メールヘッダーから送信元IPアドレスを追跡する方法

メールの通知音が鳴ったら、まず最初に確認するのは差出人ですよね。誰から届いたメールなのか、そしておそらくどのような内容なのかを、最も手っ取り早く判断できる方法だからです。

しかし、実はメールには、普段使っているメールクライアントに表示される情報以上のデータが含まれていることをご存じでしょうか。メールヘッダーには差出人に関するさまざまな情報が記録されており、これを活用すれば、メールの発信源までたどることができます。

この記事では、メールの送信元を追跡する具体的な方法と、その必要性について詳しく解説します。

なぜメールの送信元を追跡するのか?

追跡方法を学ぶ前に、そもそもなぜメールの送信元を調べる必要があるのかを考えてみましょう。

現代では、悪意のあるメールが後を絶ちません。詐欺、スパム、マルウェア、フィッシングメールなどは、受信トレイで日常的に目にする光景となっています。メールの送信元を突き止めることができれば、そのメールが誰から(あるいはどこから)送られてきたのかを知る手がかりが得られるかもしれません。

また、しつこくスパムや迷惑コンテンツを送りつけてくる送信元を特定し、受信トレイから完全に排除するために追に排除するために追跡することもあります。サーバー管理者も同じ目的でメールの追跡を行っています。

(逆に、自分自身のメール上の身元を隠したい場合は、完全に匿名でメールを送信する方法を学んでおくのもよいでしょう。)

メールの送信元を追跡する基本の手順

メールの送信者を特定するには、完全なメールヘッダーを確認します。メールヘッダーには、ルーティング情報やメールのメタデータといった、通常は意識しない情報が含まれています。しかし、この情報こそが、メールの発信源を追跡するための重要な鍵となるのです。

多くのメールクライアントでは、技術的なデータだらけで素人が見ても役に立たないため、完全なメールヘッダーは標準では表示されません。ただし、ほとんどのメールクライアントには完全なヘッダーを表示する機能が備わっています。どこを見ればよいのか、何を見ているのかを知っていれば大丈夫です。

• Gmailの場合:Gmailアカウントにログインし、追跡したいメールを開きます。画面右上のドロップダウンメニュー(⋮)を選択し、「オリジナルを表示」をクリックします。
• Outlookの場合:追跡したいメールをダブルクリックして開き、「ファイル > プロパティ」に進みます。情報は「インターネットヘッダー」欄に表示されます。
• Apple Mailの場合:追跡したいメールを開き、「表示 > メッセージ > 生のソース」に進みます。

もちろん、メールクライアントは無数に存在します。お使いのクライアントで完全なメールヘッダーを表示する方法は、簡単なインターネット検索で見つかります。実際に完全なメールヘッダーを開いてみれば、「技術的なデータだらけ」という表現の意味が実感できるはずです。

完全なメールヘッダーのデータを読み解く

一見すると膨大な情報量に思えますが、次のポイントを押さえてください。メールヘッダーは時系列順に、下から上へ読みます(つまり、最も古い情報が一番下にあります)。また、メールが経由するサーバーが増えるごとに、ヘッダーに「Received」行が追加されていきます。

