【要約】独自ドメインに届いた迷惑メールを、メールヘッダーから調べてみた [Qiita_Trend] | Summary by TechDistill
> Source: Qiita_Trend
Execute Primary Source
// Problem
独自ドメインの代表アドレス（info@）を運用するユーザーが、同意していない不審な営業メールの継続的な受信に直面した。単なる迷惑メールではなく、技術的な検証が必要な以下の課題が生じている。
- ・表示上の送信元（From）と実際の送信サーバーや返信先が異なる。
- ・SPF、DKIM、DMARCの認証がすべて「pass」であり、一見安全なメールに見える。
- ・配信解除URLに受信者を識別する固定値が含まれており、不用意な操作がリスクとなる。
// Approach
著者は、メールの「メッセージの原文」からヘッダー情報を抽出し、複数のメール間で共通項を比較する手法を採用した。単なる感情的な判断を避け、以下のステップで調査を進めている。
- ・Gmailの「メッセージの原文を表示」機能を用い、Return-PathやReceived等のヘッダーを取得。
- ・複数通のメールを比較し、送信IP、ホスト名、DKIM署名、受信者識別値の一致を確認。
- ・認証結果（SPF/DKIM/DMARC）が「何を確認し、何を保証しないか」を論理的に整理。
- ・証拠として.eml形式で原文を保存し、VPS事業者や相談窓口へ技術情報を添えて通報。
// Result
メールの認証結果が「pass」であっても、それは配信の同意や内容の正当性を保証しないことを実証した。調査の結果、以下の事実が明らかになった。
- ・内容が異なる複数のメールが、同一の配信基盤から機械的に送られていることを特定。
- ・受信者ごとに固定の識別値が割り当てられている配信構造を推定。
- ・技術的な真正性と、配信の適切性（同意の有無）を分けて判断する重要性を明確化した。
Senior Engineer Insight
> メール認証の「pass」を「安全」と誤認するのは、セキュリティ運用における致命的なミスである。SPF/DKIM/DMARCはあくまで「技術的な整合性」の証明に過ぎない。現場では、認証結果に加え、配信経路のパターンや受信者識別子の挙動を監視し、配信の「適切性」を評価する多層的な視点が不可欠である。また、証拠保全において.eml形式を用いる判断は、インシデント対応の基本として極めて正しい。