【第1回】スパムメールの傾向と最新の対策ソリューション（前編）

インターネットを介してもたらされる脅威がウイルスやワームだけだった時代はすでに過去の物となった。今では、それ以外にもスパイウェアやスパムメール、フィッシング、ファーミングなどの脅威が登場し、種類が多様化している。こうした状況の中、企業にとって特に大きな問題となるのが、ネットワークのトラフィックを圧迫し、業務効率を低下させる可能性を持つスパムメールの存在だ。今回は、米Symantecの Symantec Mail Security Sr.Product ManagerであるDaniel Freeman氏にスパムメールに関する最新事情を伺った。

テクノロジーを持っていなくてもスパムメールは送信できる

--スパムメールの最新事情についてお聞かせください。

米Symantec
Symantec Mail Security Sr.Product Manager
Daniel Freeman氏

米国においてはいまやメールの総流通量の80％がスパムであるといわれています。また、ヨーロッパでは約60％、日本でも40％近くにまでその比率が高まっています。日本でのスパムメール流通量の割合が2004年には25％程度であったことを考慮すれば、これは急速に増加していると言えます。

　現在、スパムメールが増えている原因は、アドレスハーベストアタックといって、メールアドレスを乱数的に生成し、それを送付してエラーが返ってくるかどうかを見ることによって、有効かどうかを判断する手法がお金になることが分かってきたからです。これらの送信者は、有効なメールアドレスのリストを販売してお金を儲けています。

　それらのリストを購入して、スパムメールを送信するスパマーは、違法ソフトの購入やアダルトサイトの勧誘、クレジットカードやキャッシュカードのID/パスワードを詐取するフィッシングメールなど、さまざまなメールを送ってきます。従来のウイルスやワームとスパムメールの性質が大きく異なるのは、ウイルスやワームは腕試しやハッキングが主体で技術が必要だったのに対し、スパムはユーザーの財布からお金を出させることが目的である点です。技術的なバックグラウンドが必要ないことがスパムメールの急増を招いているといえるでしょう。

低コストで発信できることがスパムメール増加の原因に

--スパムメールやフィッシングメールというと個人に被害をもたらすものという認識が強いのですが、企業に及ぼす被害はどのようなものでしょうか。

　スパムによって、企業に及ぼされる損失は、大きく分けて2つあります。1つはスパムによって大幅に増加したメールがトラフィックに悪影響を及ぼす点です。

　トラフィック増加の1例を挙げると、2年前は大企業でも1日のメールの流通量は10万件程度でしたが、それがスパムの影響によって、いまや30万件にまで増加しています。このトラフィックの増加をそのまま受け止め、インフラの強化を図るとなると月額で数十〜数百万円規模の投資が必要となるでしょう。さらに、メールを保存するためのアーカイブサーバーを増やしたり、IT管理者を増やしたりといった投資が企業に重くのしかかってくるのです。

　一方でスパムを発信する側からしてみると、100万件のスパムメールを送信できるサーバーの購入価格は、システムを含めてもわずかな金額にしかなりません。また、悪意のあるプログラムであるボットをほかのパソコンに埋め込んでスパムを送信する場合にはサーバーを必要としないので、そのコストはさらに安くなるのです。つまり、お金儲けをたくらむ人間にとってスパムメールは都合のよいシステムであり、スパムメールを受け取る側の企業にとっては多大なコストの対象となる可能性を持っているのです。

　もう一つの被害が、スパムメールを読んで削除する作業で発生する生産性の損失です。調査会社のFerris Researchによると、米国における、生産性の低下その他のコストの合計は年間500億ドルに及ぶと算出しています。米国企業において、スパムメールが消費するコストは、1メールボックスあたり年間170ドルになり、手動でスパムを振り分けることによる生産性の低下は1人当たり年間718ドルにも及ぶと言われています。これが数百人規模の従業員が働く企業であれば、スパムメールのもたらす被害は数億円にも達するのです。

スパムには法律では対処できない問題が多数存在

--スパムメールが急速に増加する状態が続いているわけですが、それを防ぐには法律などでは効果がないのでしょうか。

　米国ではすでに「Controlling the Assault of Non-Solicited Pornography and Marketing Act（CAN-スパム：詐欺的な内容を記述したり、性的な内容のメールを適切な表題をつけずに送信したり、メールヘッダーの改ざんをした場合などに、メール送信した事業者が罰せられるなどの事項が盛り込まれている）」というスパム規制法案ができあがっています。

　しかし、この法案によってスパムを送信する事業者を判断することが難しいという認識が広がってしまい、逆にスパムメールの流通量を増やすという皮肉な結果につながったという結果もあります。また、スパムはインターネットを介して送信されるため、世界的な法律でなければ規制ができないという実態があります。

　例えば、日本に届く日本語のスパムメールには、日本国内だけでなく、中国や韓国から発信されるケースが多々存在します。それも現地に事業者がいるというケースは少なく、ボットの埋め込みによるものが大半を占めます。こうした事実に対応するのも非常に困難を極めることなのです。

後編へ