迷惑メールの進化

最初のスパムメールは1978年にGary Thuerkによって約400人に送信されました。そのメールにはDECSYSTEM-20コンピューターのパンフレットが含まれていました。結果は驚異的な成功で、約1300万ドルの売上を生み出しました。また、顧客にリーチして製品を販売するための新しいチャネルとして、メールの可能性を切り開きました。

メールスパムの見方には2つあります。

1. 受信トレイに届いて、削除をクリックするだけ。それの何がそんなに大ごとなのでしょうか？

2. それは国際的ないたちごっこです。あなたの受信トレイと、そこに届くものが最前線となり、大手テック企業、政府機関、犯罪組織が、あなたの安全、注意、そして銀行口座をめぐって争っています。

2つ目の見方は大げさに聞こえるかもしれませんが、いくつかの頭痛の種や、もしかするとお金まで節約できるなら、理解しておく価値はありますよね？

さて……すべては缶詰の肉に関するジョークから始まります。

スパムメールとは何で、なぜspamと呼ばれるのでしょうか？

スパムにはさまざまなものがあります。広告、詐欺、迷惑なニュースレターなど、挙げればきりがありません。しかし、スパムに当てはまらないことが1つあります。それは招かれていないということです。夏の気配がした途端に押し寄せる蚊の群れのように、スパムはほとんどの場合まとめてやって来ます。求めてもいない、望んでもいない、そして本当にかなり迷惑なものです。

しかし、なぜそれが豚肩肉とハムから作られた缶詰肉と同じ名前を共有しているのでしょうか？ それについては、有名なMonty Pythonのスケッチに感謝できます。そこでは「spam」という言葉が、ほとんど狂気に至るほど何度も何度も繰り返されました。これによって「spam」は、しつこく望まれないものの象徴として定着しました。1993年、ある機転の利くインターネットユーザーがこの発想を取り入れ、繰り返し投稿があふれる状態をspamと表現しました。そして、voilà、その名前が定着したのです。

しかし、その風変わりな由来にもかかわらず、その言葉自体では、スパムがどれほど有害になり得るか、あるいはどれほど排除しにくいかを十分に表していません。蚊のように、スパムメールはしばしば危険なものを運び、あなたのデバイスに大混乱をもたらすことがあります。怪しい広告で受信トレイがあふれることによる、個人データへのリスクや頭痛の種は言うまでもありません。しかし、歴史を理解することは役立ちます。スパムがどのようにして受信トレイに入り込むのかを理解できれば、それを締め出すのもより上手くなるでしょう。

最初のスパムメールはいつ送られたのでしょうか？

では、スパムメールはどこから来るのでしょうか？ 驚くかもしれませんが、最初のスパムメールはインターネットが存在する前に送られました。送り主は怪しげな犯罪組織ではなく、新しいコンピューター製品群を売ろうとした1人のマーケターでした。そして信じがたいことに、それは何百万ドルも稼いだのです。

1978年、マーケティングマネージャーのGary Thuerkは、インターネット以前に存在した軍事ネットワークARPANETを通じて、約400人にメールを送りました。その内容は新しいDECSYSTEM-20コンピューターのプレゼンテーションへの売り込みでした。このメールは約1300万ドルの売上をもたらしましたが、受信したほぼ全員を苛立たせもしました。

このスパムの歴史にまつわる話で最も興味深いのは、メールがいつ送られたかではなく、メールスパムの背後にある諸刃の剣です。一方では、何百人、何千人、あるいは何百万人に送られる広告から目を疑うほどの大金を稼げます。しかし、スパムが非常に迷惑なのは明らかです。残念ながら、このせめぎ合いの関係こそが、その波乱に満ちた歴史を通じてスパムにつきまとうことになります。

スパムは数十年の間にどのように進化してきたのでしょうか？

GoogleやMicrosoftの保護機能がある時代に育った幸運な人なら、インターネット初期の、受信トレイからスパムを追い出すのがもっと手作業だった時代を覚えていないかもしれません。

