第6回 JPAAWG (B2-3)

2023 年度版 迷惑メール動向と対策事例の紹介
2023/11/07
株式会社インターネットイニシアティブ(IIJ)
ネットワーク本部 アプリケーションサービス部 運用技術課課長 古賀 勇

想定所要時間 40分©Internet Initiative Japan Inc.

‐1‐

自己紹介
法人系メールセキュリティサービスの運用

ウイルス対策迷惑メール対策

送信ドメイン認証

Sandbox
顧客サポート

執筆活動・公演活動・エンジニアブログ・技報

古賀 勇 (Isamu Koga)
株式会社インターネットイニシアティブ(IIJ)
ネットワーク本部 アプリケーションサービス部 運用技術課 課長(兼) 社長室WIDE ProjectM3AAWG

openSUSE (趣味)Power Automate エバンジェリスト (自称) 「自動化は正義」©Internet Initiative Japan Inc.

‐2‐

昨年(第5回) JPAAWG のおさらい©Internet Initiative Japan Inc.

‐3‐

第5回 JPAAWG のおさらい「現場発！メールサービスを支える運用者の集い 2022 秋」より©Internet Initiative Japan Inc.

‐4‐

第5回 JPAAWG のおさらい「現場発！メールサービスを支える運用者の集い 2022 秋」より©Internet Initiative Japan Inc.

‐5‐

第5回 JPAAWG のおさらい「現場発！メールサービスを支える運用者の集い 2022 秋」より

PPAP 廃止でEmotet 一網打尽
©Internet Initiative Japan Inc.

‐6‐

第5回 JPAAWG のおさらい「現場発！メールサービスを支える運用者の集い 2022 秋」より

DMARC でIIJ ブランドを保護©Internet Initiative Japan Inc.

‐7‐

第5回 JPAAWG のおさらい「現場発！メールサービスを支える運用者の集い 2022 秋」より

PPAP 廃止でEmotet 一網打尽

DMARC でIIJ ブランドを保護©Internet Initiative Japan Inc.

‐8‐

近年のフィッシングメール傾向©Internet Initiative Japan Inc.

‐9‐

2023年度 フィッシングメール・ウイルスメールの傾向
時折スパイクする傾向が見られる▲ フィッシング対策協議会 月次報告書 (2023/09)
https://www.antiphishing.jp/report/monthly/202309.html▲ 迷惑メール(IIJ ハニーポットで計測)

2023年 4〜6月に迷惑メールが増加▲ ウイルス (IIJ ハニーポットで計測)©Internet Initiative Japan Inc.

‐ 10 ‐

ちょっと待てよ、この手の話...

何度も聞いてない...?
©Internet Initiative Japan Inc.

‐ 11 ‐

近年のフィッシングメールの傾向

大手金融機関が狙われる©Internet Initiative Japan Inc.

‐ 12 ‐

近年のフィッシングメールの傾向

大手金融機関が狙われる
DMARC 対応率
100%

DMARC で対策

©Internet Initiative Japan Inc.

‐ 13 ‐

近年のフィッシングメールの傾向

大手金融機関が狙われる
DMARC 対応率
100%

DMARC で対策

クレジットカード会社が狙われる©Internet Initiative Japan Inc.

‐ 14 ‐

近年のフィッシングメールの傾向

大手金融機関が狙われる
DMARC 対応率
100%

DMARC で対策

クレジットカード会社が狙われる
DMARC 対応率
100%
©Internet Initiative Japan Inc.

‐ 15 ‐

近年のフィッシングメールの傾向

大手金融機関が狙われる
DMARC 対応率100%

ネットバンキングが狙われる

DMARC で対策

クレジットカード会社が狙われる
DMARC 対応率
100%
©Internet Initiative Japan Inc.

‐ 16 ‐

近年のフィッシングメールの傾向

大手金融機関が狙われる
DMARC 対応率100%

ネットバンキングが狙われる

DMARC で対策

DMARC で対策

DMARC 対応率73%

クレジットカード会社が狙われる
DMARC 対応率
100%
©Internet Initiative Japan Inc.

