スパム (メール)

語源

語源は、缶詰の "SPAM" およびコメディ番組『空飛ぶモンティ・パイソン』のスケッチ、『スパム』から来ている。
スパムではないメールのことを、スパムに準えて"ham"（ハム）と表現することがある。アンチスパムソフトウエアでhamという表現が採用されていることがある。

スパマーとゾンビPC

スパムメールを送信している者（spammer、スパマー）は“ゾンビ”と呼ばれる不正侵入されたシステムで構成された巨大な"軍隊"のようなものを統制している。スパマーのコミュニティは異常なほど高度に組織化されており、フィルターを通り抜ける方法を開発する者、マシンを乗っ取りゾンビにしてしまう者、そのマシンの利用権を切り売りする者もいる。ゾンビシステムの数は数千台にのぼると見られている。また全迷惑メールの40％以上はゾンビPCから送信されているのではないかとしている。

ブラックリスト

現在のメールシステムは配達経路が記録されるため、発信されたサーバを特定することができる。通常、加入しているインターネット・サービス・プロバイダ (ISP) のサーバから直接送信すれば、すぐにスパム行為が判明して強制退会などの措置をとられるし、自前のサーバから送信すれば、すぐに発信者が突き止められてしまう。そのため、スパマーは無関係な外部のサーバを利用して送信することとなる。そのようなスパムを送信しているサーバは、第三者中継（若しくは「不正中継」で、俗にいう「踏み台」）を許している場合が多い。そのため、第三者中継を許すサーバからの受信を拒否することがスパム防止に効果的な場合がある。
こうした、不当なメールの中継を許す「管理の甘い」サーバのIPアドレスを列記したブラックリストがある。プロバイダなどはこのブラックリストの提供者（例・DSBL、スパムコップ(英語版:SpamCop)、CBL(英語版:Composite Blocking List)）と契約を結んで最新版のリストの供給を受け、スパム遮断に役立てる。これらのブラックリストはリアルタイムに更新されることからRBL（Realtime Blackhole List）とも呼ぶ。
しかし一部では、このブラックリストの誤報によって、メールサーバが一時的に他のメールサーバから無視される被害を受ける場合もある。最近では、英国のspamhaus(英語版:The Spamhaus Project)のように、クラスCのIPアドレス単位でブラックリストに登録するようなケースがおきており、何もしていないのにブラックリストに登録されるようなケースも発生しており、RBLの管理が大きな問題となっている。
逆に、メールサーバについては外部の第三者から不正に使用されないよう、"POP before SMTP"（メール送信前に受信操作を行うことが義務、受信後の一定時間内でないと送信できない）や"SMTP-AUTH"（SMTP認証、送信時に直接ユーザ認証を行う）を設定したりして、部外者からの送信を防止したりする方策が採られることが多くなった。ただし、POP before SMTPはIPアドレス認証でありセキュリティ上の問題があることも指摘されている。その結果、メールの投稿（ユーザがメールを送信すること）はメールサブミッションポート（Submission Port）である587番ポートを使って"SMTP-AUTH"で送信するOP25B（Outbound Port 25 Blocking）が推奨されている。
そうでなければ、実際にスパムの踏み台にされることはなくても、ブラックリストに収録されてしまって送信機能を失うことになりかねないからである。特にこれは企業やプロバイダにとっては、致命的な問題に繋がるため、メールサーバの設定・管理上で無視できない課題となっている。

グレイリスト

メールを受け取る際に、初見のサーバに対して一時的エラーを示すステータスコードを返すようにする。一般にスパムメール業者は大量のメールを短い時間で送信するために、エラーが起きるとリトライしないことが多いためである。もちろん、このままではリトライしないサーバから送信された一般のメールも受け取れないため、通常の応答をする対象となるサーバを記述したホワイトリストや、IPアドレスからホスト名を逆引きして確認する方法などと併用する。

フィルタリングソフトウェア

スパムメールが持つ特有の単語などを文章から認識して、あるメールがスパムかそうでないかを自動的に判断、スパムであれば即座に分離するというスパムフィルタ機能を持ったソフトウェアが実用化されている。こうした判断を支えている手法の一つがベイズ推定という統計手法であり、これを利用した判別ソフトウェアはベイジアンフィルタと呼ばれる。また、最近では、その分離性の良さとパラメータ調整の容易さから、ロジスティック回帰も用いられるようになってきている。スパムメールを収集して、そのフィンガープリントをデータベース化する手法も用いられている。収集の方法としてはISPにハニーポット（おとり）を準備して収集する方式がある。また、コミュニティからのフィードバックによるコラボレーション型スパムフィルタという手法もオープンソースや商用フィルターにも使われている。スパムメールは短期間に新種が現れるので、これらのデータベースにも同様のリアルタイム性が要求される。
受信サーバに実装したもの、電子メールクライアントに実装したものなどいくつかの段階で使用可能で、また精度も非常に高い。
また、携帯電話メールでは、改正前の特定電子メール法で題名に必須だった「未承諾広告※」などのメール受信を拒否したり、ドメイン名（送信元のリモートホスト）を指定しての受信などのフィルタリング機能を網内に持つようになった。

