このTipsでOutlook Expressをよりできる子に：セキュリティTips for Today（4）（3/3 ページ）

» 2009年04月10日 10時00分公開

敵のやり口を知ることで対策を

　では、主な手口をここでご紹介いたします。

不正プログラムが直接メールに添付されているタイプ
脆弱性（セキュリティホール）を悪用して、メールをプレビューしただけでウイルス感染してしまうタイプ
HTML形式のメールの利点を悪用し、不正URLを隠ぺいしユーザーにクリックを誘うタイプ
Webビーコン【注4】を使いメールアドレスを収集するタイプ
メールの開封通知機能を使いメールアドレスを収集するタイプ

【注4】

Webビーコンとは、別名「Webバグ」とも呼ばれるものです。本来の使われ方としては、ユーザーのアクセス動向などの収集を目的に、メールなどに極めて小さい画像を埋め込んでおき、その画像のダウロード有無を確認することで、ユーザーのメール開封やメールアドレスの存在有無を確認できます。

　本記事では、Windows XPに標準でインストールされているOutlook Expressで対策を実施したいと思います。

1. Outlook Expressを起動し、［ツール］→［オプション］を選択します。

図2　［ツール］→［オプション］を選択

2. オプションメニューの［セキュリティ］タブを開き、次の項目にチェックを付けます。初期設定ですでにチェックが付いている項目もありますが、念のためチェックが付いているか確認してください。
- 制限付きサイトゾーン（安全性が向上します）
- ほかのアプリケーションが私の名前でメールを送信しようとしたら警告する
- ウイルスの可能性がある添付ファイルを保存したり開いたりしない
- HTML電子メールにある画像および外部コンテンツをブロックする

図3　［セキュリティ］タブの設定を変更する

　本設定を行うことで、次の効果を期待できます。

実行可能形式の不正プログラムがメールに添付されていた場合でも、メールからその不正プログラムを取り出すことができなくなります。
Webビーコンが仕掛けられていたとしても、インターネット（外部）から画像ファイルをダウンロードしなくなります。

　上記設定を実施することで、下記のようにメールソフトによって添付が表示されなくなり、外部の画像をダウンロードしなくなります。

図4　画像などの添付情報がインラインで表示されなくなる

3. オプションメニューの［確認メッセージ］タブを開き、次の項目にチェックを付けます。
- 開封確認メッセージを送信しない

図5　［確認メッセージ］タブの設定を変更

　本設定を行うことで、次の効果を期待できます。

メールに「開封確認」機能が使われていた場合でも、不用意な開封確認メッセージの送信を防げます。

　上記設定を実施することで、下記のようなメールの開封確認を促すポップアップメッセージが一切出なくなります。

図6　開封確認のメッセージの例
上記の設定を行うことですべての開封確認を送信しないようにできる。

4. Outlook Express の［表示］→［レイアウト］を選択します。

図7　［表示］→［レイアウト］を選択

5. レイアウトメニューの次の項目のチェックを外します。
- プレビューウィンドウを表示する

図8　プレビューウィンドウの表示のチェックを外す

　本設定を行うことで、次の効果を期待できます。

メールをプレビューしただけでウイルス感染してしまう危険性を防げます。【注5】

図9　プレビューウインドウを表示しないことで、[開くだけで感染」するウイルスから防ぐ

【注5】

過去に、Internet Explorerの脆弱性を悪用し、メールをプレビューしただけでウイルス感染するものがありました。現在は、その脆弱性に対応したセキュリティパッチがリリースされており、最新のセキュリティパッチをすべて適用していれば同様の脆弱性を悪用したウイルスには感染することはありませんが、今後もこのような脆弱性が発見される可能性があるため、プレビュー機能は使わないほうが望ましいです。

6. オプションメニューの［送信］タブを開き、次の項目のチェックを外します。
- 【送信】カテゴリ
  - 返信したメッセージのあて先をアドレス帳に追加する
  - 受信したメッセージと同じ形式で返信する

また、次の項目にチェックを付けます。

【メール送信の形式】
- テキスト形式

図10　［送信］タブの設定を変更する

　本設定を行うことで、次の効果を期待できます。

無意識にアドレス帳へメールアドレスを登録されることを防げます。これによって、万が一、ウイルス感染してしまい、アドレス帳に登録されていたあて先へマスメーリング型ウイルスによってメールが送信されても、その送信者を限定できます。【注6】

【注6】

自身の意識がないところで自動的にアドレス帳へ登録されていた場合、ウイルス感染時の影響範囲が思わぬところで拡大することがあるため、それを防ぐ効果があります。

7. オプションメニューの［読み取り］タブを開き、次の項目にチェックを付けます。
- メッセージはすべてテキスト形式で読み取る

図11　［読み取り］タブの設定を変更する

　本設定を行うことで、次の効果を期待できます。

HTMLの機能をすべて無効化できます。【注7】

【注7】

本機能を有効にすると、すべてのHTMLメールに有効となるため、スパムメール以外のメールにもHTML機能が無効化されます。本設定を有効にする場合には、その影響範囲を測った上で有効にしてください。

　上記設定を実施することで、HTML形式のメールが強制的にテキストメールへ変換されます。これによって、HTML形式メールにはハイパーリンクによって本来のURLが隠されておりましたが、テキストメールに変換されたことで、そのURLを視覚的に確認することができるようになります。

図12　HTMLメールを強制的にテキスト表示する

設定でカバーできない部分はユーザー教育で

　セキュリティを強化してしまうと、利便性が損なわれてしまうことがあります。企業であれば、ある程度強固なセキュリティを施し、ユーザーに強制できますが、あまりにも利便性が損なわれてしまうと、策定したセキュリティポリシーが企業に定着せず、また、セキュリティ管理者の目の届かないところで、セキュリティポリシーを破る人が現れる恐れがあります。

　そのため原点に立ち返り、身に覚えのないメールについては、仮に興味をそそるメールであったとしても、すぐに削除するというユーザー教育を徹底することが必要です。もしくは、企業のセキュリティポリシーの一環として、そのようなメールを発見した場合にはセキュリティ管理者に報告するということを義務付けることが必要と感じています。

　なお、今回はWindows XPに標準でインストールされているメールソフトを使ってTipsをご紹介しましたが、企業のセキュリティポリシーを満たすメールソフト選定も重要な対策の1つとなります。今回のTipsの中でご紹介したような機能が網羅されているメールソフトを選定していただけばと思います。