迷惑メールは、インターネットやメールができたばかりの頃から今に至るまで、身近なセキュリティ脅威です。
さまざまな手法・目的のもとに世界中で送信され、IPA 情報セキュリティ10大脅威でも毎年ランクインするほど、危険なものもあります。
さらに近年ではAIの発達や技術向上により、攻撃手法が格段に巧妙化し、その危険性はとどまることを知りません。
本記事では、そんな迷惑メールの種類から見分け方、対処法まで解説します。
また、企業に寄せられる迷惑メール、標的型攻撃メールの事例・サンプルをまとめた資料を無料で配布しています。より一層の理解にお役立てください。
迷惑メールの定義についておさらい
迷惑メールにはさまざまな種類がありますが、共通する定義は「受信者が受け取りを望まないメール」であるということです。受信することを承諾していないのに、あるいは、拒否しているのにも関わらず送信されるもの、と解釈できます。
たんに商品やサービスの売り込み、勧誘といった攻撃性の少ないものもありますが、ウイルス感染や詐欺行為、金銭の窃取を目的とした凶悪なものが多いです。
いずれにしても不法で危険なものには変わりないので、受信した際は、開封やクリックをしないように注意しましょう。
迷惑メールの種類とは
迷惑メールと一概に言っても、手法や目的によって様々な分類があります。代表的なものを挙げますので、押さえておきましょう。
「無差別型」と「標的型」
「無差別型」
読んで字のごとく、発信者が取得しているメールアドレスに同じ内容のメールを無差別に一斉送信する手法です。または、メールアドレスを自動生成してランダムに送りつける場合もあります。
現在は、迷惑メールフォルダの振り分け性能の向上、迷惑メールの存在の衆知によって威力が弱まり、減少傾向にあるようです。
「標的型」
一方で、事前に取得したメールアドレスとそれに紐づく個人情報をもとに、特定の対象に個別に作成したメールを送りつけるのが、標的型の迷惑メールです。近年では、個人情報をもとにリアルなメール文面を自動生成する人工知能(AI)プログラムも開発・ダークウェブで売買されていると言われています。
なかでも企業をターゲットにした「標的型攻撃メール」はかなり危険な脅威として存在感を放っており、企業のセキュリティ担当者は厳重な注意が必要です。
目的による区別
下記のような目的区分があります。ただ、いずれも究極的には個人情報か金銭の窃取を目的としています。
マルウェア感染を目的とするもの
マルウェアとは、コンピュータウイルスのことで、「悪意がある」を意味する「Malicious」と「Software(ソフトウェア)」からなる造語です。メールに添付されたファイルの開封や、メールに記載されたURLへのアクセスをトリガーとしてマルウェアに感染します。
そうして、受信者のサーバー内の個人情報を窃取する、ファイルを暗号化してその解除を条件に金銭を要求する、といった攻撃がなされます。
最近では、最恐のマルウェア「Emotet」の危険性を耳にすることも多いのではないでしょうか。
個人情報窃取を目的とするもの
こちらが、日常生活で最も目にするものなのではないかと思います。ショッピングサイトや宅配便、クレジットカード会社などを装って本物そっくりな偽のページに誘導し、個人情報を入力させるという手法です。
「会費未払いのお知らせ」「再配達依頼」など見たことがあるのではないでしょうか。
こうした手法のメールをフィッシングメールと言います。
金銭の要求を目的とするもの
架空請求をして金銭を不当に要求・獲得します。アダルトサイトの請求詐欺などが代表的です。身に覚えのない有料コンテンツの利用料を請求する「架空請求メール」や、メールに記載のURLでボタンをクリックするよう誘導し、さもコンテンツを利用・申し込みしたことにして利用料をだまし取ろうとする「クリック詐欺メール」があります。
広告・宣伝を目的とするもの
出会い系サイトやアダルトチャットのホームページへの勧誘や、偽のブランド商品を取り扱うECサイトへの誘導を目的としたメールです。ただの宣伝行為ともとれるため、一見、害がないようにも思えますが、そもそもユーザによる受信許諾がないままにメールでの広告・宣伝をすること自体が違法になります。
当然ですが、違法な宣伝をする業者を相手にしてはいけません。
迷惑メールが存在する理由
迷惑メールが存在するのは、攻撃者(送信者)にとって儲かるから、というのが単刀直入な結論です。先の項で紹介した中でも、直接的にメール受信者から不当に金銭を窃取しようとするものや、クレジットカードなどの支払情報を窃取するもの、個人情報を窃取し、それを元手に別の攻撃を仕掛けるもの、窃取した個人情報をダークウェブで販売するもの、などなど、手段に違いはあれど、最終的には金銭を得ることが目的になっています。
