楽天カード詐欺メール｜ドコモメールの認証マーク付き偽物に注意
「楽天カードのメールに緑色のチェックマークが付いていたから、本物だと思って開いてしまった」。2026年10月15日ごろから、そんな報告がX（旧Twitter）で相次いでいます。
ドコモメールには、公式のメールだと分かるように、差出人の横にマークやロゴを出す機能があります。今回は、その機能のついた詐欺メール（フィッシングメール）が届いたというのです。「マークが付いていれば安心」と考えていた方ほど、ひっかかりやすい状況です。
この記事では、現時点で分かっていることと、まだ分かっていないことを分けて説明します。専門用語はそのつど解説するので、メールの仕組みに詳しくない方も読み進めてください。見分け方や、開いてしまったときの対処法もまとめました。
動画での解説は、【至急確認】Apple Account不正ログイン大量発生中！全てのユーザーが対象！でも順次お届けしていきます。
なお、この記事は2026年10月16日時点の情報です。状況は日々変わるので、ドコモと楽天カードの公式案内もあわせて確認してください。
何が起きている？ドコモメールの認証マーク付き詐欺メールの概要
10月15日ごろから報告が増えている
ITmedia NEWSなどの報道によると、「楽天カードの認証マーク付き詐欺メールが、ドコモメールに届いた」という投稿が、10月15日ごろからXで相次いでいます。楽天銀行を名乗るメールにも、マーク付きのものがあったと伝えられています。
NTTドコモは同じ10月15日に、この事象を公表しました。ドコモメールに届いたフィッシングメールに、「ドコモメール公式アカウント」のマークや、企業のブランドロゴが表示されるケースが確認されているという内容です。
ドコモが説明している原因
ドコモの説明によると、一部の企業のメールで「送信ドメイン認証の設定に脆弱性があった」ことが原因です。脆弱性とは、悪用されるすき間になりうる弱点のことです。
ドコモは、対象となる企業について、事象が解消するまでの一定期間、公式アカウントの表示を停止するとしています。また、不審な点のあるメールは、閲覧を中止するか削除するよう呼びかけています。
まだ分かっていないこと
ここは、読み間違えないでほしい部分です。
- ドコモは、影響を受けた企業の名前を公表していません。
- 楽天カードの設定が原因だと、特定されたわけではありません。
- 利用者の報告では、認証結果がすべて「PASS（合格）」だったとされていますが、個々のメールの認証の過程を第三者が検証した情報は、確認できていません。
- 今回の事象でお金の被害が出たかどうかについても、公式の発表は確認できていません。
つまり、「楽天カードの落ち度で起きた」とも「認証の仕組み自体が破られた」とも、現時点では言い切れません。分かっているのは、「公式マークが付いた偽メールが届いた報告がある」「ドコモが設定の弱点を認めた」という2点です。
「送信ドメイン認証」とは？初心者向けにやさしく解説
ドメインとは、メールの「住所」にあたる部分
メールアドレスの「@」より右側の部分が、ドメインです。たとえば、「○○@example.co.jp」なら、「example.co.jp」がドメインにあたります。
会社ごとに専用のドメインがあり、楽天カードも自社のドメインを使ってメールを送っています。
送信ドメイン認証は「差出人の住所確認」
送信ドメイン認証とは、届いたメールが、名乗っているドメインの持ち主から本当に送られたものかを、受け取る側のメールサービスが調べる仕組みです。郵便にたとえると、封筒の差出人住所が実在するか、その住所から出されたものかを確認する作業に近いです。
代表的な技術が、次の3つです。
- SPF（エス・ピー・エフ）：このドメインのメールは、この送信サーバーから出す、と事前に登録しておく仕組みです。登録にない場所から届くと、怪しいと判断されます。
- DKIM（ディーキム）：メールに電子署名を付ける仕組みです。途中で書き換えられていないか、持ち主から出たものかを確かめられます。
- DMARC（ディーマーク）：SPFやDKIMの結果と、見えている差出人のドメインが合っているかを確かめる仕組みです。合わなかったときの扱い（拒否する、迷惑メールに入れるなど）を、送り主が指定できます。
