自社ショップの名前をかたるなりすましメールの対策｜送信ドメイン認証・お客様への告知・報告先

2026年10月23日時点の情報：店舗がやることは、送信ドメイン認証・お客様への告知・報告の3つです。 そのために、まず注文確認・発送連絡・問い合わせ返信・メルマガを、自社ドメインから直接送るものと、モール経由のものに分けます。 楽天のモール経由メールは、店舗側で変更できる認証設定の範囲や内部設定を、公開情報では確認できません。 送信経路ごとに管理者と設定範囲を確認し、送信ドメイン認証・お客様への告知・報告を組み合わせます。

店舗がやる3つの対策

次の3項目について、対応状況と担当者を整理します。

なりすましメールの傾向と2026年の公開統計

フィッシング対策協議会の「2026年9月フィッシング報告状況」は次の数値を公表しています。報告件数を被害者数や楽天店舗の被害率とは読めません。

楽天市場の個々の出店店舗について、店名を悪用したメールの発生率や被害率は、公開情報では確認できません。

店舗では、自店への問い合わせ内容と確認結果を記録し、対応の判断に使います。

社長なりすましメール（CEO詐欺）は社内向けの対策も要る

お客様向けとは別に、店舗のスタッフ自身が狙われる手口もあります。警察庁は、取引先や自社の経営者等になりすまし、偽のメールで入金を促す詐欺をビジネスメール詐欺（BEC）と説明しています。

IPAは2026年3月、社長等をかたる詐欺メールへの注意を呼びかけました。2025年12月16日から2026年3月10日までに、同じ手口の相談が106件寄せられたとしています。

送信ドメイン認証でできるなりすましメール対策

SPF・DKIM・DMARCは、自社の送信ドメインを詐称したメールの判定を助けます。

ただし、別ドメインから店名を名乗るメールや、正規メールアカウントが乗っ取られた場合まで防げません（IPAのメール対策資料）。

DMARCは、SPFとDKIMの両方の合格を必須とする仕組みではなく、Fromドメインとの整合性も確認します（Google「メール送信者のガイドライン」）。

送信経路ごとの最小限の確認手順

1. メールの用途・送信サービス・Fromドメイン・管理者を一覧にします。
2. DNS管理者とメール提供元に、正規サービスがSPFに含まれるか、DKIM署名が付くか、署名ドメインは何かを確認します。
3. 各経路の正規メールについて、SPF・DKIMの合否とFromドメインとの整合性、DMARCの認証結果を確認します。
4. DMARCレポートを受け取って分析する担当者と受け取り先を決め、正規メールの認証・配信結果を確認してからポリシーを強化します。

モール経由の設定範囲は推測で埋めず、楽天の店舗向け窓口へ照会します。

DMARCのp=noneは、隔離や受信拒否を要求する設定ではなく、導入時の観測などに用いるポリシーです。

DNSに登録するDMARCレコードは、たとえば次の1行です。example.com の部分は自社のドメインと、レポートを受け取るアドレスに置き換えます。

登録後は、届いたレポートで正規のメールが認証に通っているかを確かめてから、quarantine・reject へ強めます。値の意味と段階の進め方は「DMARCの設定方法」で詳しく扱っています。

IPAは、レポートを分析しながら、quarantine、rejectへ段階的に強化する進め方を示しています（IPA「中小企業のサイバーリスク事例集」）。

ただし、受信サービス側の判断も関係するため、指定したポリシーどおりに必ず処理される保証はありません（Googleの送信者ガイドラインFAQ）。

Gmail・Outlook.com・日本のYahoo!メールの違い

各社の送信者要件・認証案内に基づきます。

受信要件への対応と、自社ドメインの悪用を抑えるポリシー強化は分けて考えます。noneで要件を満たしても、不合格メールの隔離・拒否は要求しません。

お客様への注意喚起に入れる内容

フィッシング対策協議会のガイドラインは、送信元アドレスなどの表示だけで本物と判断させる案内を避けています。公式ドメインは連絡手段の説明に使い、安全の保証にはしません。

告知はショップのトップページなどから見つけやすい場所に置き、問い合わせ返信用のテンプレートにも同じ案内を使います。新たな事実の確認、調査中の事項の確定、案内する対応の変更があれば、告知と返信文を併せて更新し、更新日を残しましょう。

特定の件名だけを並べると、それ以外のメールを安全と誤解されるおそれがあります。特徴の列挙より、安全な確認行動を中心に伝えてください。

画像を掲載する場合は、顧客情報や危険なURLを伏せ、お客様が誤ってアクセスできる状態を避けましょう。

店舗の注意喚起文と安全な確認手順

以下は店舗向けの編集例です。実際に不審メールを確認し、自店の運用に合う場合に調整して使います。

当店名を使用した不審なメールを確認しており、お心当たりのない連絡には返信しないようお願いいたします。 メール内のリンクや添付ファイルは操作せず、普段ご利用の楽天市場公式アプリなどからご注文をご確認ください。 ご不明な場合は、正規ショップ内の問い合わせ窓口へご連絡いただき、メールの内容についてご確認ください。

