第9回 「迷惑メール追放！」に向けた有効な取り組みとは：考察！ まん延する凶悪スパムの対応策

日本における迷惑メールの最近の状況とは。その対策は講じるにあたって、企業が取るべき行動とは――専門家の見解を聞いた。

[富永康信（ロビンソン），アイティセレクト]

前回（3月26日の記事参照）に引き続き、財団法人日本データ通信協会で迷惑メール相談センター相談・指導グループ担当部長を務める原和彦氏に、国内の迷惑メールの実態とその対策への取り組みについて聞いた。

原和彦氏

日本メールリストが海外で売買されている!?

――　日本における迷惑メールの最近の傾向は？

原　（スパムの発信（中継）元を調べるために迷惑メール相談センターが行っている）モニターの結果や（相談センターに寄せられる）電話相談で見られた傾向としては、2006年6〜7月ごろより突然、英語スパムが送られてくるようになったことがある。恐らく、海外で日本のメールリストが大量に売買されていると思われる。

　また、実在する企業のドメインがスパムに使われているケースが報告されている。ディレクトリハーベストアタック により企業のアドレスが収集され、そのドメインが送信元として詐称されていると考えられる。そうして、バックスキャッタ（エラーメール）が大量に届くという被害が増えているようだ。

――　有効な対策は？

原　国内のISPではオンラインサインアップなどで契約ができてしまうため、契約者の身元を確認することはできない環境にある。フレッツ網などが事業者のアンバンドリングという特殊な環境を築いていることも、余計に迷惑メール送信者の足がつきにくい状況をつくっている。このような通信行政を敷いている国は世界でも例がない。

　そのため、今後はISP側での本人認証の確認要求が高まる可能性がある。ただ、残念なことに、中国からのメールは止めようがない。入ってくるものを止めるための対策を講じるには限界がある。そこで、まずは自らが襟を正すという意味で、迷惑メールを発信させない、OP25B（Outbound Port 25 Blocking） などを講じることがその有効な対策といえるだろう。

　企業でもアタックの防止が必要だが、（送信元が）詐称されていると対処のしようがない。そのための対策として、まずは送信ドメイン認証でSPF登録を行い、受信側でもドメイン認証を導入するのがいいだろう。

企業としてメールポリシーを厳格にせよ

――　今後、企業で行うべき具体的な施策は？

原　企業における取り組みでは、「迷惑メール対策の高度化」「メールセキュリティコンプライアンスへの対応」の2点が重要となる。

　迷惑メール対策の高度化とは、メールドメインや利用者のメールアカウントを防御すること。メールドメインなどの防御には、送信面と受信面の対策がある。

　送信面では、企業ネットワークから迷惑メールを送信させないことが必要だ。社員のPCをボット化させないようにするとともに、仮に感染しても迷惑メールをばらまかないようにしなければならない。OP25BやSPF登録が有効な手段といえるのはそのためだ。

　一方、受信面ではハーベスティングアタックへの対処のほか、ドメイン認証とRBL との併用をサーバレベルで、そしてフィルタリングなどをクライアント側で実施するのが望ましい。

　また、メールアカウントの防御としては、業務目的外の利用（出会い系サイトの利用や不用意なメルマガ登録）を禁止するなど、社員の意識面での対策を徹底することが重要になる。ただ、社員に任せず、企業としてもメールポリシーを厳格にし、システム側でメール利用を制限することも大切だ。

――　迷惑メール対策には専門的な技術が必要になる？

原　確かに、片手間の対策や、なまはんかな知識ではもはや不可能なレベルに来ている。そのため、自社で運用することに自信がなければ、外部の専門家やサービスベンダーに委託するのも一つの方法だ。

対策の前提として欠かせないルールづくり

――　メールセキュリティコンプライアンスとは？

原　企業における迷惑メール対策は、企業セキュリティの一部として取り組むもの。そのため、メールを含めたコンプライアンス対策を考え、リスク管理が十分にできていることが必須となっている。メールセキュリティコンプライアンスを進めるには、一定のシステム化は必要だろう。

　重要なことは企業としてのルールづくりだ。例えば、職制ごとに送受信を制限したり、部署ごとに送信先を限定する。あるいは、メールの全文保存やウェブメールの利用禁止、自宅での会社ドメイン利用の制限などが考えられる。

　ルールを設定した上で、それをシステム的に管理するのか、あるいは利用者責任で行うのかといった、企業に責任のある選択が問われているのである（「月刊アイティセレクト」4月号のトレンドフォーカス「まん延する凶悪スパム 対策のカギはシステムの高度化とルール遵守にあり」を再編集した）。

※1　短期間に企業内で使用されるメールアドレスを収集し、スパムやウイルス添付メールを大量に送信する攻撃手法。
［本文に戻る］

※2　 Outbound Port 25 Blockingの略。ISPが提供する動的IPアドレスからインターネットへ送信されようとする迷惑メールを、メールサーバの「メール送信ポート25番」をブロックすることにより送れないようにする技術。ちなみに、代わりに利用するのは「サブミッションポート587番」となる。3月9日の記事参照
［本文に戻る］

※3　メールの送信元が詐称されていないことを証明するための仕組みで、送信ドメイン認証方式の一つ。メールを受け取るサーバが、届いたメールが認証されたメールサーバから送信されたものかどうかを把握する。3月12日の記事参照
［本文に戻る］

※4　リアルタイムブラックリストのこと。リアルタイムブラックホールリスト、リアルタイムブロッキングリストなどともいう。スパムの送信元、あるいは中継を行うホストのIPアドレスを収集したデータベースのこと。
［本文に戻る］