JPCERT コーディネーションセンター

電子メールソフトのセキュリティ設定について

目次

はじめに

インターネットが一般に普及した現在、電子メールはインターネット利用者の大半が使うコミュニケーションツールとなりました。 それに伴い迷惑メールが増加し、更にウイルスを配布するような攻撃にもしばしば利用されるようになってきました。

加えて近年では、今までの迷惑メールのような無差別な配布ではなく、特定少数を標的とした標的型メール攻撃と呼ばれる攻撃も散見されるようになってきています。

標的型メール攻撃において攻撃者は、企業情報、個人の Web ページや ブログ、メーリングリスト等から特定の個人情報等を入手し、知り得 た情報をもとに標的とされた特定の組織向けにメール文面などをカスタマイズし、その会社の幹部社員などからの社内文書や、組織が関連している分野の資料を装ったメールを作成します。

攻撃者は、標的となったユーザがつい開いてしまうような電子メールを送付することによって、ユーザにメールに添付した文書ファイルなどを開かせ、そこに仕込んだウイルスを感染させることによって、情報を窃取したり、利用者のPCを乗っ取ったりするといった手法を用いるものが多く見られます。

このように電子メールが攻撃に利用される背景としては、電子メールには偽造されたり、内容を改ざんすることが比較的容易にできてしまう規格上の問題があります。このような問題を解決するための技術やサービスが提供されていますが、そもそもこのような事実が広く知られていないことから、対策が浸透していない状況にあります。

電子メールが広く利用されていることから、電子メールの偽造、改ざんといった問題や、迷惑メールへの対策が必要なことは言うまでもありません。特に、送信者の偽造や内容の改ざんは、電子メールを用いたコミュニケーションの根本的な信頼性にかかわる問題と言えます。

この問題に対処するために、例えばPKIやPGPを用いた電子署名を利用するなどのユーザー側での対策や、SMTP認証を利用したサービス提供者側での対策などがあります。できる限りこれらの対策をとり、不正な電子メールに騙されないようにすることが重要です。

しかしながら、電子署名は導入の難しさからか比較的敬遠されやすく、また、あまり一般的でもないため、この対策を採用している組織は非常に少ないのが現実です。

このような現状の中で、ユーザーとして「何に注意をして」、「どのように設定すればよいのか」を知ることは非常に重要です。 特に標的型メール攻撃は、突き詰めれば個人の傾向を理解した上での攻撃手法であることから、システムだけで完全に保護することはできません。 従って、電子メールの利用者側でも自分の身を護るために対策を行っていくことが重要です。

以上のような状況から、JPCERT/CCでは電子メールの利用者が自分の身を護るための最低限の設定や確認事項を調査し、公開することにいたしました。

本文書を参考にして、皆さんが電子メールを用いた詐欺や攻撃を受ける可能性を少しでも減らすことができればと願っております。

Topへ

Topへ
最新情報(RSSメーリングリストTwitter