最近では、迷惑メール文面を人工知能(AI)で簡単に作成できるプログラムが普及したり、会社のように組織的な分業での攻撃手法も増えてきたり、効果化、効率化が進んでいるようです。
迷惑メールの見分け方
不正な送信元アドレス・ドメイン
一般的に、メールの送信元アドレスないしは送信元ドメインが送信元の表記と異なる場合、迷惑メールである可能性が高いです。
本物のメールだと、送信元には日本語表記の社名が入っていて送信元ドメインには企業名が入っている、という場合が一般的ですが、偽物のメールでは、そこが異なっている、といった具合です。
送信元名は社名が入っているがメールアドレスが不審な場合などもあるため、受信したメールが怪しいと感じたときは少し注意してみてみましょう。
不自然な日本語
迷惑メールは海外から送信されている場合が多く、その場合、日本語に不自然な点が見受けられます。
例えば、
- 文法が誤っている
- 日本語で通常使用しない漢字が含まれている
- 文章が不自然に途切れている
といったことが挙げられます。
ただし、近年ではこのあたりの技術進歩が大きいため、一概には言いきれないというのが正直なところです。
心当たりがないメール内容
迷惑メールとしては、通販サイトやカード会社に成りすましたメールがありがちです。不正ログイン通知や料金未納通知がメールで来た際、心当たりがなくても焦ってしまいますが、すぐにメール記載のリンクをクリックしてはいけません。
落ち着いて、ブラウザの検索やお気に入り登録・公式アプリからログインして確認しましょう。
添付ファイル・記載 URL がある
全部が全部ではありませんが、添付ファイルやURLの記載がある場合は迷惑メールの可能性を考えましょう。
近年、Emotetに利用される迷惑メールは巧妙化しており、それまでやりとりのあった相手との送受信履歴から文面の特徴をコピーしてなりすますOutlookハーベスティングのような手法もあります。
返信のメールであったとしても、アカウント乗っ取りの可能性もゼロではありません。
何もかも疑ってはいられませんが、可能性を念頭に置いておきましょう。
迷惑メールを開いてしまったときの対処法
ここまで、迷惑メールに引っかからないための見分け方をご紹介してきましたが、そうは言っても迷惑メールを実際に受け取ってしまい、ファイルの開封やリンククリックをしてしまうことはあると思います。
そんなとき、どのように対処すればよいのでしょうか。
迷惑メールの開封だけで危険？
迷惑メールには様々な種類がありますが、ほとんどの場合、開封しただけでマルウェア感染や個人情報の窃取をされることはありません。
開封後、
- URLのクリック
- 添付ファイルの開封
をしなければ概ね問題ありません。
ただし、メール設定で、メール開封時点でスクリプトを実行するように設定していた場合、HTMLファイルに悪質なスクリプトが仕込まれていることもあります。絶対安全だ、とは言いきれません。
あるいは、メールを開封した、という操作情報が発信者に伝わり、「このメールアドレスは有効なんだ」と後々の攻撃に繋がる危険もあります。
業務利用のアカウントや端末で迷惑メールを受信してしまった場合は、上長や情報システム部など然るべき人への報告が必要です。
迷惑メールを受信した際は、まずは絶対にクリックや開封をしない、これを徹底しましょう。
逆に、してしまった場合は厳重な対処が必要です。それぞれ解説します。
URL にアクセスしてしまった
もしメール記載のURLを開いてしまった場合、個人情報や認証情報(アカウント名、パスワードなど)を入力せず、そのままブラウザを閉じましょう。アクセスしてしまっただけでは、まだマルウェア感染や情報漏えいしている可能性は低いです。
可能であれば、使用したデバイスをウイルス対策ソフトでスキャンしましょう。マルウェア感染が確認された場合は、端末のネットワーク接続を切断します。
- 有線LAN：パソコンに挿しているLANケーブルを抜く
- Wi-Fi（無線LAN）：端末のWi-Fi接続をOFFにする
添付ファイルを開いてしまった
添付ファイルを開いてしまった場合、マルウェア感染している可能性がありますので、直ちに当該端末のインターネット接続を切断しましょう。
それから、ウイルス対策ソフトでのスキャンを行います。
こうした内容は、「リンクに注意！フィッシングメールを開いてしまったら行うべき対処」で詳しく解説していますので、あわせてお読みください。
まとめ
迷惑メールの種類・対処法について解説しました。
迷惑メールは巧妙化をしながら今後も重大なセキュリティ脅威として存在感を示し続けることが予想されます。
見分け方や対処法を適切に押さえ、引っかかってしまわないようにしておきましょう。
また、企業によせられる迷惑メールへの対策として、標的型攻撃メール訓練が有効です。
セキュリオの標的型攻撃メール訓練では、豊富な文面テンプレートでの訓練で従業員のセキュリティ意識を向上します。まずは無料ではじめましょう。
