スパムとは、主にメール、SMS、URL、通知などの形で、無関係または不要なメッセージが、正体不明の組織から 多数のユーザーに送信されるものを指します。スパムが急増するとメールサーバーがあふれ、読者が確認すべき重要なメッセージを見落とす可能性があります。
スパムの大半は単なる迷惑行為にすぎませんが、犯罪者はスパムを利用して悪意のある攻撃を仕掛けることがあります。 例えば詐欺師は、スパムを送ってデバイスへの不正アクセスを試みたり、フィッシング攻撃を仕掛けたり、システム内にマルウェアを拡散したりして、システムを侵害します。
この記事では、さまざまな種類のスパムとその見分け方、そして対策について解説します。
スパムの種類
スパムは当初、主にメール上の現象でしたが、現在ではSEOスパムやソーシャルメディアスパムから、スミッシングやマルウェアスパムまで、さまざまな形で広がっています。
SEOスパム
SEOスパムは「スパムデクシング」とも呼ばれ、ハッカーがSEOスパムを利用してWebサイトにスパムリンクを埋め込み、 自分たちの詐欺サイトへのバックリンクを構築する手口です。 これは、短期間で自然検索の検索エンジンランキングを不正に引き上げる近道です。
Sucuriの報告書によると、SEOスパムはWebサイト攻撃でよく見られる形態で、最も急速に増加している感染傾向の一つです。例えば2018年には、Webサイト攻撃のほぼ51%がSEOスパムに関連していました。
ソーシャルメディアスパム
ソーシャルメディアの利用が増える中、スパマーはこれらのプラットフォーム上のユーザーを狙う絶好の機会を見つけました。ハッカーがソーシャルメディアスパムを使う目的は、スパマーのWebサイトへのトラフィックや収益を増やすことです。
ソーシャルメディアスパムの規模を測定するため、コンテンツマーケティング会社のFoundationIncはQuestion ProおよびOrbit Mediaと共同調査を行いました。数ある調査結果の中で、報告で明らかになったのは次の点です。
- FacebookやInstagramなどのソーシャルメディアアカウントは、最もスパムが多い。
- ユーザーの60%がスパムDMを受け取っている。
- ユーザーの20%が毎日スパムDMを受け取っている。
- LinkedInのユーザーが受け取るスパムメッセージは少ない。
スミッシング
スミッシング（SMSとフィッシングを組み合わせた造語）とは、フィッシング攻撃で、詐欺師がSMSを通じてモバイルデバイスのユーザーにフィッシングメッセージを送信するものです。スミッシングメッセージは、 WhatsApp、Messenger、Viber、Snapchat、Skypeなどの 人気のメッセージングプラットフォーム経由で配信されることもあります。
ハッカーはソーシャルエンジニアリングの手法を使い、ユーザーを巧みに誘導して悪意のあるURLをクリックさせます。スミッシングはスパムを配信する一般的な手法です。ユーザーはメールよりもメッセージングプラットフォームを信頼する傾向が強いためです。
マルウェアスパム（マルスパム）
マルスパム、つまり悪意のあるスパムは、 通常、スパムメールやフィッシングメールを通じて配信され、 ユーザーが感染したファイルを開き、 悪意のある配信サイトに誘導されると作動します。
脅威アクターは、なりすましの手法（ 信頼できる組織を装って、ユーザーにメールを開かせたりクリックさせたりする手法） を使い、マルウェアとしてトロイの木馬、キーロガー、スパイウェア、そしてランサムウェアをユーザーのデバイスに送り込みます。
100万台を超えるコンピューターに感染し、 世界中でEmotetマルウェアによる数十億ドルの被害をもたらした事例は、マルスパムの一例です。
チェーンメールスパム
スパムには、複数の人に他のメールユーザーへメッセージを転送するよう促すチェーンメールスパムという種類もあります。詐欺師は人間の欲深さにつけ込み、チェーンメッセージを転送するよう仕向けます。
マネースパムもチェーンメールスパムの一例で、少額の投資と引き換えに多額の金銭を得られると約束し、複数の人に送信されます。「ナイジェリアの王子」を名乗る詐欺は、マネースパムのよく知られた例です。
スパムを見分ける方法
現在のメールクライアントは、スパムの識別とフィルタリングの精度を高めています。しかし、重要な個人メールを探すためにスパムフォルダーを確認した経験がある人なら分かるように、完全ではありません。
どれだけ避けようとしても、私たちは誰もが、いつかはスパムの被害に遭います。スパマーは、スパムメールを本物らしく見せる専門家だからです。幸い、いくつかの特徴を手掛かりにスパムを見分け、クリックを避けることができます。スパムを見分けるポイントを紹介します。
定型的なあいさつ
スパムメールは通常、「アカウント所有者様」「拝啓」「お客様」など、定型的なあいさつで始まります。正規の送信者であれば、コピー＆ペーストしたような定型文ではなく、名前で呼びかけます。
不自然に緊急性をあおる
スパムメールの多くは緊急性を演出し、読者に直ちに行動するよう求めます。KnowBe4の調査によると、次の件名のフィッシングメールが最も多くクリックされました。
