[email protected] のようなメールが届いた時は、まず正確な送信元を確認します。engage.mail.microsoftはViva Engageが通知に使う公式の送信ドメインですが、engagemail.microsoft.comとは別の表記です。公式の利用実績と、手元のメールの真偽・リンクの安全性を分け、通知内容や受信側の認証結果を照合する手順を説明します。
結論：engage.mail.microsoftの公式利用と、手元のメールの真偽を分ける
Viva Engageの製品チームによる送信ドメイン移行告知では、米国地域の通知を @yammer.com から @engage.mail.microsoft へ移し、移行は2026年3月31日に完了したと説明しています。EU地域は @eu.engage.mail.microsoft が案内されています。見慣れない表記で届いたことだけを、フィッシングの証拠にはしません。
ただし、この告知の対象はViva Engageの通知です。「Microsoft Copilot」という表示名や、別表記の @engagemail.microsoft.com、@m365copilotupdates.microsoft.com のメールまで、この告知だけで正規と認定することはできません。アドレスのつづりと、通知の対象サービスを確認してください。
だからこそ最も安全なのは、メールを起点に行動しないことです。クリックや入力を避け、公式アプリ／公式サイトを自分で開いて、請求・購入・サインイン履歴などの“事実”で判断しましょう。
表示名・送信元・返信先・リンク先を分けて確認する
差出人の表示名は、送信元の証明になりません。Microsoftのフィッシング対策資料では、急がせる指示、予期しない添付、表示と異なるリンク先などを確認するよう案内しています。返信先が異なるだけで詐欺と決めることも、同じドメインだから安全と決めることもしないでください。
通知メールの送信元、返信先、本文のリンク先は、それぞれ別の確認対象です。送信元に既知のドメインが含まれていても、メール内の請求やログイン要求が自分の利用状況に合っているかを、独立した公式画面で確かめます。
リンクや添付を操作する前の確認項目
メールのボタンや添付を操作する前に、目的と確認先を整理します。PDF、自然な文面、公式らしい表示名を、安全の証明にはしません。判断できない項目がある場合は、返信や入力をせず、必要なサポートに確認してください。
| 確認対象 | 確認する内容 | 不明・不審な場合 |
|---|---|---|
| 本文の目的 | 請求・更新・ログイン要求が自分の契約や操作と合うか | 該当サービスを自分で開いて照合 |
| 急がせる要求 | すぐクリック・電話・入力するよう促していないか | メールを起点に操作せず公式窓口へ確認 |
| リンク先 | 表示された文字と実際の宛先が違わないか | 開かず公式サイトから確認 |
| 添付 | 予期していた資料か、実行やマクロの許可が要求されるか | 不明な添付を開かず適切な窓口へ相談 |
| 送信元・返信先 | 正確なアドレスと通知の対象、組織の識別子を確認 | 名前やドメインの見た目だけで許可・返信しない |
engage.mail.microsoftとengagemail.microsoft.comの違い
engage.mail.microsoft と engagemail.microsoft.com は別のドメインです。前者にはViva Engageの公式告知がありますが、後者を同じサービスの送信元とみなす根拠にはなりません。Microsoftの製品名が表示されていることだけで、差出人の認証や本文の要求を判断しないでください。
- Viva Engageの告知例は
[email protected]です。アドレスの識別子は、組織のMicrosoft Entra IDのプライマリドメインに基づくと説明されています。 @engagemail.microsoft.comや@m365copilotupdates.microsoft.comについて、Viva Engageの告知は同じ送信元だと説明していません。この告知の対象外であることだけで偽物とも断定せず、個別に内容と認証を確認します。
[email protected] は、告知の noreply_組織識別子@engage.mail.microsoft という例に似た形式です。しかし、jpmod が自分の組織の識別子か、実際のメールがその組織からの通知かは別途確認が必要です。Viva Engageを利用する職場・学校なら、公式アプリを自分で開いて該当通知を探し、分からなければ管理者に照会します。