ドコモメールは、この3つとも採用しています。
認証マーク（ドコモメール公式アカウント）の位置づけ
ドコモメール公式アカウントは、ドコモに申し込んだ企業や団体から届いたメールが認証を通ると、緑色のチェックマークを出す機能です。受け取った人が、正規の送り主かどうかを目で見て判断できるようにするためのものです。
さらにドコモメールでは、認証に成功したメールの差出人名の横に、企業のロゴを出す「BIMI（ビミ）」という仕組みも使っています。
ここで大切なのは、ドコモ自身が「マークは、メール本文の内容まで保証するものではない」と説明している点です。マークが示すのは、あくまで「送信元の確認ができた」ということです。
たとえば、実在する住所から出された封筒でも、中身が安全とは限りません。それと同じで、住所確認に通ったことと、内容が本物であることは、別の話になります。
認証をすり抜けた可能性があるのは、なぜ？
ここからは、報道や専門メディアの解説にもとづく説明です。ドコモは詳しい手口を公表していないため、「これが原因だ」と断定はできません。
利用者から出ている報告
ITmedia NEWSによると、ドコモメールの利用者がXに載せた情報では、問題のメールの認証結果は、SPF・DKIM・DMARCのどれもPASSだったそうです。さらに、SPFの認証に使われていたのは、楽天グループと関係なさそうな「.com」のドメインだったとの報告があります。
考えられる仕組みの一つ
セキュリティ専門メディアの解説では、次のような可能性が示されています。
悪意のある人が、自分で取得したドメインと送信サーバーを、正しく設定したとします。すると、そのドメインについては、SPFなどの認証に成功します。ここで、画面に出る差出人の名前を「楽天カード」と偽っておけば、認証の結果がPASSでも、実際の楽天とは無関係な偽メールになりうる、という説明です。
認証が確かめているのは、「このドメインが本物か」であって、「そのドメインの持ち主が楽天カードか」までは見ていない場合があります。名前の表示と実際のドメインがずれているメールが、チェックをすり抜ける余地がある、ということです。
注意したい点
この説明は、あくまで可能性の一つです。ドコモが言う「一部の企業の設定の弱点」と、同じ話かどうかも、確認できていません。続報が出たら、内容が変わる場合があります。
はっきり言えるのは、次の2つです。
- 認証マークが付いていても、本物とは限らない
- 差出人の名前だけでなく、メールアドレスのドメインとリンク先のURLを見る必要がある
今スグ備えたい人におすすめ
偽メールの怖いところは、「リンクを開いて、IDとパスワードを入力してしまう」ところにあります。ここを物理的な鍵で防げるのが、セキュリティキーです。
YubiKey（ユビキー）とは
ポチップ
USB-Cに差し込む、または端末にかざして使う、小さな認証用の機器です。ログインのときに、このキーに触れて本人確認をします。偽サイトでは、キーが反応しない仕組みになっているため、パスワードを入力してしまったミスにも強いのが特徴です。
Amazonでは、「YubiKey Security Key C NFC」などの名前で探せます。USB-C端子のiPhoneやパソコンで使えます。
使う前に知っておきたいこと
- 使えるのは、パスキーやFIDO2（フィド・ツー）といった規格に対応したサービスです。
- Apple Accountで使う場合は、2本以上の登録が必要です。予備を含めて2本そろえる前提で考えてください。
- 楽天のサービスで使えるかどうかは、各サービスの公式案内で確認をお願いします。
- 価格は時期や販売元で変わるため、購入前にAmazonの商品ページで確認してください。
全員に必要なものではありません。それでも、「メールやカードのアカウントを、しっかり守りたい」という方には、有力な選択肢になります。iPhoneの設定まわりで悩んだときは、テックスタイルchのブログも参考にしてください。
偽メールの見分け方：マークより「ドメイン」と「リンク先」を見る
① 差出人のメールアドレスを見る
まず、表示された差出人名ではなく、メールアドレスの「@」より右側を確認します。ドコモメールでは、差出人名をタップすると、アドレスが出る場合があります。