‐ 17 ‐

近年のフィッシングメールの傾向

大手金融機関が狙われる
DMARC 対応率100%

ネットバンキングが狙われる

DMARC で対策

DMARC で対策

DMARC 対応率73%

地方銀行が狙われるクレジットカード会社が狙われる
DMARC 対応率
100%
©Internet Initiative Japan Inc.

‐ 18 ‐

近年のフィッシングメールの傾向

大手金融機関が狙われる
DMARC 対応率100%

ネットバンキングが狙われる

DMARC で対策

DMARC で対策

地方銀行が狙われる

クレジットカード会社が狙われる

DMARC 対応率73%

今ココ

DMARC 対応率
100%
©Internet Initiative Japan Inc.

‐ 19 ‐

©Internet Initiative Japan Inc.

‐ 20 ‐

近年のフィッシングメールの傾向
悪は常に対策が手薄なドメイン名を狙い渡り歩く
大手金融機関が狙われる

ネットバンキングが狙われる

DMARC で対策

DMARC で対策

地方銀行が狙われる

クレジットカード会社が狙われる

今ココ

悪は常に対策が手薄なドメイン名を狙い渡り歩く©Internet Initiative Japan Inc.

‐ 21 ‐

まとめ (1)
悪に狙われる前に、やはり DMARC 対応しましょう

DMARC p=reject みんなでやりましょう(悪の視点) 送信ドメイン認証に失敗するドメイン名はなりすます価値がない

次、狙われるのは御社のドメイン名かも...
©Internet Initiative Japan Inc.

‐ 22 ‐

今日の本題
みんなが DMARC 対応したあとどういう世界が待っているのか©Internet Initiative Japan Inc.

‐ 23 ‐

Case 1
通常の送信エラーの例 (宛先不明など)©Internet Initiative Japan Inc.

‐ 24 ‐

みんなが DMARC 対応したあと どういう世界が待っているのか【Case 1】通常の送信エラーの例 (宛先不明など)
MAIL FROM: <koga@iij.ad.jp>
RCPT TO: <user-unknown@example.com>
From: koga@iij.ad.jp
To: user-unknown@example.com

(1)

(2)

自組織のメールサーバ©Internet Initiative Japan Inc.

宛先メールサーバ(example.com)‐ 25 ‐

みんなが DMARC 対応したあと どういう世界が待っているのか【Case 1】通常の送信エラーの例 (宛先不明など)
MAIL FROM: <koga@iij.ad.jp>
RCPT TO: <user-unknown@example.com>
From: koga@iij.ad.jp
To: user-unknown@example.com(1)

550 User unknown(2)

自組織のメールサーバ©Internet Initiative Japan Inc.

宛先メールサーバ(example.com)‐ 26 ‐

みんなが DMARC 対応したあと どういう世界が待っているのか【Case 1】通常の送信エラーの例 (宛先不明など)
MAIL FROM: <koga@iij.ad.jp>
RCPT TO: <user-unknown@example.com>
From: koga@iij.ad.jp
To: user-unknown@example.com(1)

550 User unknown
(2)
(3)

(4)
自組織のメールサーバ

宛先メールサーバ(example.com)
MAIL FROM: <>RCPT TO: <koga@iij.ad.jp>

From: MAILER-DAEMON
To: koga@iij.ad.jp©Internet Initiative Japan Inc.

‐ 27 ‐

Case 2
悪の組織が なりすましメールを送ってエラーになる例©Internet Initiative Japan Inc.

‐ 28 ‐

みんなが DMARC 対応したあと どういう世界が待っているのか【Case 2】悪の組織が なりすましメールを送ってエラーになる例(1)

自組織のメールサーバ

宛先メールサーバ(example.com)

MAIL FROM: <koga@iij.ad.jp>
RCPT TO: <target@example.com>
From: koga@iij.ad.jp
To: target@example.com©Internet Initiative Japan Inc.

