メールフォームのスパムメール対策

メールフォームを悪用してスパムメールを送信

最近メールフォームを悪用してスパムメールを送信する攻撃が増えており、問い合わせフォームなどの設置に関してレンタルサーバー事業者やメディアなどから注意喚起が行われています。

今、お問い合わせフォーム(メールフォーム)が危ない！ 不正アクセスの増加と対処方法・・・さくらのナレッジ

1日数万通のスパムメール……狙われた「問い合わせフォーム」 「想定外」だったbot攻撃の広がり・・・ITmedia NEWS

どのようなものかと言うと、メールフォームには自動返信機能が搭載されたシステムがあり、通常はメールフォームに記載されたメールアドレス入力欄に入力したメールアドレスに対して、問い合わせ入力内容などを記載したメールを送信します。

ただしこのメールアドレス入力欄に入力したメールアドレスは必ずしも入力した本人のメールアドレスの必要はなく、任意のメールアドレスが入力できます。

つまりスパムメールを送信したい悪意を持った送信者が、送信したいターゲットのメールアドレスを入力し、テキスト入力欄にフィッシング用のURLを記載して問い合わせを行うとメールアドレス入力欄に入力されてしまったメールアドレスの所有者に自動返信メールの形でフィッシングメールが届いてしまいます。

そしてその場合の自動返信メールの送信者メールアドレスはメールフォームを設置しているWEBサイトを運用する企業や個人のメールアドレスとなる（SPFやDKIMといったドメイン認証なども有効となる）為、そのメールフォームの設置者はメールフォームを攻撃者に悪用された被害者であると同時に、フィッシングメールを送信した加害者にもなってしまう事となります。

その為、不要な場合は自動返信機能をオフにするといった対応を行えば、自らが加害者となる事を防ぐ事が可能です。

その場合でも攻撃を受けるとbotによる数万通の問い合わせメールはメールフォーム送信先に指定したメールアドレスには届いてしまう為、フォーム送信を防ぐ対策が必要となります。

メールフォームの悪用に対しての代表的な対策方法は以下の様な設定となります。

1. reCAPTCHAの導入: CAPTCHA（Completely Automated Public Turing test to tell Computers and Humans Apart）は、人間とボットを区別するためのテストです。Googleが提供しているreCAPTCHAをページに導入することで、自動化されたボットによる送信を防ぐことができます。
2. リクエストの制限: 連続送信禁止などの設定を行いbotによる連続送信を防ぐ事で数時間で何万通という大量のメールの送信を行えないようにします。
3. 入力ワードのフィルタリング: qq.comなどスパムメールによく含まれるワードを入力出来ないように設定する事でスパムメールの送信を防ぐことができます
4. IPアドレスのブラックリスト: 攻撃が特定のIPアドレスから発信されている場合、そのIPアドレスをブラックリストに登録してアクセスを制限することができます。

すでに攻撃されてしまった場合もメールフォームを閉鎖して上記の対応の特にIPアドレスのブロックを行う事で、とりあえずの被害の拡大を防ぐ事が可能です。

IPアドレスの確認方法は各レンタルサーバーなどのアクセスログで確認する事が出来ます。

Xサーバーの場合は以下の通りサーバー管理画面の赤枠から

ヘテムルの場合は以下の管理画面メニューの赤枠からそれぞれアクセスログのダウンロードが行えます。

ダウンロードしたファイルをメモ帳などで開くと左側にXXX.XXX.XXX.XXXと記載された数字四組の並びがあり、スパム攻撃を行っているIPアドレスは数千～数万回の単位でアクセスしているアドレスとなります。

そのIPアドレス（または複数のIPアドレス）をhtaccessでアクセス不可の設定を行います。※htaccessの取り扱いには注意が必要です。

Order Allow,Deny
Allow from all
Deny from XXX.XXX.XXX.XXX

また攻撃パターンとして比較的多いと思われる方法としてメールフォームのプログラムを解析され、フォームの設置されたページを経由せず直接POSTリクエストを送信する方法があり、その場合は以下の画像の様に、一秒間で5回以上のPOSTリクエストが行われます。

この攻撃パターンの場合はメールフォームページの入力フォームを消しても効果がない為、プログラムごと削除する、もしくはプログラムのCGIなどのディレクトリを変更するといった対応も有効な場合があります。

攻撃を放置したり対策を怠ると、最悪の場合サーバー契約を解除されてしまう可能性もある為、今後のメールフォームの設置や運用にはこれまで以上に注意が必要な時代となってきています。

千葉県の中小企業様を中心として、数多くのホームページ制作を行っています。

WEB制作会社はたくさんあるけれど、いまいちどこを選べば良いのかわからない。

そういったお客様の声をよく耳にします。

そんな時は、山本印刷に是非お任せ下さい！

印刷会社として創業より培ったデザイン力、マーケティング力に加え、名刺、ポスター、看板、カレンダーなど企業PRに必要な全てを山本印刷で承る事が可能です。

事前に細かなヒアリング・調査を行い、お客様のご要望をお伺いしたうえで、WEBサイトのターゲットや目的を明確にします。

そして、豊富なプランの中からお客様に合ったプランを選択し、明確・安心な料金設定で、効果的なWEBサイトをお客様にご提案します。

WEB制作専門スタッフがデザインから納品まで一貫して作成致しますので、格安でもクオリティの高いWEBサイトをご提供致します。

詳しくはhttps://www.yp-net.co.jp/web/をご覧ください。