偽装されたメールが届きました。さてこのメールの素性は…?
偽装されたメールの場合、差出人も宛先も本来のものではないまま届けられるため、相手を突き止めようと思っても一筋縄ではいきません。このような場合でもメールの経路情報を読むことで、ある程度どのようなものかを判断することができます。
メールは通常、届けられた時点で、そのメールがたどったコンピューターを経路情報としてメールヘッダ内に残します。receivedというメールヘッダがそれにあたり、一番下にあるreceivedヘッダの一番左側の部分が、メールの送信者のコンピューター、その右側が送信メールサーバー、次のreceivedヘッダが相手メールサーバー…と、一番下から上に行くほど受信者に近くなっていきます。基本的には、receievedヘッダは、経由したコンピューターが、どこのコンピューターから送られてきたかを追加されていきます。
※通常のメールの場合、1)送信者コンピューター→2)送信メールサーバー→3)相手受信メールサーバー という形が一番最初の経路情報となっていますが、特殊な方法で1)〜2)の部分を出さずにあたかも3)の相手受信メールサーバーが送信者であるかのように装うウィルスメール/迷惑メールも多数存在します。
記載されている経路情報は、そのコンピューターを示す言葉とIPアドレスで構成されています。この言葉部分は簡単に変更が可能でありここも偽装されていることが多いので注意しましょう。IPアドレスのみに注目し、nslookupコマンドなどで、そのIPアドレスのドメイン名を逆引きすれば、そのIPがどこのドメインに属するのかを把握でき、大体の送信元も推測することができます。
|