リンクを踏まないで確認する：請求・購入・サブスクの“公式チェック手順”
メールが次のような内容だった場合、確認先を間違えると被害が拡大します。必ず“自分で公式画面を開いて”照合してください（メールのボタンから行かない）。
「Copilotの購入」「請求」「領収書」っぽいメールが来たとき
- Microsoft Storeの注文履歴を自分で開き、購入に使ったMicrosoftアカウントで、日付の範囲と製品・金額を照合します。
- 注文が見つからなければ、アカウントや期間が合っているか確認します。見つからないことだけで詐欺と決めず、メールのリンクから解約・返金へ進むことは避けます。
- クレジットカード明細や各ストア（Apple/Google）の購入履歴も、同じ日付で照合します（“請求メール＝課金確定”とは限りません）。
「サブスクの更新」「支払い方法の更新」っぽいメールが来たとき
- 契約したサービスの公式管理画面で、購入アカウント・契約名・更新状況を確認します。Microsoft 365の契約管理資料は、Microsoftからの購入と、Apple・Googleなど第三者からの購入で管理先が異なることを説明しています。購入先に合った画面で確認してください。
- もし本当に不要なら、公式の手順に従って解約します（メールからではなく、サブスク管理画面から）。
「セキュリティコード」「アカウント保護」っぽいメールが来たとき
Microsoftの確認コードの公式案内には、正規のコードの送信元として @accountprotection.microsoft.com が記載されています。これは確認コードについての案内であり、表示されたアドレスだけであらゆるメールを信用するルールではありません。自分で要求したサインイン画面と対応するかを確認します。
要求していないコードは、メールへ返信したり誰かに渡したりしないでください。パスワードやコードの入力は、自分で開いた公式アプリ・公式サイトで開始した操作に対応するものかを確かめます。
メールヘッダーで追加確認：SPF/DKIM/DMARCの見方
必要に応じてメールヘッダーを確認します。認証結果は送信ドメインの確認材料ですが、本文に書かれた請求の正しさやリンク・添付の安全性を保証するものではありません。
| 用語 | 確認する対象 | 結果の例 | 注意点 |
|---|---|---|---|
| SPF | MAIL FROM側のドメインが送信サーバーを許可しているか | spf=pass / spf=fail | 転送で失敗する場合がある。表示上のFromの保証とは別 |
| DKIM | 署名したドメインと、署名対象の内容が変わっていないか | dkim=pass / dkim=fail | 署名が正しくても、本文の要求の正しさは保証しない |
| DMARC | SPFまたはDKIMの認証と、Fromドメインの整合 | dmarc=pass / dmarc=fail | passだけでリンクを信用しない。failは転送なども確認 |
Microsoft Learnのメール認証の説明では、SPFがMAIL FROM側の送信元、DKIMが署名された内容、DMARCが表示上のFromとの整合を確認する仕組みとして整理されています。SPFとDKIMの両方が常にpassでなければならないわけではなく、DMARCでは少なくとも一方がpassし、認証されたドメインとFromの整合が必要です。
Outlookでヘッダーを見る手順（例）
新しいOutlook、Outlook on the web、Outlook.comでは、メッセージ上部の「その他の操作」→「表示」→「メッセージの詳細」を開きます。クラシックOutlookではメールを別ウィンドウで開いて「ファイル」→「プロパティ」の「インターネットヘッダー」を確認します。版別の公式ヘッダー手順を参照してください。
Microsoft 365では Authentication-Results にSPF・DKIM・DMARCなどの結果が表示されます。公式の認証トラブル資料は、転送や途中の本文変更で正規メールの認証が失敗する場合も説明しています。failだけで偽物と断定せず、passだけで入力を許可せず、職場・学校では管理者に受信システムの判定を確認してもらいます。ヘッダーには宛先などの情報があるため、そのまま公開しないでください。
Copilot名義でも独立して確認する要求
次のような要求を受けた場合は、製品名がCopilotでも、内容を自分の契約・操作と照合します。これは確認すべき要求の整理であり、Copilotメール全体での発生頻度を示すものではありません。
- 架空請求（注文確認・領収書）：「Microsoft Copilotを購入しました」「年額○○円」など。焦って解約ボタンを押させる。
