情報処理推進機構（IPA）は26日、自身のメールアドレスを送信元としたなりすましメールが、友人や知人宛てに送信されているという相談が多数寄せられているとして、注意を呼びかけた。
IPAの「安心相談窓口だより」によると、なりすましメールは、フリーメールサービスの自身のメールアドレスから、受信トレイにあるメールの送信元アドレス宛てに送信されている。ログイン履歴を調べても不審な記録はなく、パスワードを変更しても送信が止まらないという特徴が見られるという。
以上の状況からは、自身のメールアドレスと友人・知人のメールアドレスがセットで盗まれ、なりすましメールを送信されているだろうことが推察される。可能性としては、自身のメールアカウントへの不正ログインや、マルウェア（ウイルス）などによる端末からの流出が考えられるが、被害状況やネット上で報告されている同種の報告の傾向からは、何者かがメールソフトを使ってYahoo!メールに侵入し、メールボックスのメールからアドレスを盗み出した可能性が高い。
具体的なサービス名は公表していないが、IPAも同様の見解を示しており、別のメールサーバーを使ってなりすましメールを送信しているため、被害者にとって事後の対策が困難になると指摘。推測が容易なパスワードは避けて複雑なものにし、パスワードの使い回しをしないといった適切なパスワード管理による予防が重要だとしている。
こうした被害が発生してしまった場合には、これ以上の不正ログイン被害を防止するために、まずパスワードを変更する。今回の事例では、なりすましメールの送信を抑止することはできないため、被害にあったメールアドレスを変更し、変更後に友人・知人に対して変更前のアドレスを迷惑メールとして処理してもらう等、受信者側での対処を依頼する。メールアドレスの変更が困難な場合は、件名や本文に特定の文字を記入する等の共通ルールを事前に決め、友人・知人に知らせて判別してもうといった事後対策を紹介している。詳しくは、「安心相談窓口だより」をご確認いただきたい。
■Yahoo!メールのセキュリティ
ネット上では最近、Yahoo!メールでこのような不正ログイン被害を受けたとの報告が多数投稿されているので、同サービスを利用する上での注意点を補足する。IPAは言及していないが、被害状況から同サービスである可能性が高い。
Yahoo!のサービスには、表に出ることのある本来のIDとは別に、ログイン専用のIDを設定する「シークレットID」や、ログイン時に通常のID/パスワードに加え使い捨ての暗証番号の入力が必要となる「ワンタイムパスワード」、ログインすると指定したメールアドレス宛に通知が来る「ログインアラート」、ログインを試みた日時やサービス名を記録する「ログイン履歴」といった、有用なセキュリティ機能が用意されている。「ログイン履歴」以外はオプション機能だが、より高い安全性を確保できるので積極的に活用したい。
注意しなければいけないのは、Yahoo!メールを「POP」や「IMAP」という機能を使ってメールソフトからアクセスした場合には、一部が機能しない点だ。具体的には、「ワンタイムパスワード」を設定していても要求されないため、ID/パスワードだけでアクセスされてしまう。「ログインアラート」は送信されず、「ログイン履歴」にも記録されない。現時点では、GMailのようにこれら機能を無効にできないようなので、長くて複雑な強いパスワードで守るしかない。
Webメールを利用されている方は、「Yahoo!デリバー」を未登録状態にしておくと、不正ログインを察知できるかも知れない。「Yahoo!デリバー」は、同社や同社提携先の広告メールを配信するサービスで、Yahoo!メールをPOP/IMAPで利用すると、そのメールアドレスが自動登録される。POP/IMAPを利用していないのにYahooデリバー自動登録のお知らせが来たり、同社からの広告メールが届くようになったりしたら、不正ログインの可能性があるということになる。自身がPOP/IMAPを利用している場合には、自身のアクセス時に登録されてしまうため、この方法では不正ログインを検知できない。
（2016/07/28 ネットセキュリティニュース）
【関連URL】
・安心相談窓口だより：パスワードの使い回しなどが原因の新たな手口と被害を確認（IPA）
http://www.ipa.go.jp/security/anshin/mgdayori20160726.html