ご質問ありがとうございます。 ご指摘の通り、l=タグがないため本文全体が署名対象です。 ドコモでdkim=passになっているので、本文は署名時から1バイトも書き換えられていません。 ポイントは、本文の「中身」ではなく「解釈のしかた」が変えられている点です。 本文をどう解釈するかは、Content-Typeヘッダ(MIMEの種類と境界文字列)で決まります。 今回はh=From:Fromで、Content-Typeは署名対象外でした。 届いたメールのContent-Typeは multipart/alternative; boundary="no" という不自然な値になっています。 本文は確認できていないので以下は推測ですが、次のような手口と考えられます。 ①攻撃者が楽天カード側の問い合わせフォームなどに、「--no」という境界行やHTMLパート、フィッシングのリンクを含む文字列を入力する ②その入力内容が本文にエコーされた正規メールが、楽天カードの署名付きで攻撃者に届く ③攻撃者はContent-Typeだけを boundary="no" の multipart に差し替えて再送する ④受信側は本文中の「--no」を境界行として解釈するため、楽天カードの元の文面ではなく、攻撃者が仕込んだパートがメールとして表示される 本文は1バイトも変わっていないので署名は有効なまま、表示される内容だけが攻撃者のものになります。 これが、Content-Typeを含むMIMEヘッダを署名対象にすべき理由でもあります。 RFC 6376 Section 5.4の運用上の注記でも、すべてのMIMEヘッダを署名することが強く勧められています。