- Josh Hendrickson
@canterrain
- July 11, 2019, 8:00am EDT
メールを開いてみたら自分のメールアドレスから来たようなスパムや恐喝だったことはありませんか? あなただけではありません。 5662>
スパマーがあなたのメールアドレスを偽装する方法
スプーフィングとは、メールアドレスを偽造し、送信者以外の誰かから来たように見せる行為です。 多くの場合、なりすましは、メールが知り合いや、銀行やその他の金融サービスのような取引先から来たものだと思わせるために使用されます。 メールシステムでは、「差出人」欄に入力されたメールアドレスが本当に本人のものであるかどうかを確認するためのセキュリティチェックが行われていないことが多いのです。 これは、郵便物の封筒によく似ています。 郵便局があなたに手紙を返せないことを気にしなければ、返送先住所には何でも書くことができます。 郵便局も、あなたが本当に封筒に書いた住所に住んでいるかどうか知る由もありません。
電子メールの偽造も同じような仕組みです。 Outlook.comのようないくつかのオンラインサービスでは、メールを送信するときにFromアドレスに注意を払い、偽造したアドレスでメールを送信することを防ぐことができるかもしれません。 しかし、ツールによっては、好きなように記入することができます。 自分のメール（SMTP）サーバーを作るのと同じくらい簡単だ。
詐欺師はなぜあなたのアドレスを詐称するのでしょうか。 1 つ目は、迷惑メール防止機能を回避するためです。 自分にメールを送るということは、何か重要なことを思い出そうとしていて、そのメッセージがスパムとしてラベル付けされることを望まないのでしょう。 そこで、詐欺師は、あなたのアドレスを使うことで、スパムフィルターに気づかれず、メッセージが届くことを期待するのです。 5662>
詐欺師があなたのメールアドレスを詐称する2つ目の理由は、正当性の感覚を得るためです。 なりすましメールでは、あなたのアカウントが危険にさらされていると主張することがよくあります。 このメールを送ったのはあなた自身である」ということが、「ハッカー」がアクセスしたことの証明になるのです。
そして、詐欺師は通常、あなたに関する危険な情報やウェブカメラで撮影した写真を持っていると主張します。 そして、身代金を支払わない限り、あなたの親しい人にそのデータを公開すると脅すのです。 あなたのメールアカウントにアクセスできるようなので、最初は信じられそうです。
最初のものは Sender Policy Framework (SPF) で、これはいくつかの基本原則に基づいて動作しています。 すべての電子メール ドメインには、ドメイン名システム (DNS) レコードのセットが付属しており、正しいホスティング サーバーまたはコンピューターにトラフィックを誘導するために使用されます。 SPFレコードは、DNSレコードで動作します。 お客様がメールを送信すると、受信側のサービスは、お客様が提供したドメインアドレス（@gmail.com）とお客様の送信元IPおよびSPFレコードを比較し、それらが一致することを確認します。 Gmail アドレスからメールを送信する場合、そのメールは Gmail が管理するデバイスから送信されたことも示すはずです。
残念ながら、SPF だけでは問題を解決できません。 誰かが各ドメインで SPF レコードを適切に維持する必要がありますが、それはいつも起こることではありません。 また、詐欺師がこの問題を回避するのも簡単です。 メールを受信したとき、メールアドレスの代わりに名前しか表示されないことがあります。 スパマーは、1つのメールアドレスに実際の名前を記入し、もう1つのメールアドレスにSPFレコードに一致する送信アドレスを記入するのです。
企業もSPFの結果をどうするか決めなければなりません。 多くの場合、システムが重要なメッセージを配信しないリスクを冒すよりも、電子メールを通過させることに落ち着くのです。 SPF は、情報をどう扱うかに関する一連のルールを持っていません。 これは、SPFと連携して、スパムの可能性があると判定された電子メールをどうするかというルールを作成するものです。 DMARCは、まずSPFスキャンをチェックする。 DMARCは、まずSPFスキャンをチェックし、それが失敗すると、管理者によって別の方法で設定されていない限り、メッセージの通過を停止する。 SPF がパスしても、DMARC は「From:」フィールドに表示される電子メールアドレスが、電子メールの送信元ドメインと一致するかどうかをチェックします（これをアライメントといいます）
残念ながら、Microsoft、Facebook、Google からの支援があっても、まだ DMARC は広く使用されていません。 Outlook.com や Gmail.com のアドレスをお持ちの方は、おそらく DMARC の恩恵を受けていることでしょう。 しかし、2017年後半までに、フォーチュン500社のうち39社しかこの検証サービスを導入していませんでした。
What You Can Do About Self-Addressed Spam
残念ですが、スパム業者があなたのアドレスを偽装していることを防ぐ方法はないでしょう。 お使いのメールシステムが SPF と DMARC の両方を実装しており、このような標的型メールを目にすることがないことを祈ります。 迷惑メールに直行するはずです。 もし、あなたのメールアカウントでスパム対策のオプションを設定できるのであれば、より厳しく設定することができます。 ただ、正当なメッセージも失う可能性があるので、スパムボックスを頻繁にチェックするようにしてください。
自分自身になりすましたメッセージを受け取った場合、それを無視するようにしてください。 添付ファイルやリンクはクリックせず、要求された身代金も支払わないようにしましょう。 スパムやフィッシングとしてマークするか、削除してください。 アカウントが流出した恐れがある場合は、安全のためにロックしてください。 パスワードを再利用する場合は、現在のパスワードを共有しているすべてのサービスでパスワードをリセットし、それぞれに新しい固有のパスワードを設定します。 多くのパスワードを記憶するのが不安な場合は、パスワードマネージャの使用をお勧めします。
連絡先からのなりすましメールについて心配な場合は、メールヘッダの読み方を学ぶことも時間の節約になるかもしれません。
