info@rakuten.co.jpからのメールは本物？楽天のフィッシングメールを送信元アドレスだけで判断できない理由と見分け方

楽天を名乗るメールが「info@rakuten.co.jp」から届くと、楽天の正式なドメインに見えるため、本物なのかフィッシングメールなのか判断に迷うことがあります。

結論からいうと、「@rakuten.co.jp」は楽天市場が実際にメール送信に使用している公式ドメインの一つです。しかし、「info@rakuten.co.jp」と表示されていることだけを理由に、そのメールを本物と断定することはできません。メールの差出人として画面に表示されるFromアドレスは、なりすまし対策が適切に機能していない環境などでは偽装される可能性があるためです。

楽天自身もフィッシングメールへの注意を呼びかけており、送信元、メール内容、リンク先、注文・ログイン履歴などを総合的に確認することが重要です。この記事では、楽天を名乗るメールが本物か確認する具体的な方法と、すでにリンクを押した場合の対処まで解説します。

「@rakuten.co.jp」は楽天市場が実際に使用しているドメイン

楽天市場の公式ヘルプでは、楽天市場から送信するメールの主な送信元ドメインとして「@rakuten.co.jp」が掲載されています。そのほか、「@account.rakuten.com」「@emagazine.rakuten.co.jp」「@faq.rakuten.co.jp」「@id.rakuten.co.jp」「@info.rakuten.co.jp」「@mkrm.rakuten.co.jp」「@shop.rakuten.co.jp」なども案内されています。[参照] 楽天市場「楽天を装った不正事例」

また、楽天市場の注文確認メールについては、公式ヘルプで差出人が「order@rakuten.co.jp」と明記されています。つまり「rakuten.co.jp」というドメイン自体は、楽天市場が正規メールに利用しているものです。[参照] 楽天市場「注文確認メール（自動配信）について」

ただし、ここで重要なのは「楽天が@rakuten.co.jpを使用している」という事実と、「@rakuten.co.jpと表示されたメールがすべて本物」という話は別だということです。

info@rakuten.co.jpと表示されていても本物とは断定できない

メールアプリの一覧画面などに表示される差出人アドレスは、一般にFrom欄の情報です。攻撃者が楽天や金融機関などを装う「なりすましメール」では、利用者から見える送信者名やメールアドレスを本物らしく見せる手法が使われます。

楽天グループも、楽天市場や楽天カードなどを装うフィッシングメールへの対策として、SPF・DKIM・DMARCという送信ドメイン認証技術を利用していると説明しています。これらは、受信側メールサービスが「本当に楽天側の仕組みから送信されたメールなのか」を判断する材料になります。[参照] 楽天グループ「なりすまし・フィッシングメール対策について」

そのため、メールアプリ上に「info@rakuten.co.jp」と表示されているだけでは判断材料として不十分です。差出人アドレスは重要な確認項目ではありますが、それだけで100％本物と保証されるわけではありません。

楽天メールが本物か確認するときは本文のリンクを押さない

最も安全で簡単な確認方法は、疑わしいメール本文に記載されたURLを使わず、自分で楽天市場の公式サイトや楽天公式アプリを開くことです。

たとえば「注文に問題があります」「アカウントを停止します」「支払い方法を更新してください」というメールが届いた場合、そのメールのボタンからログインするのではなく、普段利用している楽天市場アプリや自分で入力した公式サイトからログインし、購入履歴や登録情報を確認します。

楽天グループも、重要な情報を入力する際にはWebサイトが本物か十分確認し、楽天市場の場合は正しいトップページからアクセスすることで偽サイトへの誘導を避けるよう案内しています。[参照] 楽天グループ「情報セキュリティの取り組み」

フィッシングメールでよく使われる内容を確認する

楽天を装う偽メールでは、利用者を焦らせてリンクを押させる文章がよく使われます。楽天市場でも、注文確認、アカウント情報の確認、年次本人確認などを装った不審メールについて公式に注意喚起しています。