- 返金詐欺（Refund）：「返金手続きのためログインが必要」など、入力へ誘導。
- アカウント停止／制限：緊急性を煽る。Microsoftも“緊急の脅し”は典型的なフィッシングの特徴として注意喚起しています。
- 電話誘導：サポート窓口を装い、電話させて遠隔操作や個人情報を聞き出す。
怪しいと感じたら、メールの指示に従って“確認の電話”をかけないでください。公式サイトから自分でサポート窓口を探してかけ直すのが安全です。
もしリンクを開いた／入力してしまった場合の対処
開いたページ、入力した情報、ダウンロード・実行したものの有無を分けて記録します。入力した情報がある場合は、Microsoftの被害後の対処に沿って、影響を受けたアカウントの変更や組織への連絡を進めます。
入力していない（クリックのみ）
- ページを閉じ、開いた先と時刻を記録します。ファイルをダウンロード・実行した場合や保護機能が警告した場合は、その情報も確認します。
- 必要に応じて、個人用Microsoftアカウントの最近のアクティビティを公式画面から確認します。これはすべての操作を表示する一覧ではなく、不明な記録は内容を確かめて対応します。
- 以後、同様のメールは開かない。
ID/パスワードを入力した
- すぐにパスワードを変更（使い回しがあるなら他サービスも）。
- 多要素認証を設定し、職場・学校のアカウントでは管理者へ、入力した情報と発生時刻を連絡します。
- 公式のセキュリティ画面で、不審なサインインや警告を確認し、表示された案内に従ってアカウントを保護します。
クレジットカード情報まで入力した
- カード会社へ連絡し、利用停止や不正利用調査の手続きを開始。
- 注文履歴やサブスク画面で不審な契約がないか再確認。
報告して終わらせる：Outlookの「報告」機能を使う
不審なメールは、OutlookやOutlook.comの「報告」→「フィッシングを報告」で知らせられます。他のメールアプリを使う場合、Microsoftは [email protected] へ元メールを添付して送る方法を案内しています。通常の転送ではなく、元メールを添付する方式です。組織のメールでは社内の報告ルールを優先してください。
OutlookのAndroid・iOS向け公式手順では、対象メールを選択→右上の「⋮」→「Report Junk」から、迷惑メール・フィッシング・送信者のブロックを選びます。不要な案内と、なりすましの疑いがあるメールを区別して選んでください。
職場・学校アカウント（Microsoft 365）の場合に追加でやること
組織アカウントの場合、あなた一人の判断で対処すると、同僚への被害や社内情報漏えいにつながることがあります。次を徹底してください。
- 社内のIT/セキュリティ窓口に連絡し、メールのヘッダー情報を共有する。
- Outlookの「報告」ボタンが有効なら、組織のルールに従って報告する（管理者側で設定されている場合があります）。
よくある質問
Outlookの迷惑メールフォルダーに入った＝詐欺ですか？
迷惑メールフォルダーに入ったことだけで、詐欺とは断定できません。正規メールも、認証や中継の条件などによって迷惑メール扱いになる場合があります。Viva Engageの移行後に必要な通知が届かない場合は、公式アプリ内の通知と照合し、組織の管理者へ確認します。
ただし「迷惑扱い＝安全」でもありません。迷惑フォルダーに入った時点で、“リンクを踏まないで公式画面で確認”を基本にしてください。
公式で使われるドメインなら、リンクを開いてもいい？
ドメインの利用実績と、受信したメールの認証結果、本文の要求は別に確認します。不審な時はリンクや添付を操作せず、公式アプリ・公式サイトを自分で開いて同じ情報があるか確かめてください。
「Copilotを購入した」と書かれているが、注文履歴に無い
購入に使ったアカウント、注文履歴の期間、購入先を確認します。別アカウントや別ストアの購入が、同じ履歴に表示されるとは限りません。該当する購入先で確認しても分からない場合は、メールの解約ボタンを押さず、公式窓口へ問い合わせてください。
まとめ：正確な送信元と通知内容を、公式画面で照合する
engage.mail.microsoft はViva Engageの公式通知ドメインですが、それだけで個別メールの安全性は確定しません。正確なアドレスと通知の対象を確認し、請求・契約・サインイン情報を自分で開いた公式画面で照合します。判断できない場合は入力せず、メールの報告や管理者への相談へ進めてください。
少しでも違和感があれば、最初から「怪しいメール」として扱い、落ち着いて手順どおりに確認してください。
コメント