ネットワークの禁忌に触れる 第10回

無視するのが鉄則だが……

スパムに返事をしてはいけないのは本当か?

　「スパムメールの対処方法は無視することだ」といわれる。メッセージ内に配信停止の方法が指定されていても、メールアドレスが利用可能であることをスパム送信業者に確認されるだけなので、「スパムに返事をしてはいけない」のが常識だ。では、スパムに返事をすると何が起きるのだろうか。

メールアドレスはこうして収集される

　スパムメールの宛先は、Webのリンクをたどるなどして収集したメールアドレスを使う。そのため、自分のWebサイトを持っていて連絡先のメールアドレスを掲載していたり、投稿がWebに変換されるメーリングリストに参加していたりすると、業者メールアドレスが収集されてスパムが送られてくるようになる。

　また、メールアドレスはスパム送信業者間で売買されることがあるため、一度メールアドレスを収集されると、以後さまざまな業者からスパムが送られてくるようになる。こうしたメールアドレスの収集は「ハーヴェスティング（harvest：収穫）」と呼ばれる。また、Webサーバに過度の負荷をかけることから「ハーヴェスティング攻撃（harvesting attack）」ということもある。

　スパムメールの中には、配信を解除するための方法を記載していることがある。しかし、「スパムに返事をしてはいけない」のがネットワークの常識だ。返事をするとそのメールアドレスが存在することの証明になるので、さらにスパムメールが送信されることになる、というのがおもな理由だ。

　一見もっともな理由だが、この話は本当だろうか？スパムメールの送信業者は、メッセージを送信することで広告主から料金を取っている。送信能力は1時間で数万通ともいわれ、1台のサーバが1日あたり100万通程度は送信している計算になる。このうちいくつかのメールアドレスが存在するのを確認できたとして、送信業者にどれだけメリットがあるのだろうか。

　また、送信業者は差出人などを詐称することでエラーメールの戻り先にならないようにしているのが一般的であり、そもそもメールアドレスが存在するかどうかにはあまり関心がないとも思える。メールアドレスが存在しているか知りたければ、エラーメールを自社で受け取るようにするのが手っ取り早いからだ。

スパムに返事をしてみると…

　送信業者に配信中止を伝えるとスパムメールは送られてこなくなるのだろうか。それとも送られてくるスパムが増えるのだろうか。このことを確認する唯一の手段は、スパムメールの宛先になっていないメールアドレスを使って、配信中止の手続きをとることだ。よくいわれるように、配信中止の手続きがメールアドレスの存在を送信業者に伝えてしまうのであれば、配信業者のリストに載っていないメールアドレスにもスパムメールが届くようになるはずである。

　そこで、まったく新しいメールアドレスを10個用意し、国内外のスパム送信業者で配信中止の手続きをとってみた（表1）。スパムメールには配信中止のためのメールアドレスや、手続き用のWebサイトのURLが記載されている。そこで、手続き用のリンクをクリックして配信中止手続き用のWebページを表示させ、メールアドレスを入力したのだ。

表1　新規のメールアドレスを使った配信中止手続きの結果

　このとき、今回の検証で唯一正直な応答をしたスパムサイトは「****@****.com is not our database」と表示（画面1）して、手続きを完了できなかった。

画面1　「メールアドレスの削除手続きの失敗」。メールアドレスが登録されていないと表示したスパム業者のWebサイト

　一方、他の場合は「Your remove request has been sent successfully.」などと表示される（画面2）。もちろんこの表示はデタラメである。

画面2　「不正直な業者のメールアドレスの削除手続き」。登録されているはずのないメールアドレスを「削除した」と表示したスパム業者のWebサイト

　ただし、業者によってはいかにも本当に削除したかのように「工夫」していることもある。画面3の場合、削除したメールアドレスと受付番号が表示されており、本当に削除したことをユーザーが後で確認できそうに思わせている。しかし、後から確認できれば、そのメールアドレスはデータベースから削除されていないことになる。

画面3　「削除手続きの演出」。受付番号のようなものを表示して配信中止を演出している

　日本のスパム業者もまったく信用できないのは同じだ。ある業者の場合、スパムメール内にユーザーを識別すると思われる符号付きの配信中止用URLがあり、このリンクをクリックすると「更新完了しました。これからはメールが送信されません。」と表示される（画面4）。

画面4　「国内のスパム送信業者のURLによる配信中止手続き」。ユーザーを識別していると思わせる符号が付いているが、右のようにデタラメな番号を使っても結果は同じ

　しかし、URLの符号部分をデタラメな数字に置き換えても結果は同じであり、符号部分は無意味であることが分かる。また、別の日本の業者では、配信を中止して欲しい場合はメールアドレスを入力し、確認ボタンまで押させるようになっている（画面5）。もちろんメールアドレスの確認には何の意味もなく、登録されていないはずのメールアドレスでも配信中止を手続きできる。

画面5　「国内のスパム送信業者の配信中止手続き」。入力したメールアドレスの確認まで求められるが、登録されているはずのないメールアドレスでも配信を中止できる

スパムメールの対処方法

　こうしてメールアドレスをスパム送信業者に知らせた結果、どんなことが起きるのだろうか。実は、1日たっても2週間たっても、検証用のメールアドレス宛にスパムメールは届かなかった。メールアドレスの削除手続きとメールアドレスの収集が連動していることは、この時点では確認できなかった。

　では、スパムメールにはどう対処すべきなのか。スパムに返事をすることで正直な業者はメールアドレスを削除してくれるかもしれないが、収集されたすべてのメールアドレスが削除されるわけではない。したがって、スパムは無視するのが一番ということになる。「スパムに返事をしてはいけない」のは、メールアドレスが有効だと判断されるからではなく、返事をしても無意味だからだ。

　本記事は、ネットワークマガジン2004年12月号の特集を再編集したものです。内容は原則として掲載当時のものであり、現在とは異なる場合もあります。