楽天カードが公開している注意喚起でも、送信元に「楽天カード株式会社」とあるのに、メールアドレスが違うものがあると紹介されています。正規のドメインは、楽天カードの公式サイトの案内で確認しておくと安心です。
② リンク先のURLを見る
メール内のボタンや文字を、長押しすると、リンク先のURLが表示されます。「rakuten-card.co.jp」の直後が「/」になっているかを見てください。
「rakuten-card.co.jp.○○○○.com」のように、公式に見える文字のあとに別の文字が続くURLは、偽サイトの典型例です。
③ 文面の「急がせ方」を見る
詐欺メールには、共通する特徴があります。
- 「24時間以内に確認しないと、カードが利用停止になります」と急がせる
- 「不正利用の疑いがあります」と不安をあおる
- 「ご利用確認」「本人確認」などの名目で、リンクを押させる
- カード番号、セキュリティコード、暗証番号、ログイン情報の入力を求める
④ 「こちらから確認」には乗らない
メールに書かれたリンクは、使わないのが基本です。カードの利用状況を確かめたいときは、楽天カードの公式アプリ、またはブックマークに保存しておいた公式サイトを、自分で開いてください。フィッシング対策協議会も、日ごろから、メールやSMSのリンクではなく、公式アプリやブックマークからアクセスするよう呼びかけています。
⑤ 「マークが付いているから安全」と考えない
今回の件で、目印の一つにすぎないことが分かりました。マークがあっても、①〜④のどれかが怪しければ、開かずに公式アプリで確かめましょう。逆に、マークがなくても本物のメールはあるので、「マークがない＝偽物」とも決めつけられません。判断の中心は、ドメインとリンク先と、文面の中身です。
もうリンクを開いてしまったら?
あわてて動くと、かえって見落としが出ます。順番に確認していきましょう。
リンクを開いただけで、何も入力していない場合
リンクを開いただけなら、すぐに被害が出るとは限りません。ただし、念のため次のことを行います。
- ブラウザを閉じる
- そのメールを削除する（ドコモは、不審なメールの閲覧中止や削除を呼びかけています）
- 表示された画面で、ダウンロードやインストールを求められても、応じない
ID・パスワードを入力してしまった場合
楽天のIDとパスワードを入れてしまったら、できるだけ早く、本物の楽天のサイトまたはアプリから、パスワードを変更します。同じパスワードを他のサービスで使っているなら、そちらも変えてください。変更の際は、メール内のリンクは使わず、必ず公式アプリや公式サイトから行います。
カード番号や暗証番号まで入力してしまった場合
この場合は、カード会社への連絡が先です。楽天カードの公式サイトやアプリに載っている窓口に連絡して、利用の停止や再発行を相談してください。連絡先は、メールに書かれたものではなく、カードの裏面や公式サイトで確認します。
連絡後は、次のことを行います。
- 利用明細に、身に覚えのない請求がないかを確認する
- アプリの通知設定を見直し、利用のたびに通知が届くようにする
- 数か月は、毎月の明細を気にして見る
迷ったとき、相談する窓口
- 警察相談専用電話：#9110
- 消費者ホットライン：188（局番なし）
- お金を取られた場合：最寄りの警察署と、カード会社
設定の手順で止まってしまったときは、LINEメンバーサポートでご相談ください。一緒に確認していきましょう。
ドコモメールの設定でできる対策
迷惑メール対策の設定を見直す
ドコモには、迷惑メールを減らすための設定が用意されています。設定の名前や画面は、変わることがあります。ドコモの公式案内で、現在の内容を確認してください。
不審なメールは「迷惑メール」として報告する
届いた偽メールは、そのまま削除するだけでなく、ドコモメールの迷惑メール報告の機能を使うと、他の利用者を守ることにもつながります。
他のメールサービスを使っている人へ
今回の報告はドコモメールが中心ですが、GmailやiCloudメールなどでも、ブランドロゴや認証の表示が出る場合があります。表示だけで判断せず、ドメインとリンク先を見る習慣をつけておくと、どのメールサービスでも役に立ちます。
なぜ、楽天カードの偽メールは何度も出回るのか
利用者が多く、狙われやすい
