オープンリレー

オープンリレーとは何ですか？

オープンリレーとは、送信者と受信者のいずれもそのサーバー自身のドメインに属していない場合でも、あらゆる送信者からあらゆる受信者へメッセージを受け付けて転送するように設定されたメールサーバーです。

インターネットの黎明期には、メールサーバーがメッセージを自由に受け渡すよう設計されていたため、オープンリレーは一般的でした。しかし今日では、この設定は重大なセキュリティ上の脆弱性です。スパム送信者や攻撃者はオープンリレーを悪用して大量の未承諾メールや悪意あるメールを送信し、多くの場合、キャンペーンの真の発信元を隠します。

その結果、最新のメールサーバーの大半はクローズドリレーとして設定されており、認可されたユーザーやドメインからの送信メッセージのみを受け付けます。

オープンリレーの仕組み

オープンリレーは、インターネット上の誰もがそのサーバーをメール配信の仲介役として利用することを許してしまいます。たとえば次のような流れです。

1. スパム送信者がリレーに接続し、fakebank.com「から」victim@example.com 宛てのメッセージを送信します。
2. オープンリレーは送信者の認可を確認しないため、そのメッセージを受け付けます。
3. リレーはそれを受信者のメールサーバーへ転送し、正規の発信元から来たかのように見せかけます。

サーバーのIPアドレスが配信経路に現れるため、オープンリレーのドメインやIPはブラックリストに載ってしまうことが多く、送信者の評価を損ない、正規のメールが配信されなくなります。

オープンリレーは、次の目的にも使われます。

• 攻撃者の実際の所在地を隠す
• スパムやフィッシングのキャンペーンを展開する
• マルウェアや不正なコンテンツを送信する
• 基本的なフィルタリングを回避するなりすましメールを配信する

オープンリレーのリスク

オープンリレーを運用すると、お客様のドメインとネットワークが重大なリスクにさらされます。その影響には次のものがあります。

• 評価の毀損：お客様のIPアドレスやドメインが、GoogleやMicrosoftのような主要プロバイダーによってブラックリストに載る可能性があります。
• 到達性の低下：組織からの正規のメールでさえ、ブロックされたりスパムへ送られたりすることがあります。
• リソースの悪用：攻撃者がメールサーバーに過負荷をかけ、パフォーマンスの問題やサービス停止を引き起こす可能性があります。
• 法的リスク：一部の法域では、オープンリレーを許容したり、その安全確保を怠ったりすることに罰則を科す場合があります。

管理者は、telnet、nmap、または専用のオンラインリレーチェッカーなどのツールを使ってオープンリレーの脆弱性をテストし、メールサーバーが認可されていない送信者を拒否することを確認できます。

オープンリレーとDMARCeye

DMARCeyeは認証の可視性（SPF、DKIM、DMARC）に注力していますが、オープンリレーの問題は、DMARCレポート内の異常な送信活動を通じて間接的に現れることがよくあります。

お客様のドメインのIPアドレスが、認証されていない、あるいは失敗しているトラフィックを異常に大量に示している場合、次のことを示唆している可能性があります。

• インフラ内のメールサーバーが、オープンリレーとして誤って設定されている。
• 認可されていないシステムが、お客様に代わって送信している。

DMARCeyeは、メッセージがどこから発信され、認証チェックでどのような結果を出すかを可視化することで、これらのパターンを明らかにするのに役立ちます。このデータを関連付けることで、リレーの悪用が到達性や信頼を損なう前に、それを素早く特定して停止できます。

DMARCeyeの無料トライアルに登録して、メールドメインを保護しましょう。

DMARCおよび関連用語について詳しくは、DMARCeye用語集をご覧ください。