知っておきたいセキュリティの基本1

1.インターネットメールの
基本的な仕組みを理解する

メール送信者は誰だか不明
受信者は特定される

インターネットメールの基本的なしくみとして、送信者名は好き勝手に設定できてしまう。送信者アドレスも基本的には好きなものを自由に設定できる。近年は後付けでSPFやDKIMなど送信者の詐称を防ぐ技術が登場しているが、完全ではない。

それとは逆に、受信者については、そのメールアドレスの所有者にほぼ確実に届く。途中で傍受されるといったリスクも起こりえるが、原則として目的の人に届く。この受信者が特定されるという性質を利用しているのが、ネットバンキングなどでよく使われるメールを使ったワンタイムパスワードの発行である。

つまり、翻訳会社の担当者が、会社ドメインのメールアドレスを使用していて、そのメールアドレスにメールを送ると、その担当者が受信している場合は、その担当者がその会社の所属であるという証明になる。

フリーメールを会社組織を名乗る
人が使用している場合は要注意

また、企業の担当者がフリーメールを使っている場合は、要注意。そのフリーメールを使っている人物がどこの誰なのかわからないのでリスクはある。

2.メールヘッダーを読み解く

メールヘッダーの見方は、メールアプリによって異なる。筆者が使用しているThunderbirdでは［メッセージソース］を選択すると表示できる。
＊その他の例：Outlookでは受信メールをダブルクリックし、上部左上「ファイル」から「プロパティ」を選び、「インターネットヘッダー（Ｈ）」を確認。Gmailでは差出人や宛名の右にある縦３つのドットから「メッセージのソースを表示」を選ぶ。
※Windows10標準のメールアプリにはメールヘッダーを確認できる機能がない。

●送信メールの認証情報を確認する
最初にすべきは、そのメールが正しい送信者から送られているか、内容が信頼できるかのチェックをすること。
Authentication-Results: の行を見る。

spf=pass →メールの送信元IPアドレスが正しいメールサーバーのものであることを確認。
dkim=pass →メールに電子署名を付加し、正しい送信者からのものであること、内容が改ざんされていないことを証明。
dmarc=pass →上の2つの認証情報を基に、さらに高精度なメール認証が実施されたことを示す。

※ただし、Emotetのように認証の信頼性を逆手にとり、正しい認証を使って受信者を欺く、超悪質メールもあるので注意。翻訳業界でもEmotet被害が続出している。

認証情報が不完全な場合や無い場合は、以下の手段で判断する。

（下線部は表記の一例。以下同）
送信者名と送信メールアドレスが記載されている。前述のように、送信者名と送信メールアドレスは、詐称できるので当てにならない情報である。
 

送信したメールが何らかのエラーに遭遇した場合に、エラーメッセージが返っていく宛先。このReturn-Pathの偽装は難しいので、ドメインから本当の送信者がわかることが多い。ただし、まれにReturn-Pathが偽装されることもあるので、100％ではない。
 

この例では、nifty.comのメールサーバーを経由して送信されている。発信者が使用したメールサーバーの情報や発信元のコンピュータ情報が記載されている。送信者メールアドレスのドメインと、メールサーバーのドメインが一致しないこと自体は問題ではない。メールサーバーのドメインやIPアドレスが信頼できるかどうかの判断に役立つ。

3．添付ファイルを
安全に開く方法を用意しておく

正体不明の添付ファイル付きメールが届き、怪しいとわかっていても、開いて確認せざるを得ない場合がある。そんな場合に備えて、添付ファイルを安全に開く手段を準備しておこう。

Gmailに転送して開く

Gmailはフリーメールでありながら、高性能なスパムフィルター、暗号化対応など高いセキュリティを実現している。仕事用の有料メールアドレスからGmailアドレスに転送するように設定しておけば、リスクの高い添付ファイルを、グーグルドライブに上げて、安全に開いてみることができる。

Googleドライブでは、PDF、Word、Excelなど主要なビジネス系ファイルの閲覧がWeb上で可能。ただし、何も異常がないから安全だということにはならないので注意が必要だ。

普段から使用するメールアドレスをGmailにしてしまうという方法もあるだろう。ただし、ビジネスでフリーメールを使うことに眉をひそめる会社もあるのが現実である。仕事のメールアドレスをGmailだけに１本化するのは、営業戦略として賢明ではないかもしれない。
　
Googleのサービスを使わなくても、スマートフォンにメールアドレスがある場合は、転送して、スマートフォンで添付ファイルを確認するという方法もある。必ずしもスマートフォンだから安全だというわけではないが、リスクのあるメールを仕事用のパソコンで開かないことを最優先で対策を考えてみよう。

サンドボックスを利用する

Windows 10/11 Pro/Enterprise のユーザーであれば、Windowsサンドボックス機能を利用することもできる。サンドボックスとは、OS本体から隔離された仮想環境のことで危険を伴う作業を安全に行えるしくみ。秀丸メールなど一部のメーラーには、疑わしい添付ファイルをWindowsサンドボックスで開く機能がある。