たとえば「楽天アカウント情報の確認をお願いします」「注文内容に問題があります」「本人確認を完了しないと利用を停止します」といった内容です。楽天は、身に覚えのないメールに含まれるリンクをクリックせず、リンクからファイルがダウンロードされた場合も開かないよう案内しています。[参照] 楽天市場「楽天アカウント情報の確認を装った不審なメール」

また、「注文番号が記載されているから本物」と判断するのも危険です。楽天では、架空の注文番号を使った注文確認風のフィッシングメールについても注意喚起しています。[参照] 楽天市場「注文確認を装った不審なメール」

本物か見分けるために確認したい5つのポイント

メールを開いた状態で、リンクを押さずに次の点を確認すると判断しやすくなります。

• 楽天で実際に行った注文や手続きに関する内容か
• 差出人の完全なメールアドレスが不自然ではないか
• リンク先が楽天とは無関係なドメインになっていないか
• カード番号やパスワードなどを入力するよう急かしていないか
• 楽天公式サイトやアプリ側にも同じ注文・通知・手続きが存在するか

たとえば楽天で何も注文していない日に「本日の注文を確認してください」というメールが届いたなら、メール内のボタンを押す必要はありません。楽天市場の購入履歴を直接開き、注文が存在しなければ偽メールを強く疑えます。

反対に、実際に数分前に楽天市場で注文し、購入履歴にも同じ店舗、同じ金額、同じ注文番号が記録されている場合は、正規メールである可能性が高まります。ただし、それでも不審なURLからログインする必要はありません。

リンクの文字ではなく実際のURLを確認する

フィッシングメールでは、「楽天市場はこちら」「アカウント確認」といった一見正常な文字に、楽天とは無関係なWebサイトへのリンクが設定されることがあります。

たとえば表示上は「楽天市場」と書かれていても、実際のリンク先が「rakuten.example.com」のような別事業者のドメインや、まったく関係のない文字列になっている場合があります。ドメインは右から確認することが重要で、「rakuten」という文字がURLのどこかに入っているだけでは公式サイトとはいえません。

楽天市場では、楽天を装った偽サイトの事例も公開しており、不審なサイトを発見した場合の報告窓口も用意しています。[参照] 楽天市場「楽天を装ったWEBサイト一覧」

SPF・DKIM・DMARCを確認できると判断材料が増える

Gmailなど一部のメールサービスでは、メールの詳細情報から認証結果を確認できます。そこにSPF、DKIM、DMARCなどが表示され、楽天のドメインとして正常に認証されている場合は、本物か判断するうえで有力な材料になります。

簡単にいうと、SPFは「その送信サーバーからメールを送ってよいか」、DKIMは「送信後に内容が改ざんされていないか」、DMARCはそれらの認証結果とFrom欄のドメインを組み合わせてなりすましを判断する仕組みです。

楽天グループはこれらの技術をフィッシング対策として導入しています。ただし、一般利用者が毎回メールヘッダーを解析する必要はありません。不審なときはメール内のリンクを使わず、楽天公式アプリや公式サイトへ直接アクセスする方法のほうが簡単で安全です。[参照] 楽天グループ「なりすまし・フィッシングメール対策について」

Gmailなどで楽天のブランドロゴが表示される場合もある

楽天グループはBIMIなどの仕組みも活用しており、対応するGmail、Yahoo!メール、Appleメールなどでは、正式な楽天メールに楽天ブランドのシンボルが表示される場合があります。

ただし、楽天自身が説明しているように、正規メールでも送信元ドメインや利用しているメールソフトによってロゴが表示されない場合があります。そのため「楽天のロゴがないから偽物」「ロゴがあるから絶対安全」と単純には判断できません。

ブランド表示は補助的な判断材料とし、心当たりの有無や公式サイト側の情報と合わせて確認します。

メールの内容に心当たりがない場合は削除してよい

楽天市場は、身に覚えのない不審メールについて、リンクをクリックしたり添付ファイルを開いたりせず削除するよう案内しています。

たとえば楽天カードを持っていないのに「楽天カードのお支払いが失敗しました」というメールが届いたり、楽天市場を何か月も利用していないのに「本日注文した商品があります」と届いたりした場合には、特に警戒します。