- IT部門からのお知らせ：パスワードの有効期限が24時間以内に切れます（12%）
- 全従業員対象：医療情報を更新してください（10%）
- パスワードの変更が直ちに必要です（10%）
- 改定版の休暇・病気休暇ポリシー（8%）
- 簡単な社内アンケート（8%）
- メールアカウントの更新（8%）
不自然な文章や文法ミス
専門組織が、表現の不自然な文章や明らかなスペルミスを含むメールを送ることはありません。上記のような特徴に気づいた場合は、スパムメールの可能性があります。
偽装されたドメイン名
脅威アクターは、アドレス欄のつづりを変えて、一見しただけでは正規の送信元と見分けにくくします。これはメールスプーフィングと呼ばれる手法で、詐欺師が正規のメールアドレスになりすましてユーザーをだまし、メールをクリックさせたり、重要な情報を共有させたりします。
例えば、PayPalをPaypalと表記したり、WalmartをWalMartとつづったりします。信頼できる企業がスペルを間違えることはないため、ドメイン名に誤字がないか確認するのが基本です。
不明な添付ファイル
安全なサイバーセキュリティ対策として、知らない送信元から不明な添付ファイルをダウンロードしてはいけません。 添付ファイルをダウンロードすると、デバイスにマルウェアが取り込まれ、被害が生じる可能性があるため、注意してください。
.vbs、.exe、.js、.scrなどのファイル添付には特に注意が必要です。.exeなどの実行ファイルはコンピューターにファイルをインストールできるため、マルウェアに簡単に感染させる目的で悪用される可能性があります。
スパムを防ぐためのヒント
2022年には、世界のメールトラフィックの約53%がスパムでした。Googleだけでも毎日約1億件のスパムメッセージをブロックしています。受信トレイを埋め尽くす迷惑メールの終わりのない流入にうんざりしているなら、簡単に実践できる対策を紹介します。
メールアドレスをむやみに共有しない
ニュースレターや企業のクーポンに登録するとき、あるいはソーシャルメディアで共有するときなど、私たちはあまり深く考えずにメールアドレスを公開しがちです。しかし、そのたびにハッカーやスパマーにさらされる可能性が高まります。
安全を考えるなら、メールアドレスは非公開にし、必要な場合にだけ共有するのが賢明です。一般的な購読や企業サービスへの登録専用に「ダミーアカウント」を作成するか、さらに良い方法として、一時的なメールアドレスを使いましょう。オンラインには無料で利用できるホスティングサービスが多数あります。
メールIDを難読化したり、メールエイリアスを使ったりすると、メールのセキュリティが向上し、 IDがメールアドレス収集業者の標的になるのを防げます。
不審なメールに注意する
知らない人から届いたメールや、緊急性をあおるメールには注意してください。何かおかしいと感じたら、メールを開いてやり取りするのではなく、削除しましょう。そうしないと、さらに多くのスパムを受け取る可能性が高まります。
スパムメールに返信しない
スパムの疑いがあるメールには、決して返信しないでください。返信するとメールアカウントが有効だとスパマーに伝わり、さらに多くのスパムを送りつけられます。代わりに送信者をブロックするか、確信が持てない場合は、正しい相手と連絡を取っていること、なりすましではないことを確認するため、アドレス帳や企業の問い合わせページから関係する相手に直接メールを送ってください。
サードパーティー製のスパムフィルターを使う
おそらく、メールサービスプロバイダーはすでにスパムフィルターを使って スパムメッセージを除外しています。しかし、セキュリティをさらに高めるため、サードパーティー製のスパムフィルターを導入しましょう。スパムフィルターは、インスタンスベースまたはルールベースのアルゴリズムを使ってメールの内容を解析し、 送信します。2つのスパムフィルターを併用すれば、スパマーが一方のフィルターを突破しても、もう一方が捕捉してくれるので安心です。
スパムメールを報告する
迷惑メールをスパムとして報告することも、過剰なスパムが受信トレイに届くのを防ぐ対策の一つです。スパムメールを報告すると、メールボックスのプロバイダーにスパマーの活動を知らせ、以後の接触を防げます。
新しいメールIDを作成する
あらゆる方法を試しても大量のスパムメッセージが届く場合は、新しいメールアドレスの作成が必要になることがあります。新しいアカウントを作成したら、連絡先全員に新しいメールIDを知らせましょう。
まとめ：危険なスパムを避ける
すべてのスパムが危険とは限りませんが、過剰なスパムは帯域幅の費用、生産性の低下、その他の見えにくいコストにつながります。フィッシングメールがもたらすサイバーセキュリティ上の課題は言うまでもありません。スパムを完全に止める方法はありませんが、上記の対策を講じることで、受け取るスパムの量を減らすことはできます。
最も重要な対策の一つは、ネットワークを保護するとともにエンドポイントも守るため、有効なファイアウォールを導入することです。ここでは中小企業向けの最適なファイアウォール、そしてエンタープライズ向けの最適なファイアウォール。