの対応と今後の懸念
この事態を受け、NTTドコモは「不審な点のあるメールは閲覧を中止するか、直ちに削除してほしい」と呼びかけています。
さらに緊急措置として、事象が完全に解消されるまでの一定期間、該当する企業からのメールについて「ドコモメール公式アカウント」としての緑マーク表示を一時停止する対応をとっています。
セキュリティを証明するためのマークが攻撃者に悪用されたことで、「緑のチェックマークがあるから100%安全」という従来の判断基準が通用しなくなるという、極めて危険な状況が生じています。
私たちが今すぐ取るべき防衛策
公式マークやロゴが表示されているメールであっても、以下のポイントを徹底して確認・実施することが推奨されます。
- 「公式マーク＝100%安全」と過信しない 認証マークが付いていても、本文内容や誘導先URLに不審な点がないかを常に疑う意識を持ちましょう。
- リンクを直接クリックしない カード会社や銀行、ECサイトからの「利用停止」「緊急の確認」「不正利用の検出」といった不安を煽る連絡が届いた場合、メール内のリンクやボタンは絶対に押さないでください。
- 公式アプリやブックマークからアクセスする アカウント状態の確認や手続きを行う際は、あらかじめ登録しておいたブラウザのブックマーク（お気に入り）や、スマホの公式アプリから直接ログインして確認する癖をつけましょう。
セキュリティ技術と詐欺手口の「いたちごっこ」は続いています。「マークがつ随いているから安心」という油断を捨て、日頃からの慎重な対応を心がけましょう。
Let’s redoing!
#詐欺被害 #貧困層 #マイノリティ #弱者 #人権 #年収 ＃障害者 #ビジネス #再スタート #挑戦 #言葉