楽天カードのように、利用者の多いサービスは、詐欺をする側にとって効率がよい相手です。大量に送れば、そのうち一定数は、実際に楽天カードを使っている人に当たります。
フィッシング対策協議会は、過去にも楽天カードを名乗るフィッシングの報告を、繰り返し出しています。件名には、「お知らせ」「利用確認」「最終警告」など、不安をあおる言葉が使われてきました。
本物そっくりの画面が作られる
フィッシングサイトは、本物の画面をコピーして作られることが多く、見た目だけで見分けるのは困難です。画面のデザインではなく、入口になったメールとURLを疑うことが大切です。
認証の表示が「信頼の目印」になっていた
今回の件が、より注意を引いている理由は、「安全の目印」として使われてきた表示が悪用された可能性にあります。目印があることで、警戒心が下がってしまうからです。だからこそ、表示に頼りすぎない習慣が役に立ちます。
よくある質問（Q&A）
Q1. 認証マークが付いたメールは、全部疑ったほうがいいですか？
全部を疑う必要はありません。ただ、お金やログインに関わる内容のメールは、マークがあってもリンクを押さず、公式アプリで確認するのが安全です。
Q2. 楽天カードが悪いのですか？
現時点では、そう断定できません。ドコモは「一部の企業の設定に弱点があった」としていますが、企業名は公表していません。楽天カードの設定が原因と特定された情報は、確認できていません。
Q3. すでに届いたメールを開いてしまいました。どうすればいいですか？
何も入力していなければ、メールを削除して、様子を見る形で構いません。IDやカード情報を入力した場合は、この記事の「状況別の対処法」を参考にして、楽天カードに連絡してください。
Q4. 認証の結果が「PASS」なら、本物だと言えますか？
いえません。PASSは「そのドメインについての確認が通った」という意味で、「楽天カードから届いた」という意味とは限らないためです。
Q5. 本物の楽天カードのメールかどうか、確認する一番かんたんな方法は？
メールのリンクは使わず、楽天カードの公式アプリを開いて、お知らせや利用状況を見る方法です。同じ内容の案内が、アプリ側にもあるかを確かめられます。
Q6. ドコモ以外のメールでも起きますか？
今回の報告は、ドコモメールが中心です。ほかのサービスでの状況は、確認できていません。ただし、偽メールは、どのメールサービスにも届く可能性があります。
Q7. 家族にも、この件を伝えたほうがいいですか？
おすすめします。特に、ドコモメールを使っている親や祖父母は、「マークが付いていれば安心」と考えやすいです。「マークがあっても、リンクは押さずにアプリから確認してね」と一言伝えるだけで、役に立ちます。
Q8. しばらくすると、この問題はなくなりますか？
ドコモは、事象が解消するまで、対象企業の公式アカウント表示を停止するとしています。ただ、詐欺メール自体は、今後も届く可能性があります。表示に頼りすぎない見分け方を、身につけておくと安心です。
Q9. 情報はいつ時点のものですか？
2026年10月16日時点です。続報で内容が変わる場合があるので、ドコモと楽天カードの公式サイトで、最新の案内を確認してください。
まとめ
今回の件で、押さえておきたいことを整理します。
- 2026年10月15日ごろから、楽天カードの認証マーク付き詐欺メールがドコモメールに届いたという報告が、相次いでいる
- ドコモは、一部企業の送信ドメイン認証の設定に弱点があったと説明し、対象企業の公式アカウント表示を一時停止するとしている
- 企業名は公表されておらず、楽天カードの設定が原因と特定されたわけではない
- 認証マークは、「送信元の確認ができた」ことを示すもので、メールの中身の安全を保証するものではない
- 見分けるときは、差出人のドメイン、リンク先のURL、文面の急がせ方を見る
- 確認は、メールのリンクではなく、公式アプリやブックマークから行う
もし開いてしまっても、あわてなくて大丈夫です。入力の有無を確認して、状況に合った手順で進めましょう。
不安が残るときや、設定で迷ったときは、LINEメンバーサポートをご利用ください。iPhoneやスマホのセキュリティについては、テックスタイルchでも発信しています。チャンネル登録をして、新しい情報を受け取ってもらえるとうれしいです。