なりすまし？メールを自分に送ってメールセキュリティの学習

2022-06-212024-03-01

注意事項

本記事の内容は学習・検証用途として、自分宛に送って確認をするだけにして下さい。また、Fromに使うドメインについても、他者の管理しているドメインは使用しないで下さい。

先日、改めて電子メールの仕組みを学習して、ヘッダーFROMとエンベロープFROMの違いを（やっと）理解しました。

ヘッダーFROMは簡単に偽装できるとありますが、普段メールクライアントソフトを使うばかりなので実際はどうなのか正直わかっていませんでした。

今回はSMTPリレーサーバを使って、自分宛にわざとヘッダーFROMを適当なメールアドレスに変更してどんな違いがあるかを確認してみます。

＊あくまで確認だけなので、SPFやDKIMについては何も対策？修正？せずに進めています。

Contents

1. なりすましメール
2. 手順
3. 結果
4. 結論

なりすましメール

なりすましメールとは、悪意を持って本来とは異なる偽のメールアカウントで送信されているメールです。他人（企業）のメールアカウントになりすます場合、マルウェアやフィッシングサイトへのリンクを含め、受信者をだましてパスワードやクレジットカード番号などの入手を狙って送信される事もあります。

メールの見かけ上の送信元情報を安易に信じないで | 情報セキュリティ | IPA 独立行政

本来の送り主（企業等）が正式な手続きのもとで、メール転送サービス等を使って送られるメールはなりすましメールとは言いません。

手順

telnetでsmtpサーバに接続して対話的に進めるのが一番学習効率が高そうですが、ちょっと今回は無精しています（SMTP認証が面倒くさいなぁ、と）。

Rでメールを送れるようにしたので、このままRでfromを適当なメールアドレスにして送信します。他のプログラムでももちろん大丈夫です。

メール送信はからだにいいもの様を参考に以下のように（emayiliを使ってます）しています。

library("emayili")

email <- envelope()
email <- email %>%
  from("テスト<example@example.com>") %>% #メールクライアントソフトに表示させるメールアドレス
  to("********")　#自分のメールアドレス
email <- email %>%
  subject("メールリレーサービスで送信")
text <- "example.comから送信。
"
email <- email %>%
  text("{{text}}")

smtp <- server(
  host = "*******", #SMTPサーバ
  port = ***, #ポート番号
  username = "********", #ユーザ名
  password = "********" #SMTPサーバのパスワード
)

smtp(email, verbose = TRUE)