以下は、Gmailアカウントから取得したサンプルのメールヘッダーです。

Gmailメールヘッダーの各行の意味

情報量が多く感じられますが、1行ずつ分解してみましょう。まず、それぞれの行が何を意味しているのかを理解します(下から上へ読む点に注意してください)。

• Reply-To:返信先として指定されたメールアドレス。
• From:メールの差出人として表示されるアドレス。偽装が非常に容易である点に注意。
• Content-type:ブラウザやメールクライアントがメールの内容をどう解釈すべきかを示す。最も一般的な文字コードセットはUTF-8(例でも使用)とISO-8859-1。
• MIME-Version:使用されているメール形式の標準を宣言する。通常は「1.0」。
• Subject:メールの件名。
• To:メールの宛先。他のアドレスが表示される場合もある。
• DKIM-Signature:DomainKeys Identified Mail(DKIM)は、メールの送信元ドメインを認証し、なりすましや送信者詐欺から保護するはずの仕組み。
• Received:メールが受信トレイに届くまでに経由した各サーバーを記録。「Received」行は下から上へ読み、最下部の行が発信元を示す。
• Authentication-Results:実施された認証チェックの記録。複数の認証方式が含まれることもある。
• Received-SPF:Sender Policy Framework(SPF)は、送信者アドレスの偽造を防ぐメール認証プロセスの一部。
• Return-Path:送信できなかったメールやバウンス(エラー返送)メッセージの宛先。
• ARC-Authentication-Results:Authenticated Receive Chain(ARC)はもう一つの認証規格。メールを最終目的地へ転送する中継者やサーバーの身元を検証する。
• ARC-Message-Signature:検証用にメッセージヘッダー情報のスナップショットを取得する署名。DKIMと類似。
• ARC-Seal:ARC認証結果とメッセージ署名を「封印」し、その内容を検証する。DKIMと類似。
• X-Received:「Received」と似ているが非標準とされる項目。メール転送エージェント(MTA)やGmailのSMTPサーバーなど、恒久的なアドレスではない可能性がある。
• X-Google-Smtp-Source:GmailのSMTPサーバーを使ってメールが転送されたことを示す。
• Delivered-To:このヘッダーにおけるメールの最終受信者。

すべての項目の意味を完璧に理解していなくても、メールの追跡は可能です。ただし、メールヘッダーの読み方を一度覚えてしまえば、送信者の追跡をすぐに始められるようになります。

メールの本来の送信者を追跡する

元の送信者のIPアドレスを追跡するには、完全なメールヘッダー内の最初の「Received」行を探します。最初のReceived行の横には、メールを送信したサーバーのIPアドレスが記載されています。場合によっては、「X-Originating-IP」や「Original-IP」として表示されることもあります。

IPアドレスが見つかったら、MX Toolboxにアクセスしましょう。検索ボックスにIPアドレスを入力し、ドロップダウンメニューで検索タイプを「Reverse Lookup」に変更してEnterキーを押します。検索結果には、送信サーバーに関するさまざまな情報が表示されます。

ただし、発信元のIPアドレスが数百万あるプライベートIPアドレスの一つである場合は、話が別です。その場合、次のようなメッセージが表示されます。

プライベートIPアドレスとして予約されている主な範囲は以下の通りです。

• 10.0.0.0〜10.255.255.255
• 172.16.0.0〜172.31.255.255
• 192.168.0.0〜192.168.255.255

これらの範囲に属するIPアドレスのルックアップでは、結果が返されないので注意してください。

メールとIPアドレスを追跡できる無料ツール3選

もちろん、この一連のプロセスを自動化してくれる便利なツールも存在します。完全なメールヘッダーとその内容について学んでおくことは有用ですが、時に手っ取り早く情報が必要になることもありますよね。

以下のヘッダーアナライザーを試してみてください。

• GSuite Toolbox Messageheader
• MX Toolbox Email Header Analyzer
• IP-Address Email Header Trace(ヘッダーアナライザー+IPアドレストレーサー)

ただし、ツールによる解析結果が必ずしも一致するとは限りません。以下の例では、差出人は表示された場所(ウィチタ近郊の貯水池の真ん中と表示されています)からは程遠いところにいることが分かっています。

つまり、メールの追跡成功率は、差出人が利用しているメールプロバイダーによって大きく異なります。たとえば、Gmailアカウントから送られたメールを追跡しようとしても、分かるのはメールを処理した最後のGoogleサーバーの場所だけで、元の送信者本人のIPアドレスは分かりません。

本当にメールからIPアドレスを追跡できるのか?

メールヘッダーからIPアドレスを追跡することが有効なケースは確かに存在します。特に厄介なスパマーや、頻繁に届くフィッシングメールの発信源などを特定したい場合がその典型例です。

また、特定のメールは特定の場所からしか送られてこないということもあります。たとえば、PayPalからのメールが中国から送信されることはありません。こうした特徴を組み合わせれば、不審なメールの見極めに役立ちます。とはいえ、メールの発信元追跡は正確な科学とは言えません。少なくとも、誰でも入手できるツールを使う限りは。