いまなら聞ける！

新社会人が知っておくべき
メールセキュリティの基本

宮田　健
＠IT編集部
2009/3/10

---

　メール本文にあるリンク、信用できるものですか？

　一見問題のないメールでも、URLが併記されていたときには少し気を付けてください。例えば添付ファイルが禁止／制限されている企業では、無料で使えるファイル転送サービスなどを使う場合があるかもしれません。「ファイルが届きました。受け取るにはこちらのURLをクリックしてください」というURLがよく知っているドメインだったとしても、そのドメインのサイトに「オープンリダイレクタ脆弱性」が存在していた場合、ウイルスやワームが埋め込まれた、悪意のあるサイトへと転送される可能性があります。

　オープンリダイレクタ脆弱性とは、そのページを見ると別のURLへ転送するようなWebアプリケーションの問題で、意図しない転送先へもジャンプしてしまうようなものです。通常そのようなWebアプリケーションは自分のドメイン内だけへの転送を意図していることが多いのですが、その制限がない場合、例えば「atmarkit.co.jp内の別のページへジャンプしろ」というものを別のURLへジャンプさせるにもかかわらず、URLのドメイン名は「atmarkit.co.jp」という見慣れたものであるため、ひと目では問題のあるものなのかが分からないのです。

　そのため、攻撃者は見慣れたSNSやWebメールサービスを行っているドメインに存在するオープンリダイレクタ脆弱性ほど「使える」ことになります。PCにちょっと詳しい人ですと「ファイアウォールやウイルス対策ソフトが守ってくれるのでは？」と思うかもしれませんが、自分でクリックしたURLに対してはすり抜けてしまう場合もあります。このような攻撃を受動的攻撃といいます。

【関連記事】 生粋のハッカーに学ぶ、メールの攻め方守り方 - ＠IT via kwout インシデントの見抜きかた（2） クライアントが狙われる――受動的攻撃を見抜く - ＠IT via kwout

　メール転送／誤送信という「情報漏えい事件」

　結論からいいますと、企業のメールボックスに来たメールを、個人のメールアドレスや携帯電話に転送することは危険です。ほとんどの企業で禁止されていると思いますので、その指示に従うようにしてください。これはメールだけでなく、企業のドキュメントをUSBメモリに入れたり、添付ファイルとしてメールで送ることも同様です。

　昨今、情報漏えいの事件が毎日のように発生しています。このきっかけのほとんどすべては、個人のPCに企業のデータがあることが発端になっています。WinnyやShareなどのPtoPソフトウェアをインストールしていなくても、家族が使っていたために漏えいが起きることもあります。

　多数のあて先に同報メールを送信するときも注意しましょう。Bccで送るべきところをCcで送ってしまうと、受け取ったメールには受信者のメールアドレスがすべて表示されてしまいます。このようなメール一斉送信の業務が運用に含まれているような場合、専用の同報システムを構築すべきでしょう。

　軽い気持ちでメール転送、メール送信をした結果、企業に大きなダメージを与えることも考えられます。メールの転送だけでなく、データの持ち出しについては必ず上長に確認を取って、問題がない場合のみ行ってください。

【コラム】メールで半角かなが利用できない理由 　インターネットで利用される電子メールは、もともと英語圏で利用されていたため、文字コードは英数字のみを前提とした7ビットの文字コードを基に設計されています。そのため、シフトJISやEUCなど8ビットの文字コードはそのままでは利用できません。 　そこで日本語の電子メールは、7ビットで定義されている日本語のコード、ISO-2022-JPが利用されています。このコード体系はほぼJISコードと同様なのですが、半角かなに相当するコードが空けられています。そのため、電子メールにおいて半角かなは使用できないことになります。 　メールクライアントによっては半角かなを全角に変換する機能があるかもしれませんが、インターネットの電子メールにおいては、半角かなは使わないよう心がけましょう。 関連記事： インターネット・プロトコル詳説（4） MIME（Multipurpose Internet Mail Extensions）〜後編 http://www.atmarkit.co.jp/fnetwork/rensai/netpro04/netpro01.html

　迷ったら聞く！

　冒頭でも述べましたが、新社会人となるほとんどの方がすでにメールを活用していることと思います。しかし、企業でもらえるメールアドレスは、個人で使っているものよりも「カネになる」メールアドレスなのです。そのため、攻撃者は対象として企業のメールアドレスを狙います。そして社会人経験が短い皆さんは彼らの格好のターゲットとなる可能性があります。

　そこで、もしメールについて判断に迷う内容のものが届いたり、外部の方にメールを送信する場合、まずはなるべく先輩のコメントをもらいましょう。きっと助言をもらえるはずです。

　また、先輩となる皆さんも、もう一度メールの使い方を見直し、正しく安全に利用できる環境となっているかをチェックしてください。もしいま迷惑メールが大量に届いていたり、送信ミスの多発や情報漏えいの可能性がある場合、技術で解決できるのであればなるべく技術で、それでもカバーできないものを「セキュリティポリシー」として決め、運用でのカバーができるかを考えましょう。

　おそらく、ビジネスにおけるメールは、今後も攻撃者が狙い続けるものとなるでしょう。安全にメールを運用するために、ぜひ＠ITのメールセキュリティ記事を読み、脅威とその対策について学んでください。

【関連記事】 電子メールセキュリティの基礎知識 連載インデックス（全4回） - ＠IT via kwout アップデーティング・メールセキュリティ 連載インデックス - ＠IT via kwout

2/2

Index
新社会人が知っておくべきメールセキュリティの基本
	Page1 メールなんて簡単？ まずはメールを観察しよう メールアドレスを知らせなくてもスパムは来る
	Page2 メール本文にあるリンク、信用できるものですか？ メール転送／誤送信という「情報漏えい事件」 迷ったら聞く！

Security&Trust記事一覧

＠ITメールマガジン　新着情報やスタッフのコラムがメールで届きます（無料）