フィッシング：詐欺師はどうやってメールを届けているのか

メールサービスは毎日、数十億通もの迷惑メールをふるい落としています。それでも、詐欺メールは今も受信トレイに届き続けています。これは偶然ではありません。詐欺師はチェックの仕組みを知っていて、それをすり抜ける方法を身につけているのです。ここでは主な手口をわかりやすく説明し、それぞれの手口がそれでも残してしまう痕跡を紹介します。

他人になりすます

最初の手口は、技術とはまったく関係ありません。なりすましです。メールは銀行、宅配業者、行政機関のロゴや色、文面の雰囲気をそっくりまねています。ちらっと見ただけの人をだますために、いくつかの細工がされています。

• 表示名：メールソフトは「〇〇銀行 カスタマーサービス」のような名前を大きく表示し、本当のアドレスは小さく表示するか、まったく表示しないことがよくあります。
• よく似たアドレス：一文字だけ違う（paypal ではなく paypa1）、「rn」で「m」に見せかける、あるいは他人のドメインの先頭にブランド名を置く（mybank.account-check.example など）。
• 緊急性：アカウント停止、荷物の保留、48時間以内の罰金支払い。プレッシャーをかけるのは、考える前に行動させるためです。

痕跡：なりすましは人の目はだませても、サーバーはだませません。本当のアドレスと送信サーバーは、メールの完全なヘッダーに残っています。

差出人の偽装：封筒に書くのと同じくらい簡単

差出人のアドレスは確認されていると思っている人は少なくありません。実際はそうではありません。メールの「差出人（From）」欄は、封筒の裏に書く差出人の住所のようなもので、誰でも好きなことを書けます。Webサーバー上の数行のコードだけで、あなたの銀行や勤務先、さらにはあなた自身から届いたように見えるメールを送れてしまいます。「あなたのメールボックスをハッキングした」と「証拠」付きで脅すメールは、まさにこの仕組みを使っています。メールがあなた自身のアドレスから送られたように見えるのです。

こうした悪用を防ぐために、三つの仕組みがあります。

• SPF：そのドメインの名義でメールを送ってよいサーバーの一覧。
• DKIM：封蝋のような署名で、メールが本当にそのドメインから送られ、改ざんされていないことを証明します。
• DMARC：上の二つのチェックに失敗したとき、ドメインが受信側に出す指示（何もしない、迷惑メールに入れる、拒否する）。

これらの対策は、きちんと設定され、実際に適用されていれば効果があります。しかし、多くのドメインは「何もしない」という DMARC ポリシーを公開しているだけで、受信サーバーの中にはそれを考慮しないものもあります。さらに重要なのは、詐欺師が自分でよく似たドメインを購入し、正しく設定できるという点です。そうすれば、そのメールは SPF、DKIM、DMARC をエラーなしで通過します。これらのチェックが証明するのは「そのドメインから送られた」ことであって、「そのドメインが誠実である」ことではありません。

痕跡：メールを中継するサーバーはそれぞれ、ヘッダーの一番上に Received 行を追加します。詐欺師はヘッダーの下のほうに偽の行を書き足すことはできても、その後のサーバーが自分の行を追加するのを止めることはできません。あなた自身のメールサービスが追加した行には、メールを受け渡した IP アドレスが正確に記録されています。Baitback が探すのはこの行です。

月数百円でサーバーを借りる

何千通ものメールを送るには、インターネットにつながったマシンが必要です。これはとても簡単です。誰でも月数百円程度で仮想サーバー（VPS）を借りられ、日割りで払えることも多く、盗んだクレジットカードで支払われることもあります。詐欺師はそれを一回のキャンペーン、数時間から数日のあいだだけ使います。サーバーの IP アドレスがブラックリストに載るとすぐに捨て、同じ事業者か世界のどこか別の場所で、また新しいサーバーを借ります。