宛先不明のメールのリレーを受け付けないサーバ

スパム業者が有意なメールアドレスのリストを常に欲しているのは前記の通りだが、それとは別に辞書攻撃と呼ばれる手法を使って、一般的な英単語や想定される全てのアルファベットや数字の組み合わせを片っ端から（"@"の前に付けて）特定ドメインのメールサーバ宛に送信することがある。これは、メールアドレスハーベスティング（あるいは単にハーベスティング）と呼ばれる行為で、一般的に、SMTPのRCPTコマンドを大量に発し、それに対する応答が、リレー許可か、宛先不明かによって、メールアドレスの存在を確認している。
一部のメールサーバに於いては、宛先不在のメールであるにもかかわらず、RCPTコマンドでは「リレー許可」を返答し、メールを一旦受信した上で、宛先不明の旨を返信する方式がとられているが、このようなサーバは、メールアドレスハーベスティングの結果、ほぼ無制限のスパムメールを受け取ることになってしまう。また、スパムメールの差出人が詐称されている場合(ほとんどのスパムメールがそうである)、詐称された差出人に対して、宛先不明の旨の通知メールが大量に送信され、第三者に被害を拡大することにも繋がる。このようなことを防ぐには、宛先不明のメールはリレーを許可しない方法が好ましい。

誤検知の問題

スパムメール防止技術で特に大きな問題となるものとして誤検知(フォールスポジティブ)がある。スパムメール防止でのフォールスポジティブとは、スパムメールでないメールがスパムメールと判定されたり、善良な企業のIPアドレスがスパムメール送信者のアドレスとして登録されたり認識されることを意味する。フォールスポジティブが発生すると重要なメールが紛失することになるので大きな損失に繫がる可能性がある。フィルタリング技術は、スパムの検出率の向上以上にフォールスポジティブを限りなく小さくするようにされているのが一般的である。

アメリカ

アメリカ合衆国では、電子メールだけでなく郵便を利用したダイレクトメールや電話勧誘販売に対するオプトアウト登録システムが国家（連邦政府）によって始められており、電子メールでは、メールサーバに多大な負荷を掛けるようなスパム送信者への罰則強化が進められている。スパム送信元国は、ブラジル、インド、大韓民国の順に多い。2012年7月-9月、情報セキュリティ会社の米ソフォス社の調査によれば、スパム送信元国はインド16.1%、イタリア9.4%、米国6.5%である。一方、大陸で見るとアジア48.7%、ヨーロッパ28.2%、南米10.2%であった。

日本

2002年には、NTTドコモの携帯電話宛に約405万通の宛先不明メールを送信した業者に対して、NTTドコモの特定接続サービスの規約に反して迷惑メールを送ったとして損害賠償請求訴訟が起こされ、NTTドコモが勝訴した。
警視庁は、20億通のスパムメールを発信していた出会い系サイト運営者を、総務省からの措置命令を無視したとして2014年9月に措置命令違反で逮捕している。
2002年4月には特定電子メールの送信の適正化等に関する法律（特定メール法）が制定、また特定商取引に関する法律（特定商取引法）が改正され、スパムメールに対する法的な規制が強化された。
2006年3月に日本国内のISPや携帯電話事業者等が設立したJEAG（Japan Email Anti-abuse Group)が迷惑メール対策に対する3つのRecommendationを発表している。その中では、ISPの動的IPアドレスから送信されるメールをブロックするOutbound Port 25 BlockingやSubmission Port+SMTP AUTH、送信ドメイン認証の採用などが推奨されている。

その他

国際機関、OECDでは2006年にスパム対策のツールキットを作成している。またスパムへの技術対策の一つとして送信認証技術を取り上げている。アメリカでは、2004年1月に連邦法としてCAN-SPAM法(CAN-SPAM Act of 2003)が成立している。基本的な考えはオプト・アウトだが携帯電話に向けたメールについてはオプト・インを採用していることや、悪質な迷惑メールに関する規制がなされている。2012年1月には、メール送信事業者等15社からなる迷惑メール対策やフィッシング対策などを目的とする「DMARC.org」が設立、SPF, DKIM等の技術を活用し、送信者認証を行うための仕組みを策定している。欧州では、2002年7月の「電子通信個人データ保護指令」の13条が電子メールのダイレクトマーケティング目的での利用については、顧客の同意がある場合にのみ認められるオプト・インを採用している。この指令を受けてEUの各構成国でもオプト・イン規制を整備してきている。

スパムと採算性

2006年2月にシマンテックが行ったワークショップでの発表によると、スパムの返信率が0.001%（10万通に1通）を超えると採算が取れるという。
2008年2月には、日本で、のべ22億通のスパムを送信した容疑者が逮捕されており、この容疑者は約2000万円の利益を得ていたとされる。
低コストで大量にメッセージを送ることができるため、採算が取れるうちはスパムを根絶することは困難であるといわれている。