2022年3月18日

NECサイバーセキュリティ戦略本部セキュリティ技術センターの岩田です。昨年は以前にも増してたくさんの迷惑メールが届いており2021年後半には社会問題と言われるようになっています。そこで、2021年に自分の常用メールアカウントに届いた迷惑メールについて調べてみました。

迷惑メールの受信傾向

迷惑メールの受信傾向を確認するため、2021年に受信したメールから迷惑メールと判断したメールをピックアップしました。そしてメールヘッダーのDateフィールドが正しいと仮定し、月毎・曜日毎・時間毎の迷惑メール件数を集計しました（注：迷惑メールかどうかは個人の主観で判断しています。また件数や比率は個人の環境で受信したメール数をもとに算出しています）。

●月毎の傾向

迷惑メールの受信件数は月毎に変化していました。2021年12月は2021年6月に比べ月あたりの迷惑メール受信件数が3倍以上となっていました。

月毎の迷惑メールの受信傾向を調べていたところ、フィッシング対策協議会の発表資料[1]と似た傾向になっていることが判明しました。このことより、自分宛にもたくさんのフィッシングメールが届いていることが推測されます。

●曜日毎の傾向

迷惑メールの受信件数と曜日に関連性を確認することはできませんでした。土日も迷惑メールの送信作業をしているのか、あるいは迷惑メールの送信が自動化されているのだと考えられます。

●送信時間毎の傾向

正確なメール受信時刻の判断は困難なため、メール送信時刻を集計しました（時刻は日本のタイムゾーンに変換）。朝5時頃から迷惑メール送信数が増え始め、朝7時がピークとなっていました。アクターは日本のタイムゾーンの朝早くにメールが届くようにメールを送信することで、迷惑メール対策が取られる前にメール受信者に何らかの被害を発生させようとしているのだと思われます。

迷惑メールの受信傾向：ブランド

受信した迷惑メールを、詐称された有名ブランド（企業やサービス）ごとに分類してみました。実際着手したところ多数のバリエーションがあるため、同一企業のサービスは1つに分類しています。集計結果を以下に示します。迷惑メールの9割近くが有名ブランドを騙っているため、フィッシングメールだと思われます。メール受信者を騙す可能性があれば、どのような企業やサービスもターゲットにされているという事実があらためて確認できました。

比率が大きいブランドについて確認してみます。
第1位は約40％とダントツで、Amazonを騙るメールでした。

非常に多くの種類のメールタイトルが利用されていました。緊急、重要や最終警告などメールを開くように仕向けるタイトルが目立ちます。またセキュリティ警告に見せかけたメールはユーザーが正規のセキュリティ警告メールを見なくなる恐れがあるため非常に悪質な迷惑メールです。

大きく4つ（確認系、アカウント系、決済系、サービス系）に分類すると以下のようなメールタイトルが利用されていました（抜粋）。

確認系

アカウント系

決済系

サービス系

第2位は約10％の三井住友銀行や三井住友カードを騙るメールでした。Vpass関連の迷惑メールを含めたため比率が増えてしまった可能性があります。

以下のようなメールタイトルが利用されていました（抜粋）。

第3位は約7％の楽天市場や楽天カードなど楽天グループに関するものでした。多数のサービスがあるにも関わらず昨年は迷惑メールのブランドとしてあまり利用されていないようでした。

以下のようなメールタイトルが利用されていました（抜粋）。

第4位は約7％のメルカリでした。他ブランドと比べクーポン系メールが特徴的でした。お得な話だと個人情報やカード番号を入力してしまう人が多いのかもしれません。

以下のようなメールタイトルが利用されていました（抜粋）。

第5位は約5％のETCカードやETCサービスに関するものでした。金融系カードではないのですが上位にランクインしました。日常的に自動車を利用される方は引っかかりやすい内容なのかもしれません。

以下のようなメールタイトルが利用されていました（抜粋）。

●その他のブランド

その他少数利用されていたブランドを抜粋します。以下からもフィッシングに利用されるジャンル・企業は無差別であることが確認できると思います。

通販系の迷惑メールタイトル（抜粋）

生命保険系の迷惑メールタイトル（抜粋）

仮想通貨系の迷惑メールタイトル（抜粋）

銀行系の迷惑メールタイトル（抜粋）

コロナ系の迷惑メールタイトル（抜粋）

●フィッシング以外の迷惑メール

フィッシング以外の迷惑メールについていくつか抜粋します。

偽ブランド系の迷惑メールタイトル（抜粋）

闇バイト系の迷惑メールタイトル（抜粋）

脅迫系の迷惑メールタイトル（抜粋）

脅迫系の迷惑メールの本文冒頭部分

●その他

他に英語や中国語の迷惑メールも届いていました。

迷惑メールの特徴

迷惑メールに共通する特徴がないか確認するため、メールヘッダーを分析してみました。

●メールヘッダー

メールヘッダーには表示されるメール本文以外にも様々な情報が含まれています。メールヘッダーの改ざんは容易ですが、メール差出人についての情報が得られる可能性があるため、メールヘッダーを分析してみました。