メールスパム進化のタイムライン

1980年代～1990年代：メールの無法地帯

1983年、George Orwellが全体主義的超国家を予言した年の1年前、まったく別の何かが形になりつつありました。初めて、複数の独立したネットワーク同士を接続することが可能になり、今日のグローバルなネットワークのネットワーク、つまり私たちがインターネットと呼ぶものの基盤が築かれたのです。

その後の10年間で、何百万人もの新規ユーザーがオンラインになり、メールアドレスを設定し始めました。「そんなことはしてはいけない」と言う中央権威は存在せず、メールは基本的に無料の広告チャネルとして機能していました。ほとんどコストをかけずに、1通のメッセージを何千人、さらには何百万人にも一斉送信できたのです。

結果はどうだったのでしょうか？ 1990年代にスパムは爆発的に増え、それを制御しようとする取り組みも同様に増えました。1994年には、弁護士のCanter & Siegelが悪名高い「Green Card Lottery」広告を何千ものUsenetグループに投稿し、しばしば最初の大規模な商業スパムキャンペーンと見なされています。防御策もすぐに続きました。Mail Abuse Prevention System（MAPS）は1996年に最初のReal-time Blackhole Listを展開し、既知のスパムサーバーからのメールをブロックしました。また、Spamhausのような団体はブロックリストを構築し、情報を共有してスパマーを締め出しました。

2000年代：スパムが闇に潜った10年

2000年代はミレニアムの終わりを示したかもしれませんが、多くの人にとっては、迷惑メールが受信トレイにあふれ始めた本当の始まりでした。Google、Yahoo、Microsoftはいずれもスパム対策の流れに乗りました。しかし、もはや安っぽい広告や一攫千金の話ではなく、スパムはより暗いものへと変わっていきました。スパマーは「ボットネット」、つまり感染したコンピューターのネットワークを使って、大規模にスパムを送信し始めていたのです。

政府は介入すべき時だと判断しました。2003年、米国はCAN-SPAM法（Controlling the Assault of Non-Solicited Pornography and Marketing）を導入しました。これにより、スパマーは配信停止要求に応じ、誤解を招く件名を避けることが義務づけられましたが、問題は、配信停止の責任が依然として受信者側にあったことです。一方、ヨーロッパはより厳格でした。EUはメールマーケティングにオプトイン方式を導入し、企業は事前に許可を得なければ商業メールを送れなくなりました。

2000年代は、スパムを特徴づけることになる本格的ないたちごっこの爆発的拡大を示しました。スパマーは新しい手口を考案し、防御側はそれに対抗する方法を見つけていきました。たとえばベイズフィルタリングは、メール内の単語をスキャンし、確率を計算して、それが迷惑メールか正当なメールかを判断します。登場当初、これはメールプロバイダーがスパムを取り締まる方法における画期的な進歩でした。2004年には、Bill Gatesがスパム問題は2年以内に解決されると予測したほどです。しかし、いつものように、スパマーはすぐに適応しました。

スパムをめぐる攻防の実例：

現代：スパムが考えることを覚えた時代

Stephen Hawkingはかつて、いつの日か人間はAIにとって、人間にとっての犬のような存在になるかもしれないと警告しました。考えさせられる話です。そして、それが暗い話に聞こえるとしても、AIの台頭が蒸気機関の発明に匹敵するほど変革的であり得ると言っても誇張ではありません。ですから、AIがスパムで利益を得ようとする側と、それを抑えようとする側の戦いを形作っているのも不思議ではありません。違いは、従来のスパムフィルターと異なり、AIは学習し適応できることです。

ここで皮肉なのは、詐欺師たちが、自分たちのスパムメールを改善するために、大学生が試験を切り抜けるのに使うのと同じツールを使っていることです。AIツール以前、スパムメールにはタイプミス、文法ミス、そして明らかな危険信号があふれていました。今では、大規模言語モデルのおかげで、完璧な文法、ローカライズされた口調、個別化されたフックを備えたスパムメールを大量送信できます。10’000通の同一メールを送る代わりに、詐欺師は10’000通の少しずつ異なるメールを送り、検閲を回避できます。スパムスコアリングを模擬するモデルにテキストを通すことで、攻撃者はメッセージが「安全」に見えるまで調整できるのです。

