メールセキュリティ強化の必要性と対応策　～メールアドレスの不正利用事故を防ぐには～

メール普及とそのリスク

皆さんは、1日に何通くらいメールを受け取っていますか？

現代社会におけるメールは、電話と並び重要な通信インフラとなっています。

皆さんが当たり前のように日々利用しているメール。しかし、メールにはセキュリティリスクが存在しており、これを悪用したインシデントも増加しています。

以前の記事で「迷惑メール」の危険性とその対策について解説していますので、こちらもご覧ください。

（「迷惑メール」：https://follow-up.metro.tokyo.lg.jp/topics/hottopic9/） 

本記事では、最近の事例として兵庫県姫路市の神姫バス株式会社で発生したメールアドレス不正利用事件をもとに、メールの送信の仕組みやメールセキュリティの対策について解説します。

神姫バスの事例：インシデント発生の背景とその影響

皆さんは2024年10月3日に公表されたこちらのニュースをご存知ですか。

【注意喚起】第三者による弊社メールアドレスの不正利用およびメール送信について（神姫バス株式会社）
　　　https://www.shinkibus.co.jp/sys/frames/view/2085

この事例は、会社のメールアドレスが第三者に不正に利用され、大量の迷惑メールが送信されるというものでした。

事件が発覚したのは、採用担当者が「自分が送信していないにもかかわらず、『送信不可』という通知が届いている」という報告を社内の情報システム課に行ったことがきっかけでした。

この通知は、迷惑メールが送信先に届かなかった際に返されるもので、担当者がすぐに異変を察知したことが早期対応につながりました。

会社ではその後、パスワードの再設定や調査が進められ、システムへの侵害や情報漏えいは確認されていないと報告されています。

しかし、このような事件が発生すること自体が企業にとって大きな信用失墜につながります。
万が一このメールを介して受信者が不正プログラムに感染した場合、企業は法的責任を負わなければならない可能性もあります。

そもそも、なぜ会社のメールアドレスが第三者に不正利用されたのでしょうか。

それには、メールが送られる仕組みを理解することが必要です。

メール送信の仕組みとセキュリティ上の問題

出典：国民のためのサイバーセキュリティサイト（総務省）
　　https://www.soumu.go.jp/main_sosiki/cybersecurity/kokumin/basic/service/04

メールは、普段私たちが見えない部分で複雑な仕組みを経て送信されます。

初めに送信者がメールクライアント（GmailやOutlookなど）でメールを作成し、送信ボタンを押すと、メールはSMTPサーバ^※（上図Aさんのメールサーバ）に送られ、そのサーバから受信者のメールサーバに届く仕組みです。

その後、受信者のデバイス上のメールクライアントにメールが配信されます。

^※SMTPサーバ：Simple Mail Transfer Protocol（SMTP）と呼ばれる通信プロトコルを使用してメールを送信・転送するためのサーバ。SMTPはメール送信者がメールサーバに送信し、そのメッセージが受信者のメールサーバに届くまでの通信規約を指します。

ここで重要なのは、SMTPサーバでメールを送信する際、パスワードが必要になるという点です。
一般的には、送信者が利用しているメールクライアントにパスワードを登録します。

このパスワードが漏えいすると、第三者によるなりすましが可能となり、不正なメール送信が行われてしまうのです。

メールセキュリティ向上のための具体的対策

メールの仕組みを理解することは、なぜこうした事件が起こるのか、そしてどのように防げるのかを考える第一歩となります。

このような被害を防ぐためには、下図にあるように、安全なパスワードをSMTPサーバに設定する必要があります。

引用元： ちょこっとぷらすパスワード（独立行政法人情報処理推進機構（IPA）
　　　https://www.ipa.go.jp/security/chocotto

おわりに

メールは日常的に使用するツールですが、その背後には様々なリスクが潜んでいます。

今回の神姫バスの事例を通じて、メールセキュリティの重要性が再認識されました。

企業は、パスワード管理の強化や外部セキュリティ会社との連携を行い、万が一の際にも迅速に対応できる体制を整えることが必要です。

また、利用者自身も不審なメールに対するリテラシーを高め、セキュリティ意識を持ってメールを使用することが求められます。

サイバーセキュリティのリスクに対して常に油断することなく、継続的な対策を講じることが、企業の信頼と安全を守るためには不可欠です。