●X-mailer

X-mailerは差出人が利用したメールソフトの名称とバージョンを示しています。任意の文字列を指定可能ですが、メールの差出人に紐づく情報のため集計してみました。集計結果を確認すると、迷惑メールの約50％は同じメールソフトが利用されていることが判明しました。これは有名なメールソフトを利用することで正規ユーザーとの判別を困難にすることが目的だと思われます。また迷惑メールの約30％はランダムなメールソフト名、例えば”Bblhumtqu 7”や”Ndrnnrksu 4”とランダムなアルファベット＋数字となっていました（仕様ではアプリケーション名＋バージョン番号）。メールフィルタ設定を困難にすることやSPAMフィルタの学習阻害が目的だと思われます。

●送信元IPアドレス

Receivedには送信元IPアドレスや中継したメールサーバーの情報が含まれています。スクリプトを作成し、可能な範囲で送信元IPアドレスを抽出してみました。抽出したIPアドレスにはほぼ重複がなく、特定のメールサーバーを利用せずに迷惑メールを送信していると考えられます。多数のIPアドレスが利用されているため上位2オクテットで集計してみました。集計結果を確認すると、迷惑メールの約30％は同じ事業者（country: CN）から送信されていました。また送信元IPアドレスの多くは海外でしたが、一部国内のIPアドレスも含まれていました。

●エンコード

Subject（メールタイトル）の文字エンコードを集計してみました。集計結果に際立った特徴はありませんでしたが、一部Subjectで中国語によるエンコードの利用が確認できました。

（gb2312でエンコードされたSubjectの例）

●メールドメイン名

一般的にFromには差出人のメールアドレス、Return-Pathには送信メールがエラーの場合の返信先メールアドレスを設定します。FromとReturn-Pathに設定されたメールアドレスのTLD（Top Level Domain）を集計してみました。

集計結果を確認したところ、FromとReturn-Pathで設定されているメールアドレスのTLDの比率に差があることがわかりました。特に JP ドメインではFromに比べてReturn-Pathでは減少していることより、メール配信エラーについて送信者が把握しようとReturn-Pathに別のメールアドレスを設定していると考えられます。

実際にどのようなJPドメイン名が利用されているのか、Fromで利用されているJPドメイン名について集計してみました。その結果、正規ドメインになりすましたメールが殆どを占めていることが確認できました。

●Time zone

Dateで指定されているTime zoneについて集計してみました。全体の約80％が+0800（中国、シンガポール）となっており、日本（+0900）は全体の約20％だけでした。

迷惑メールの80％以上は国内ブランドを装うメールでしたが、偶然にも80％以上の迷惑メールは国外のTime zoneを利用していたのは興味深い事実です。

●その他1

日本語おかしいメールタイトルがいくつか確認できました（抜粋）。
アクターはあまり日本語に詳しくなく、機械翻訳を利用して迷惑メールを作成していると考えられます。

また、以下のようなテンプレートと思われるメールタイトルがありました。ツールを利用して迷惑メールを作成していると考えられます。

●その他2

差出人とコンテンツが一致しないメールがいくつか確認できました。例えば、以下のように差出人が楽天にも関わらず本文はAmazonの警告になっていました。同一アクターが複数ブランドで迷惑メールを送信しており、設定ミスなどによりこのようなメールが送信されてしまったと考えられます。

迷惑メールへの対策

ユーザー側でのフィッシングメールに対する対策については、弊社Blog 「アカウントや銀行情報を窃取するフィッシングメール」[2] を参考にしてください。

差出人メールアドレスが正規ドメインになりすまされている現状では、ユーザーが迷惑メールかを判断するのは非常に困難な状況になっています。例えば、差出人でメールをフィルタリングしても、迷惑メールが正規メールとしてフィルタリングされてしまいます。そしてメールはデジタルデータのため、いくらでも本物に似せることができ、目視で迷惑メールと見破ることはほぼ不可能です。また人間である限りうっかりミスが発生してしまうこともあります。

現在（2022年3月）でも、なりすましメールは数多く、また利用されているブランドも増加しており、システム側での対策が強く望まれます。システム側での対策については、送信ドメイン認証技術が有望だと考えられます。フィッシング対策勉強会の資料[3]によると、DMARCを使えば現状、半数以上が迷惑メールと判断可能とのことです。今回分析対象とした迷惑メールも半数以上の送信元メールアドレスはJPドメインを利用しており、JPドメインの大半が送信元メールアドレスをなりすましていた事を考えると、送信ドメイン認証技術が普及することで迷惑メールが半減することを期待できます。また、なりすましメールを防ぐことができれば、ユーザー側でも送信元メールアドレスによるメールのフィルタリングによるフィッシングメールの対策が有効に機能します。

おわりに

2022年になっても、なりすましメールは増え続けており送信ドメイン認証技術を活用する企業やサービスがもっと普及することを切望します。

特別な観測基盤はないのですが、多数の迷惑メールを確認することができました。今回迷惑メールを受信したメールアドレスをHave I Been Pwned?[4]で確認したところ、3件の漏洩が確認されていました。長年利用しているメールアドレスのため、いつの間にかどこかのサービスから情報流出したようです。このような漏洩データに含まれていたメールアドレスを利用して迷惑メールを送信しているのかもしれません。

参考情報

執筆者の他の記事を読む