悪‐ 29 ‐

みんなが DMARC 対応したあと どういう世界が待っているのか【Case 2】悪の組織が なりすましメールを送ってエラーになる例:thinking_face:(1)

自組織のメールサーバ

宛先メールサーバ(example.com)

MAIL FROM: <koga@iij.ad.jp>
RCPT TO: <target@example.com>
From: koga@iij.ad.jp
To: target@example.com©Internet Initiative Japan Inc.

悪‐ 30 ‐

みんなが DMARC 対応したあと どういう世界が待っているのか【Case 2】悪の組織が なりすましメールを送ってエラーになる例_dmarc.iij.ad.jp. IN TXT "v=DMARC1; p=reject":thinking_face:(1)

自組織のメールサーバ

宛先メールサーバ(example.com)

MAIL FROM: <koga@iij.ad.jp>
RCPT TO: <target@example.com>
From: koga@iij.ad.jp
To: target@example.com©Internet Initiative Japan Inc.

悪‐ 31 ‐

みんなが DMARC 対応したあと どういう世界が待っているのか【Case 2】悪の組織が なりすましメールを送ってエラーになる例_dmarc.iij.ad.jp. IN TXT "v=DMARC1; p=reject"

MAIL FROM: <>RCPT TO: <koga@iij.ad.jp>
From: MAILER-DAEMON
To: koga@iij.ad.jp

550 Rejected per DMARC policy(2)

自組織のメールサーバ(1)

宛先メールサーバ(example.com)

MAIL FROM: <koga@iij.ad.jp>
RCPT TO: <target@example.com>
From: koga@iij.ad.jp
To: target@example.com©Internet Initiative Japan Inc.

悪‐ 32 ‐

みんなが DMARC 対応したあと どういう世界が待っているのか【Case 2】悪の組織が なりすましメールを送ってエラーになる例_dmarc.iij.ad.jp. IN TXT "v=DMARC1; p=reject"

MAIL FROM: <>RCPT TO: <koga@iij.ad.jp>
From: MAILER-DAEMON
To: koga@iij.ad.jp

550 Rejected per DMARC policy
(2)

(3)

自組織のメールサーバ(1)

宛先メールサーバ(example.com)

MAIL FROM: <koga@iij.ad.jp>
RCPT TO: <target@example.com>
From: koga@iij.ad.jp
To: target@example.com©Internet Initiative Japan Inc.

悪‐ 33 ‐

Case 3
悪の組織が なりすましメールを送ってエラーになる例 (大量)©Internet Initiative Japan Inc.

‐ 34 ‐

みんなが DMARC 対応したあと どういう世界が待っているのか【Case 3】悪の組織が なりすましメールを送ってエラーになる例 (大量)

ボットネット
乗っ取りアカウント
C&C

自組織のメールサーバ
悪
色々な組織のメールサーバ©Internet Initiative Japan Inc.

‐ 35 ‐

みんなが DMARC 対応したあと どういう世界が待っているのか【Case 3】悪の組織が なりすましメールを送ってエラーになる例 (大量)(1)

ボットネット
乗っ取りアカウント
C&C

自組織のメールサーバ
色々な組織のメールサーバ

MAIL FROM: <koga@iij.ad.jp>
RCPT TO: <target@example.jp>
RCPT TO: <target@example.net>
RCPT TO: <target@example.org>

悪From: koga@iij.ad.jp
To: target@example.net©Internet Initiative Japan Inc.

‐ 36 ‐

みんなが DMARC 対応したあと どういう世界が待っているのか【Case 3】悪の組織が なりすましメールを送ってエラーになる例 (大量)
550 Rejected per DMARC policy(1)

ボットネット
乗っ取りアカウント

550 Rejected per DMARC policy

C&C

550 Rejected per DMARC policy

自組織のメールサーバ
色々な組織のメールサーバ

MAIL FROM: <koga@iij.ad.jp>
RCPT TO: <target@example.jp>
RCPT TO: <target@example.net>
RCPT TO: <target@example.org>

悪From: koga@iij.ad.jp
To: target@example.net©Internet Initiative Japan Inc.

