MIMAIL送信者の特定

質問

社内にはMimail（mydoom）に感染しているＰＣが
見当たらないので、社外の感染ＰＣにて当社のアドレス
送信者にセットされメール送信されているようです。

blendやhelen等のように当社に関係ないアカウントで
送信しているだけでなく、社内に実際に存在する
アカウントを送信者にセットして送信しているので
受け取った側が当社からウィルスメールを送られたと
判断するかもしれないと思っています。

送信者に当社の実在するアカウントを使いメールを
送信している社外のＰＣor会社を特定することは
可能でしょうか？

回答No.1

noname#14035 · ベストアンサー

こんにちは。

>>送信者に当社の実在するアカウントを使いメールを送信している社外のＰＣor会社を特定することは可能でしょうか？
↓
結論から申し上げますね。

現実的にはほぼ不可能です。（刑事事件など、国家（警察）権力をもって計画的に捜査を実行する必要があるため、民間人にはマズ無理です。）

>>社内にはMimail（mydoom）に感染しているＰＣが見当たらないので、
↓
当たり前の話ですが、ここは徹底的に確認してください。

最新パッチをあててある状態で各PCを最新のウィルス定義ファイルで完全スキャンし、感染の有無を確認するのは当然のこと、可能であれば、「ネットワークモニタ」や「端末にインストールするパーソナル・ファイアーウォール」などを利用して、しばらくの間関連しそうなトラフィック（SMTPやワームが利用するポートや通信内容など）を監視するほうが賢明だと思います。

「うちは無関係だ！」とタンカを切った後に実は感染していた…、というケースもありますので…。（セキュリティー界の”カリスマ”といわれる方の回顧録に自分の失敗談として紹介されているのを読んだ事があります。）

さて、会社としての危機管理を考えた場合、ウィルスに関しては犯人を探そうとする行為は効果的ではありません。（これはもはやセキュリティー的な常道だと思います。）

現状のマス・メーリング型ワームなどは、感染先のPCに存在するありとあらゆるメール・アドレス（アドレス帳だけではなく、Webページのキャッシュ内もふくめ）を引っかき集めて偽の送信者として利用します。

ですから、真の送信者を特定するためには、「インターネットに出回っている全ての当該アドレス保持者を対象にする。」という規模の話になってしまうかもしれないわけです。

というわけで、下記の引用部分のような事態、
↓
>>受け取った側が当社からウィルスメールを送られたと
判断するかもしれないと思っています。
↓
これはいつでもあり得る事ですし、実際に頻発しています。

つまり、起こった後の効果的な対応を考えておくほうが現実的だということです。

送信者を貴社だと思い込んで怒鳴り込んでくる人は「鬼の首でもとったような臨戦状態」であることが多いと思います。

自社には「身に覚えのない事」である場合、感情的な対応（相手にとっては逆切れにうつる）をしたり、技術的な説明に終始してしまうと、さらに事がややこしくなりかねません。

このようなケースでは以下のようなポイントを抑えた”初期対応”が最も大切になってくると思います。（なお、これは自社の日常的な管理体制が行き届いていて、ある程度健康な状態に確信がもてる事が条件となります。）

＞まずは連絡をくれた事を感謝する旨を伝え、責任者に電話をかわった上で、冷静に「このような事態（第三者が自社の名前を語ること）はあり得ることなので、調査と事態解決にご協力いただけないか？」という申し出をする。
↓
＞当該ウィルス（メール）に関する情報を聞き出すとともに、可能であれば証拠保全（メールヘッダのコピーなど）を依頼する。（「証拠保全」は実際には必要ないかもしれませんが、「協力して解決を目指したい。」という誠意を見せるとともに、相手を落ち着かせる効果もあるはずです。
↓
＞自社内を再度徹底調査する旨を伝え、担当者の連絡先とともに折り返し連絡を確約する。
↓
＞再度自社の感染がないことを確認し、折り返し連絡を行い、状況を説明する。（今後おなじようなメールが来るようなら、連絡をお願いする。）
↓
＞このあとは、通常のクレーム対応と同じような流れになると思います。
↓
＞自社のメールアドレスが渡っていると思われる取引先や顧客などに事態を報告し、ウィルス感染の有無を確認して欲しい旨の通知を出す。（文面には注意が必要ですし、あくまで「お願い。」という論調が大切だと思います。）

結局のところ、根本解決は難しいことを相手にわかってもらう必要があるということですが、初期対応を適切に行う事で、事態の悪化は避けやすくなると思います。

加えて、カスタマー・センターの人間にもこのようなケースがあり得る旨を伝え、適切な対応をするように教育する必要もあるでしょう。

上記のような流れを実現するためにも、自社のセキュリティー対策を万全にして、健康な状態を保証してあげる事も大切でしょう。

そのためには、習熟度の高い管理者をおくか、セキュリティー・ベンダーなどへの委託（定期的な健康診断を含めて）を行う必要もあると思います。（畑違いの人間が片手間に対応という方法ではマズ無理だと思います。）

長文になりましたが、参考になれば幸いです。

それでは。

お礼

時間をとっていただき有難うございました。
非常に参考になりました。