メール大手も同じことをしています。彼らはAIと機械学習を使って、単に内容をスキャンするだけでなく、送信者の行動、ネットワーク信号、さらにはメッセージの文脈まで分析しています。たとえばGmailは、新しいドメインからの突然の大量メールや、既知のフィッシングの誘い文句を模倣した内容といった不審なパターンを検出し、新たなスパムキャンペーンを遮断するためにリアルタイムで適応できるようになっています。

スパムはメールや企業にどのような影響を与えてきたのでしょうか？

スパムメールの起源の話、そしてそのMonty Python由来の名前に立ち返ると、テーマは単純でした。迷惑、ということです。当時、ほとんどのスパムはまさにそのように見られていました。しかし、その後の数十年で、はるかに危険なものになりました。間違ったリンクをクリックすると、今ではウイルス感染や深刻な金銭的損失につながりかねません。

そして、危険にさらされているのは個人だけではありません。2000年代以降、詐欺師たちはより大きな標的を狙うための巧妙な手口を考え出してきました。こうした手口の多くには、その結果がどれほど深刻かを軽く見せてしまうような、覚えやすいあだ名まで付いています。

企業を標的にしたスパムの例：

大量スパムと詐欺 – 迷惑な広告から偽の宝くじ、「ナイジェリアの王子」詐欺まで、大量メールは今も毎日受信トレイにあふれています。レベルは低くても受信トレイを散らかし、従業員をだます可能性は依然としてあります。

フィッシングメール – 信頼されているブランドになりすまし、ユーザーを偽サイトへ誘導します。かつては稚拙だったこれらのフィッシングメールも、今では洗練され、自動化され、本物と見分けがつきにくくなっています。

スピアフィッシングとホエーリング – 実名や実際のプロジェクト名を使って特定の従業員をだます標的型攻撃です。経営幹部を狙う場合は「ホエーリング」と呼ばれ、得られる見返りは莫大になり得ます。Business Email Compromise (BEC) – 犯罪者がCEO、取引先、または人事担当者になりすまし、従業員をだまして送金させたりデータを送らせたりします。

マルウェアとランサムウェア – スパムには悪意のある添付ファイルやリンクが含まれていることがよくあります。たった1回のクリックでウイルスやランサムウェアが解き放たれ、システム全体がロックされ、企業に何百万ドルもの損害を与えることがあります。

しかし本当の危険は、その結果の規模にあります。スパムは膨大なレベルで時間を浪費させます。従業員がメールを疑って確認したり、管理職が誤警報を調査したりします。そのすべてが生産性を少しずつ削っていくのです。

スパムの本当のコスト

FBIの推計では、Business Email Compromiseだけでも2013年から2022年の間に500億ドル超の損失を出しています。だからこそ、スパムとの戦いは進化し続けています。現在のフィルターはキーワードだけでなく、パターン、添付ファイル、さらには送信者の行動までスキャンします。CAN-SPAMやGDPRのような法律は、同意と透明性に関するルールを定めています。そしてメールプロバイダーはSPF、DKIM、DMARCのような保護機能を追加し、攻撃者が他人になりすますことをはるかに難しくしています。

私たちは今日、どのようにスパムと戦っているのでしょうか？

現代のスパムフィルターはAIと機械学習によって支えられています。送信者の行動やメッセージの文脈を分析し、その後リアルタイムで適応できます。

しかし、意識向上は依然として重要です。最高のスパムフィルターがあっても、従業員教育はスパムを止めるための重要な要素になる必要があります。

スパムメールから身を守る方法

最近では、企業は定期的に意識向上プログラムを実施し、人々に立ち止まって危険信号を見抜くことや、行動する前に依頼内容を確認することを教えています。これには次のようなものがあります。