‐ 37 ‐

みんなが DMARC 対応したあと どういう世界が待っているのか【Case 3】悪の組織が なりすましメールを送ってエラーになる例 (大量)
550 Rejected per DMARC policy
MAIL FROM: <>RCPT TO: <koga@iij.ad.jp>
From: MAILER-DAEMON
To: koga@iij.ad.jp(1)(2)

ボットネット
乗っ取りアカウント
C&C

自組織のメールサーバ
色々な組織のメールサーバ

MAIL FROM: <koga@iij.ad.jp>
RCPT TO: <target@example.jp>
RCPT TO: <target@example.net>
RCPT TO: <target@example.org>

悪From: koga@iij.ad.jp
To: target@example.net©Internet Initiative Japan Inc.

‐ 38 ‐

みんなが DMARC 対応したあと どういう世界が待っているのか【Case 3】悪の組織が なりすましメールを送ってエラーになる例 (大量)
550 Rejected per DMARC policy
MAIL FROM: <>RCPT TO: <koga@iij.ad.jp>
From: MAILER-DAEMON
To: koga@iij.ad.jp

(1)
(2)

ボットネット
乗っ取りアカウントC&C(3)

自組織のメールサーバ
色々な組織のメールサーバ

MAIL FROM: <koga@iij.ad.jp>
RCPT TO: <target@example.jp>
RCPT TO: <target@example.net>
RCPT TO: <target@example.org>

悪From: koga@iij.ad.jp
To: target@example.net©Internet Initiative Japan Inc.

‐ 39 ‐

みんなが DMARC 対応したあと どういう世界が待っているのか【Case 3】悪の組織が なりすましメールを送ってエラーになる例 (大量)
550 Rejected per DMARC policy
MAIL FROM: <>RCPT TO: <koga@iij.ad.jp>(2)

ボットネット
乗っ取りアカウント

バックスキャッター問題
Backscatter Issue

From: MAILER-DAEMON
To: koga@iij.ad.jp

(3)

(1)

C&C

自組織のメールサーバ

色々な組織のメールサーバ

MAIL FROM: <koga@iij.ad.jp>
RCPT TO: <target@example.jp>
RCPT TO: <target@example.net>
RCPT TO: <target@example.org>

悪From: koga@iij.ad.jp
To: target@example.net©Internet Initiative Japan Inc.

‐ 40 ‐

バックスキャッターの問題点

エラー自体は正常な動作

正常なエラーと それ以外のエラーの区別ができない
エラーメールを送付する組織も ある意味被害者©Internet Initiative Japan Inc.

‐ 41 ‐

実際に観測したバックスキャッター
2023年 9月
IIJ セキュア MX サービスで観測

平時の20〜30倍規模
大小複数回続く

当日限定©Internet Initiative Japan Inc.

‐ 42 ‐

バックスキャッター対策©Internet Initiative Japan Inc.

‐ 43 ‐

バックスキャッター対策(1) - BATV
Bounce Address Tag Validation (https://www.ietf.org /archive/id/draft-levine-smtp-batv-01.html)
1. 利用者はメールを送信

1. 悪が From を詐称してメールを送信

2. 送信サーバは From アドレスにタグを付与(エンベロープ From: prvs=KDDDSSSSSS=mailbox@example.jp)

3. 宛先メールサーバでバウンス(エラー)発生
4. 戻ってきたバウンスメールの宛先(To)メールアドレスからタグを探す
5. 正しいタグなら受信

5. タグがない or タグが不正なら破棄©Internet Initiative Japan Inc.