だからこそ、自分のメールボックスで IP アドレスをブロックするだけでは足りません。次のキャンペーンは別のアドレスから送られてきます。

痕跡：借りられたサーバーはどれも特定可能なホスティング事業者のもので、その利用規約はスパムの送信を禁じています。通報窓口（「abuse」の連絡先）を通じて知らせを受ければ、事業者はサーバーを停止できます。進行中のキャンペーンを止めるには、これが最も効果的な方法です。

他人のサーバーを使う

さらに目立たない方法は、詐欺師のものではないマシンから送ることです。よくあるのは次の二つのケースです。

• 乗っ取られた Web サイト：更新が放置されたサイト（古い WordPress や忘れられたプラグイン）に、持ち主の知らないうちに小さな送信スクリプトが仕込まれます。
• 盗まれたメールアカウント：以前のフィッシングで手に入れたパスワードを使い、実在するメールサービスの実在するメールボックスから送信します。企業や大学のアカウントが使われることもあります。

この場合、メールは評判のよい正規のサーバーから送られます。SPF や DKIM も通過することが多く、フィルターが正規のメールと見分けるのはずっと難しくなります。

痕跡：IP アドレスと送信サーバーはヘッダーに残っています。ホスティング事業者やメールサービスに通報することは、自分のサイトやアカウントが悪用されていることに気づいていない正当な持ち主を助けることにもなります。

すべてのサーバーが同じように厳しいわけではない

Gmail のような大手サービスは、送信数の上限、本人確認、悪用アカウントの迅速な停止など、厳しいルールを適用しています。一方、小規模なホスティング事業者や設定の甘いマシンなど、ほかのサーバーはずっと寛容です。受信側も同じで、少しでも怪しいものはすべて拒否するサービスもあれば、多くを通してしまうサービスもあります。

詐欺師は最も厳しいサーバーを突破する必要はありません。最も弱い部分を見つければよいのです。世界には何百万台ものサーバーがあり、どこかに必ずそういう一台があります。

ロボットから隠れるリンク

メールが届くと、多くのメールサービスはリンク先を自動的に確認し、危険なページにつながっていないかを調べます。詐欺師はそれを知っていて、入口に門番を置きます。

• メール内のリンクは、まず無害に見えるページや転送サービスにつながっています。
• そのページは、多くのサイトで見かけるチェックボックスのような「あなたは人間ですか？」という確認を表示したり、訪問者をこっそり調べたりします。
• 分析用のロボットは確認を通過できず、空白または無害なページしか見えないため、リンクは安全だと判断します。
• 一方、人間は深く考えずに確認を通過し……偽のログインページにたどり着きます。

さらに、後から有効になるリンクもあります。メールが届いてチェックされる時点ではまったく問題がなく、数時間後になって初めて罠のページへ転送されるようになるのです。

痕跡：元のリンクはメールの中に残っています。Baitback はそれをたどって転送の流れを表示します。最終的なページが隠れていても、出発点のアドレスは通報できます。

なぜなくならないのか：通報が面倒すぎる

これらの手口にはすべて共通の弱点があります。特定可能なホスティング事業者が持つサーバー、IP アドレス、ドメイン名に頼っているという点です。的確な相手に届いた通報は、数時間のうちにサーバーを停止させることができます。

問題は、そのために必要な手間です。公的な通報窓口は、特に法的措置のために重要な役割を果たしています。しかし、たとえばフランスの公式通報プラットフォーム PHAROS では、正しいカテゴリーにたどり着くまでに10ページ以上を進まなければならないこともあります。さらに、送信サーバーを止めてもらうには、ホスティング事業者とその通報窓口を探し、適切な証拠を添えたわかりやすいメッセージを書く必要があります。最後までやり遂げる人は少なく、詐欺師はそこにつけ込んでいます。

だからこそ Baitback があります。メールを貼り付けるだけで、送信サーバー、ホスティング事業者、その通報窓口を特定し、そのまま送れる通報文を用意します。障害物競走ではなく、たった1ステップです。