スパマーはどうやってあなたのメールアドレスを突き止めるのか？知っておくべき5つの手法

スパムは、インターネット上における「疫病」とも呼べる存在です。誰であっても、いつか必ずスパムの標的となり、その厄介な被害に悩まされることになります。人々は何十年もの間スパムとの戦いを続けてきましたが、それでも今なお勢力は衰えていません。では、そもそもスパマーはどのようにしてあなたを見つけ出すのでしょうか？

スパムの主な配信手段はメールです。論理的に考えれば、「スパマーにメールアドレスさえ知られなければ被害には遭わない」と思うかもしれません。しかし、現実はそう単純ではありません。スパマーたちは長年の試行錯誤の中で手法を洗練させており、実にさまざまな方法でメールアドレスを手に入れられるのです。

知識は力です。スパマーが使うテクニックを理解していれば、少なくとも彼らの妨げになることはできます。500人のスパマーにアドレスを知られる代わりに、5人だけしか知らない状態を作れるかもしれません。それだけでも意味のあることです。

手法1：メーリングリストからの収集

スパマーが古くから使ってきたメールアドレスの収集方法の一つが、メーリングリストの悪用です。メーリングリストとは、本来有効なメールアドレスの集合体のようなものなので、狙われる理由は納得できますよね。しかし、その具体的な手口には驚かされるかもしれません。

メーリングリストサービスは、登録者のメールアドレスが外部に漏れないよう一定のプロトコルで保護しています。アドレス保護が甘いサービスだと評判になれば、利用者は離れていってしまうからです。それでもスパマーは、リストに登録されている全員のアドレス一覧の提供を求めることがあります。サービス側は通常こうした要求を拒否しますが、通ってしまうケースもゼロではないのです。

さらに巧妙なことに、スパマーは個々のメールアドレスではなく、メーリングリスト自体の一覧を要求することもあります。そして各メーリングリスト宛てにスパムメールを送れば、そのリストに隠れている全アドレスへと自動的に配信されるというわけです。

手法2：偽の「配信停止」リンク

メーリングリストに関連してもう一つ、厄介な手口があります。ニュースレターやメーリングリストに登録したことがあるなら、メール本文の末尾に「配信停止（unsubscribe）」リンクが付いているのはご存じでしょう。

正当な企業であれば、このリンクは本来の機能を果たします。自分で意図して登録したニュースレターなら、後から解除しても何の問題もありません。

ところが、ニュースレターを装ったスパムメールの中には、あえて配信停止リンクを表示しているものがあります。この場合、そのリンクは欺瞞的なものである可能性が高いのです。

スパマーはランダムに生成したメールアドレス宛てに、こうしたメールを大量送信します。ここで配信停止リンクをクリックしてしまうと、逆に「このメールアドレスは実在する」ことを確認させる結果になりかねません。つまり、今後スパムの集中的な標的としてマークされてしまうのです。

手法3：総当たり（ブルートフォース）生成

次に紹介するのが総当たり方式です。いわば「散弾銃」のように広範囲に打ちまくるアプローチですね。

すべてのメールアドレスは「[名前]@[ドメイン].com / net / org など」という決まった構造を持っています。ドメイン部分は、有名なメールサービスを調べれば簡単に特定できます。

つまり重要なのは[名前]の部分だけです。スパマーはランダムな英数字の組み合わせを大量に生成し、「[ランダムな名前]@[人気ドメイン].com」宛てにメールを送り付けます。例えば次のような具合です。

• johnsmith1@gmail.com
• johnsmith2@gmail.com
• johnsmith3@gmail.com

仮にあなたのアドレスがjohnsmith700@gmail.comだったとしても、膨大な組み合わせを生成し続ければ、いずれ実際のアドレスに命中し、スパムが届くことになります。

一度のスパムキャンペーンで、スパマーは数百万件規模のランダムなアドレスを生成できます。そのうちほんの1%が実在するアドレスだったとしても、それだけで大量の人々がスパムに悩まされる計算になります。

手法4：ウェブクローラーボット

もう一つの一般的な手口は、クローラーと呼ばれるボットを使い、ウェブページ上に公開されているメールアドレスを収集することです。少し不気味に聞こえるかもしれませんが、仕組みを説明しましょう。

私たちがあるウェブページにアクセスすると、そのページの内容はインターネット経由で送られ、ブラウザがそれを画面に表示します。しかしスパマーは、ブラウザを使わずにウェブサーバーから直接ページデータを要求するプログラムを作っています。

データを受け取ると、プログラムは内容を高速に走査し、ページ上にメールアドレスがないかを判定します。見つかればデータベースに保存します。これらのプログラムはデータの「要求」だけを行うため表示処理が不要で、膨大な数のページを短時間で巡回できるのです。

では、どんなページが狙われやすいのでしょうか？　人気ターゲットの一つがフォーラム（掲示板）です。フォーラムのユーザープロフィールには、メールアドレスが平文で表示されていることがよくあります。ボットは会員リスト全体を巡回し、大量のアドレスを吸い上げます。

もう一つの有力なターゲットがSNSです。Facebookなどで友人のプロフィールを見ると、メールアドレスが公開されていることがありますよね。あなたに見える情報は、ボットにも見える可能性が高いのです。ボットが見つければ、そのアドレスはスパム用のリストに保存されます。

手法5：メールアドレスデータベースの入手

最後に紹介するのは、シンプルながら深刻な手口です。スパマーはお金を払うだけで、有効なメールアドレスの巨大なリストを手に入れられることがあります。そう、一部の企業は顧客のメールアドレスデータベースを金銭と引き換えに売っているのです。

ウェブサイトへの登録やニュースレターへの申し込みをするたびに、あなたのメールアドレスはサーバー側のデータベースに保存されます。オンラインゲーム、フォーラムアカウント、SNS、ニュースサイト、ブログなど、対象は多岐にわたります。オンラインフォームにメールアドレスを入力した瞬間、常にリスクは存在するのです。

「プライバシーポリシーはどうなっているのか？」と思うかもしれません。しかし、すべての企業が誠実であるとは限りません。中には大量のアドレスを集めた末に、自社のポリシーを無視して売却する企業もあります。ただし、多くの場合、アドレスの漏洩は高位のアクセス権を持つ一人の不正従業員によって引き起こされています。

さらに稀なケースですが、スパマーが企業のデータベースにハッキングし、企業に気づかれないままアドレスを盗み出すこともあります。

まとめ：自分の情報は自分で守る

スパマーがメールアドレスを入手するさまざまな方法を理解した今、大切なのは自分の情報をより慎重に守ることです。クレジットカード番号、マイナンバーなどの個人番号、住所、電話番号と同じように、メールアドレスも個人情報の一つです。安易にインターネット上へ公開・入力しないよう、日頃から注意を怠らないようにしましょう。