‐ 44 ‐

バックスキャッター対策(1) - BATV
Bounce Address Tag Validation (https://www.ietf.org /archive/id/draft-levine-smtp-batv-01.html)
1. 利用者はメールを送信

1. 悪が From を詐称してメールを送信

2. 送信サーバは From アドレスにタグを付与(エンベロープ From: prvs=KDDDSSSSSS=mailbox@example.jp)

3. 宛先メールサーバでバウンス(エラー)発生
4. 戻ってきたバウンスメールの宛先(To)メールアドレスからタグを探す
5. 正しいタグなら受信利用者は何もしなくて良い

5. タグがない or タグが不正なら破棄

エンベロープ From が謎アドレス
リプレイアタックに弱い©Internet Initiative Japan Inc.

‐ 45 ‐

バックスキャッター対策(2) - 事例

PR

IIJ セキュア MX サービス独自の方法
1. 利用者はメールを送信
2.

1. 悪が From を詐称してメールを送信

は独自の署名をヘッダに挿入

3. 宛先メールサーバでバウンス(エラー)発生
4. 戻ってきたバウンスメールを解析して署名が正当なものか判定
5. 正しい署名なら受信

5. 署名がない or 署名が不正なら破棄©Internet Initiative Japan Inc.

‐ 46 ‐

バックスキャッター対策(2) - 事例

PR

IIJ セキュア MX サービス独自の方法
1. 利用者はメールを送信
2.

1. 悪が From を詐称してメールを送信

は独自の署名をヘッダに挿入

3. 宛先メールサーバでバウンス(エラー)発生
4. 戻ってきたバウンスメールを解析して署名が正当なものか判定
5. 正しい署名なら受信

5. 署名がない or 署名が不正なら破棄

利用者は何もしなくて良い
エンベロープ From 変わらない©Internet Initiative Japan Inc.

戻ってきたメールが解析できないと使えない‐ 47 ‐

バックスキャッター対策(2) - 事例

PR

フィルタの設定に追加するだけ©Internet Initiative Japan Inc.

‐ 48 ‐

バックスキャッター対策(3) - Abuse する大量不正契約されていたと思われるホスティング事業者へ連絡してみた◼ タイムライン
IIJ → Gcore

0分

Gcore → IIJ

24分

IIJ

52分

Gcore → IIJ

54分

IIJ → Gcore

1時間25分

Gcore → IIJ

1時間55分

IIJ → Gcore

1時間58分

Gcore → IIJ5時間04分©Internet Initiative Japan Inc.

Abuse 連絡を実施
確認中とお返事VPS の活動停止を確認

対策が完了したとお返事
追加の対策を依頼
侵害を確認、対策中とお返事

VPS の一部活動停止を確認
対象 VPS を停止したとお返事‐ 49 ‐

バックスキャッター対策(3) - Abuse する大量不正契約されていたと思われるホスティング事業者へ連絡してみた◼ タイムライン
IIJ → Gcore

0分

Gcore → IIJ

24分

IIJ

52分

Gcore → IIJ

54分

IIJ → Gcore

1時間25分

Gcore → IIJ

1時間55分

IIJ → Gcore

1時間58分

Gcore → IIJ

5時間04分Abuse 連絡を実施
確認中とお返事VPS の活動停止を確認

対策が完了したとお返事
追加の対策を依頼
侵害を確認、対策中とお返事

VPS の一部活動停止を確認
対象 VPS を停止したとお返事

連絡すればちゃんと止まる(ところもある)©Internet Initiative Japan Inc.

‐ 50 ‐

まとめ
悪の組織に狙われる前に今すぐ対策を、できるところから。

DMARC p=reject
みんなでやりましょう

バックスキャッターに備えましょう©Internet Initiative Japan Inc.

‐ 51 ‐

まとめ
悪の組織に狙われる前に今すぐ対策を、できるところから。

DMARC p=reject
みんなでやりましょう

バックスキャッターに備えましょう

X©Internet Initiative Japan Inc.

‐ 52 ‐

©Internet Initiative Japan Inc.

‐ 53 ‐