PDF、ZIP添付のスパムメールが拡大中、トレンドマイクロが警告

　トレンドマイクロは、２７日の発表のウイルスニュースの中で、業務でよくやりとりされるＰＤＦやＺＩＰファイルを添付した、新たな手法のスパムメールが広まっているとして注意を呼びかけた。同社によると、背景には、スパムメール配信業者の暗躍があるという。

　望まない広告の大量配信に端を発するスパムメールは、初期投資の低さから還元率の高いビジネスとして多くの配信業者を生んでおり、同時に、スパムメールをブロックしようとする利用者の動きから逃れようとさまざまなテクニックも生み出している。

　２００６年ごろから、本文の内容をテキスト文字から画像に置き換える「画像スパム」が流行しはじめた。メール本文の内容を解析しスパムメール判定を行う（キーワードマッチング型）対策製品にとって、画像スパムはしばらくの間大きな脅威となっていたが、対策製品側は、複数の技術を用いることでフィルタリング精度を高めており、画像スパムの有効性は次第に衰えている。このような状況でスパムメール配信業者が打開策として発展させたテクニックが「添付ファイル（ＰＤＦ／ＺＩＰファイル）型スパムメール」という。

　２００７年６月ごろから、告知したい内容をＰＤＦファイルとしてメールに添付するスパムメールが登場。ＰＤＦファイルはアドビシステムズ社が規格を制定し、オープンなファイルシステムとして広く知られているファイルフォーマット。日本国内でも官公庁の各種書類のフォーマットとして採用されるなど、幅広く利用されているため、ＰＤＦファイルは、業務への支障を考慮すると簡単にはブロックできない。

　さらに、２００７年７月ごろ頃からは、新たにＺＩＰファイル型スパムメールが登場してきた。ＺＩＰファイル型スパムメールは、Ｅｘｃｅｌファイルに告知したい内容を記載して、それをＺＩＰファイルで圧縮してメールに添付する手法。ＺＩＰファイル型スパムメールが意図することは、ＰＤＦファイル型スパムメールと同様で、企業で使用を許可しなくてはならないファイルフォーマットを採用することで、対策製品によるブロック率の低下を期待している。

　トレンドラボの調べでは、２００７年６月下旬における添付ファイル型スパムメールの占める割合は全体の５％に上っている。新たな傾向として、従来のスパムメールの広告告知目的から、株価操作（Ｐｕｍｐ−ａｎｄ−Ｄｕｍｐ）へと目的が変わってきているという。

　スパムメール配信業者は、格安銘柄を大量購入し、特定企業の業績に関する偽の情報の配信を行う。偽の情報により吊り上がった株価で売り抜けを行うことで従来よりも高い利益を得ることに成功しているという。添付ファイル型スパムメールは、本文には文書記載があり、ランダムな件名・添付ファイル名が使われ、添付されるファイルの内容もその都度変更されることがある。その結果、スパムメール対策製品による検出をより一層困難なものへと進化させ、その流通量を増やしている。さらに、従来のスパムメールに比べ、比較的容量が多くなっており、不要なメールを受け取るという脅威以外にメール遅延などネットワークへの影響も高まっている。

　トレンドマイクロでは、いち早くこれら新しい攻撃手法に対応。添付されたファイルを開くことなく内容解析を行い、スパムメール判定を可能にし、ＺＩＰファイル（Ｅｘｃｅｌファイル）についても、不正なマクロなどが付与されているような場合に、その検出に対応している。今後は、ヒューリスティック技術でスパムメール傾向を学習し、その属性をスコアリングすることも強化していく方針。