クリックする前に考える

昔からの確かな助言は今でも有効です。予期していないメールを受け取り、送信者に心当たりがないなら、むやみにリンクをクリックしないでください。デスクトップではリンクにカーソルを合わせる、モバイルでは長押しすることで、実際のリンク先を先に確認できます。表示されているリンク先と実際のアドレスが異なるなら、それは危険信号です。

メール内のリンクをクリックすると決めたとしても、URLの横にある南京錠マークにだまされないでください。これはそのサイトが安全だという意味ではありません。南京錠は、誰かが接続を暗号化していることを示すだけです。残念ながら、フィッシングサイトでも正規サイトと同じくらい簡単にSSL証明書を取得できます。

送信者を確認する 

メールに表示される表示名は、必ずしも送信者の本当の身元ではありません。なぜなら、誰でもそれをまったく別のものに変更できるからです。本当の身元を確認するには、そのメールが実際にどのメールアドレスから送られてきたのかを確認する必要があります。

これは、安価な使い捨てのフリーメールから送られてきた場合のように、明らかなこともあります。しかし、常にそれほど簡単とは限りません。攻撃者は@p4ypal.comのように数文字を変えてメールを偽装することがよくあります。そのメールが本物かどうか確信が持てない場合は、公式の連絡手段を通じて確認するのが最善です。

SPF、DKIM、DMARCに対応したプロバイダーを選ぶ

スパム対策において、SPF、DKIM、DMARCはメール認証のゴールドスタンダードです。あなたのドメインから送信されたメールが本当にあなたからのものなのか、それともなりすましなのかを見分ける最良の方法です。SPFは、そのメールがあなたに代わって送信することを許可されたサーバーから来たかを確認します。DKIMは改ざん防止の署名を追加し、途中でメッセージがひそかに変更されないようにします。DMARCはこの2つを結びつけ、メッセージがチェックに失敗したときに受信サーバーがどう対処すべきかを指示します。

幸い、これらを手作業で設定する必要はありません。優れたメールプロバイダーなら、それを代わりに行ってくれるはずです。ですから、メールのホスティング先を選ぶときは、SPF、DKIM、DMARCを標準でサポートしているところを探しましょう。

2FAを使う

2FAは、あなたのアカウントに第2のセキュリティ層を追加します。これは二要素認証のことで、基本的には1つではなく2つの要素で本人確認を行うことを意味します。1つ目はパスワード、2つ目はスマートフォン、認証アプリ、指紋、またはセキュリティキーなどです。

つまり、たとえパスワードが盗まれても、攻撃者は2つ目の認証手段を持っていなければあなたのアカウントにアクセスできません。2FAは、ないよりある方が必ず良いものです。これを提供しているメールプロバイダーを探し、まずはメールから、可能な限りあらゆる場所で有効にしましょう。

添付ファイルに注意する

人間は好奇心を持つものであり、攻撃者はそこにつけ込みます。自分を守る最善の方法は、予期していなかったメール添付ファイルを開かないことです。たとえ知っている相手からのものであっても同じです。なぜなら、アカウントはしばしば乗っ取られ、送信者も偽装されるからです。

PDF、WordやExcelの文書、ZIPやRARアーカイブ、HTMLファイル、ISOディスクイメージ、そして特に.exeファイルは、常に特に注意して扱ってください。迷ったときは、何かを開く前に別の手段で送信者に確認しましょう。

チームへの教育を継続する

最終的に、攻撃に対する最後の防衛線は人間です。フィルター、認証、添付ファイルのスキャンで多くは防げますが、それをすり抜けたメッセージは人をだますように作られています。

ここでトレーニングが大きな違いを生みます。重要なのは、企業は昨日の攻撃ではなく、今日の攻撃に備えた訓練をすべきだということです。つまり、タイプミスのないAI作成の誘導文、ディープフェイクの音声や動画、そしてメールだけでなくSMS、QRコード、MFAプロンプトを使った詐欺にも対応するということです。