必要ならメールを削除する前にスクリーンショットを保存し、楽天が用意しているなりすましサイト・偽メール報告窓口へ情報提供することもできます。[参照] 楽天市場「楽天を装った不正なメール・SMS・サイトなどを見つけた場合」

リンクをクリックしただけなら直ちにアカウント乗っ取りとは限らない

不審な楽天メールのリンクを誤って開いてしまった場合でも、リンクを押しただけで必ず楽天アカウントやクレジットカード情報が盗まれたとは限りません。

個人情報やパスワードを何も入力せず、ファイルやアプリもダウンロードしていないのであれば、まずページを閉じ、ブラウザとOSを最新状態にします。その後、楽天公式サイトから直接ログインし、ログイン履歴や注文履歴に異常がないか確認します。

一方、リンク先で楽天ID、パスワード、クレジットカード情報、認証コードなどを入力してしまった場合は、単なる閲覧より緊急度が高くなります。

楽天IDとパスワードを入力してしまった場合の対処

偽サイトへ楽天のユーザーIDやパスワードを入力した可能性がある場合は、メール内のリンクをもう一度開かず、楽天公式サイトや公式アプリからパスワードを変更します。

同じパスワードをほかのWebサービスでも使用している場合は、それらも別々のパスワードへ変更してください。攻撃者は漏えいしたメールアドレスとパスワードを使い、他サービスへのログインを試すことがあります。

楽天市場では不正ログインへの対策方法も案内しており、ログイン履歴の確認や端末のセキュリティ強化を推奨しています。[参照] 楽天市場「不正利用・不正ログインへの対策について」

カード情報を入力してしまった場合はカード会社へ相談する

フィッシングページでクレジットカード番号、有効期限、セキュリティコードなどを入力してしまった場合は、その後に不正利用される可能性があります。

この場合はメールを削除するだけではなく、カード会社の公式アプリ、カード裏面、公式Webサイトなどから連絡先を確認し、不正利用防止のための対応が必要か相談します。

メールに「問い合わせはこちら」と書かれた電話番号があっても、フィッシングメールに記載された連絡先を使うのではなく、自分で公式な連絡先を確認してください。

「info@rakuten.co.jp」という文字だけではフィッシング判定できない

メールの真偽を判断するときに最も避けたいのが、「アドレスが楽天っぽいから本物」「文章がおかしいから偽物」と一つの要素だけで決めることです。

「@rakuten.co.jp」は楽天市場が公式メールに使用する正規ドメインの一つですが、画面に表示された差出人情報だけでは送信経路まで確認できません。また正規メールでも、サービスや用途によってさまざまな送信元アドレスが使用されます。

したがって、特定の「info@rakuten.co.jp」というアドレスだけを見てフィッシングかどうかを断定するのではなく、メール本文、リンク先、メール認証、そして楽天公式サイト側の履歴を照合するのが正確です。

まとめ：@rakuten.co.jpは公式ドメインだが差出人表示だけでは安全と判断しない

「info@rakuten.co.jp」のようなメールについて確認するとき、まず押さえておきたいのは、「@rakuten.co.jp」は楽天市場が実際にメール送信に利用している公式ドメインの一つだという点です。

しかし、差出人としてそのアドレスが表示されていることだけでは、そのメールが楽天から実際に送信されたと断定できません。フィッシングでは送信者を楽天などの有名企業に見せかけるなりすましが行われるためです。

不審なメールが届いたら、本文中の「ログイン」「本人確認」「支払い情報更新」などのボタンを押さず、自分で楽天市場の公式アプリや公式サイトを開きます。そこで購入履歴、登録情報、ログイン履歴などを確認する方法が最も分かりやすく安全です。

リンク先でIDやパスワード、カード番号などを入力していなければ、メールを受信したというだけで直ちにアカウントを乗っ取られたと考える必要はありません。一方、情報を入力してしまった場合は、楽天公式サイトからのパスワード変更やカード会社への連絡などを速やかに行います。

メールアドレスだけで白黒を決めず、「公式ドメインか」「内容に心当たりがあるか」「リンクを踏まず公式サイト側で同じ情報を確認できるか」の3点を中心に判断することが、楽天を装うフィッシングメールを避ける基本です。