パスワードを尋ねない運用が確認できている場合は、そのことも明記して、お客様の判断材料を補います。

1. 不審なメールへの返信やリンク・添付の操作を止め、メールに書かれた連絡先の利用を控えます。
2. 普段使っている公式アプリや登録済みブックマークから、注文内容や発送状況を確認します。
3. 判断できない場合は、正規ショップ内の問い合わせ窓口から、店舗へ確認するよう案内します。

店名を使われた事実だけで情報漏えいは確定しないため、告知では、確認した事実と調査中の事項を分けます。

なりすましメールの報告先と警察への相談

フィッシング情報は協議会やモールへ報告し、被害への対応や相談は警察などの窓口も利用して進めます。

協議会へ転送する際も、メール内のリンクは開きません。

協議会は、迷惑メールフォルダーに入ったメールについては報告不要と案内しているため、受付条件も確認してください（協議会「フィッシングの報告」）。

警察のオンライン窓口では通報・相談・情報提供を受け付けますが、被害届を出す場合は最寄りの警察署等へ連絡します（警察庁「サイバー事案に関する相談窓口」）。

自店名の悪用を確認したときの初動対応

お客様の操作状況とメール情報を記録し、店舗責任者・メール管理者へ引き継ぎます。

1. 受信日時・件名・差出人の表示とアドレスを記録し、メール本文など確認に必要な情報を保存します。
2. リンク操作や情報入力の有無、金銭的被害の有無を確認し、優先して案内する対応を決めます。
3. 送信サービスの管理者と、受信したメールを店舗側の送信記録に照合します。送信経路ごとに記録と認証結果を確認し、確認できた範囲を店舗責任者へ共有します。
4. 報告先への情報提供と告知を進め、判明した内容に応じて、お客様への案内を更新します。

従業員のメールアカウントも、不審なログインがないか、多要素認証を利用しているか確認します。正規アカウントの不正利用が疑われる場合は、メール管理者へ引き継ぎ、認証設定だけで対応を終えないようにします（IPAの事後対応・予防策）。

調査のために、お客様へパスワードやカード番号全体の送付を求めないでください。

情報を入力してしまった場合は、報告の完了を待たず、入力内容に応じた対応をお客様に案内します。

楽天市場の公開ヘルプ、IPAの事後対応資料、警察庁「フィッシング対策」に基づく対応です。

楽天市場・Amazon・Yahoo!ショッピングの公式注意喚起

楽天市場は2026年10月22日更新の注意喚起で、定期購入を装ってLINEへ誘導する不審メール・SMSを案内しています（楽天市場「定期購入を装った不審なメール・SMS」）。

BIMI・ブランドアイコンの条件と限界

GmailのBIMIは、DMARCがquarantineまたはrejectで、VMCまたはCMCの証明書が必要です。VMCには商標登録などの要件があり、CMCは商標未登録のロゴでも認証局の要件を満たせば利用できます。Gmailの確認済みチェックマークはVMCが対象で、CMCには同じマークは付きません（GoogleのBIMI設定案内）。

日本のYahoo!メールのブランドアイコンは別の仕組みで、SPFまたはDKIMへの対応、ドメイン条件、審査・技術確認などがあります。GmailのBIMI設定だけで同じ表示になるとは限りません（LINEヤフーの企業向け案内）。

Yahoo!メールは2026年4月14日、ブランドアイコン等が表示される不審メールの存在を公表しました。

お客様への案内では、ロゴやアイコンの表示を安全の保証にせず、不審な場合は公式サイト・アプリから確認するよう伝えます（Yahoo!メールの注意喚起）。

よくある質問（FAQ）

Q1 店名を使ったなりすましメールは店舗側で完全に止められますか

完全には止められません。別ドメインから店名を名乗るメールなどは認証だけでは防げず、告知・報告も必要です。

Q2 DMARCを設定すればお客様への告知は不要ですか

不要にはなりません。認証で防げない店名の悪用もあるため、公式の連絡手段と安全な確認方法を知らせます。

Q3 公式ドメインやロゴが表示されていれば本物ですか

表示だけでは判断できません。不審な場合は普段使う公式アプリなどから確認します。

Q4 店名を悪用されたら顧客情報が漏えいしたということですか

店名の悪用だけでは確定しません。送信記録などを調べ、確認済みの事実と調査中の事項を分けて説明します。

Q5 フィッシング対策協議会に報告すれば被害相談もできますか

協議会はフィッシング情報の報告先です。被害は警察や利用サービスへ相談し、カード情報を入力した場合はカード会社へ連絡します。

Q6 自分のアドレスから届く不審なメールは、アカウントの乗っ取りですか

乗っ取りとは限りません。IPAは、送信元のメールアドレスを受信者自身のアドレスに偽装したメールの例を示し、表示上の送信元は偽装できると説明しています。メールにあるパスワードを今も使っている場合は変更し、送信記録とログイン履歴も確認します。