スパムとは、受け手の同意なく一方的に送信・投稿される、迷惑メールやメッセージなどの総称です。
かつてはメールで届くものが大半でしたが、現在ではSMSやSNSのDM、Webフォームへの自動投稿など、送信・投稿される経路は広がり続けています。加えて、法人にとってはスパムの被害を受けるだけでなく、自社サイトの脆弱性やフォームの設定不備を悪用され、スパム送信の踏み台にされるおそれもあります。守るべき範囲は想像以上に広いため、まずは全体像を把握することが大切です。
本記事では、スパムについて以下の内容を解説します。
- スパムの概要
- スパムの主な種類
- スパムがもたらす被害・リスク
- スパムの被害を防ぐ基本対策
本記事を読むことで、スパムの全体像と、被害者・加害者の両面から押さえるべき対策がわかります。自社サイトの弱点をチェックできるツールも紹介しているので、セキュリティ対策を強化したい企業の方はぜひご一読ください。
スパムとは？
スパムとは、受け取る人の意向を無視して、無差別かつ大量に送信・投稿される迷惑メールやメッセージなどのことです。以前はメールが中心でしたが、近年はSMSやSNSのDM、Webフォームなど、送信・投稿される経路が多様化しています。
なお、スパムという呼び名は、缶詰の「SPAM」をネタにした海外コメディが語源と言われています。
法人の場合、スパムを受け取る（被害者になる）だけでなく、自社のWebサイトが乗っ取られたり、フォーム機能を悪用されたりして、スパムの発信元や誘導元にされる（加害者になる）リスクがある点に注意が必要です。単なる迷惑行為だと放置せず、社内の受信環境とWebサイトの両面から、適切なセキュリティ対策を講じることが求められます。
スパムの主な種類
スパムにはさまざまな種類がありますが、大きく以下の2つに分けられます。
- 受信するとリスクがあるスパム
- Webサイトや検索エンジンを悪用するスパム
それぞれの特徴を理解しておくと、自社が備えるべきポイントが見えてくるでしょう。
受信するとリスクがあるスパム
メールやSNSを通じて届くスパムは、受け取った側がリンク先で情報を入力したり、不審なファイルを開いたりすることで被害につながるおそれがあります。代表的なものとして、以下の2つが挙げられます。
スパムメール
もっとも身近なスパムが、メールで無差別に送られてくる迷惑メール、いわゆるスパムメールです。単なる広告・宣伝メールだけでなく、本物そっくりの偽サイトへ誘導してIDやパスワードを盗む「フィッシング」や、ウイルスを仕込んだファイルが添付されているケースも少なくありません。
さらに近年は、スパムメールやフィッシングに関連する脅威として、取引先や経営者になりすまして送金を指示する「ビジネスメール詐欺（BEC）」にも注意が必要です。
一見しただけでは正規の案内と見分けがつかないこともあるため、不用意にリンクを開いたり、ファイルをダウンロードしたりしないよう注意しなければなりません。
SNSスパム
X（旧Twitter）やFacebook、Instagram、LINEなどのSNS上で送られてくるスパムも増えています。DMや投稿のリプライ、コメント欄を通じて、偽のキャンペーン情報や外部サイトへのリンクを送りつけてくる手口が代表的です。
さらに、友人や知人のアカウントが乗っ取られ、本人を装ってメッセージが届くパターンもあります。魅力的な言葉で誘われても、不審なリンクや不自然な日本語のメッセージには安易に反応しないようにしましょう。
Webサイトや検索エンジンを悪用するスパム
自社のWebサイトが狙われ、スパムの発信元や誘導元として利用されてしまうケースもあります。受信するスパムとは異なり、気づかないうちに加害者側に回ってしまう点に注意が必要です。
コメントスパム・フォームスパム
コメントスパム・フォームスパムは、自社のブログやコラムのコメント欄、あるいはお問い合わせフォームに対して、プログラム（bot）が自動で大量に投稿してくるタイプのスパムです。主に、特定の商品の宣伝や詐欺サイトへの誘導リンクが勝手に書き込まれます。
このような書き込みを放置すると、自社サイト全体の信頼性が大きく低下しかねません。それだけでなく、コメント欄のリンクを通じて閲覧者を危険な外部サイトへ誘導してしまったり、フォームの自動返信機能を悪用されて第三者への大量スパム送信の「発信元」にされたりするなど、気づかないうちに加害者になるおそれもあります。
Webサイトの改ざんによるSEOスパム・SEOポイズニング
自社サイトの脆弱性を突かれて中身を書き換えられ、スパム用のページや不審なリンクを埋め込まれるケースもあります。サイトの管理者でも気づきにくいため、発覚が遅れるケースが少なくありません。
このような改ざんは、検索順位を不正に操作する「SEOスパム」に悪用されることがあります。SEOスパムとは、改ざんされたWebサイトに不審なリンクやページを埋め込み、攻撃者が評価を高めたいサイトを検索結果で上位表示させようとする手口です。
また、改ざんされたページが検索結果に表示されることで、ユーザーを悪質な外部ページやマルウェア感染サイトへ誘導する「SEOポイズニング」に悪用されることもあります。信頼のある正規サイトが誘導元として悪用されるため、検索ユーザーが不審なサイトだと気づきにくい点にも注意が必要です。
これらを放置していると、検索順位の低下や検索結果からの除外といった不利益を被るだけでなく、閲覧者を危険なサイトへ誘導してしまい、自社サイトの信頼低下につながるリスクがあります。
スパムがもたらす被害・リスク
スパムによる被害は、大きく以下の2つの観点で整理できます。
- 被害者になるリスク｜マルウェア感染・金銭的損害が発生する
- 加害者になるリスク｜攻撃の踏み台にされる
自社を守るために、どちらのリスクもしっかり把握しておきましょう。
被害者になるリスク｜マルウェア感染・金銭的損害が発生する
スパムによって引き起こされる重大な被害の一つが、マルウェアへの感染です。メールの添付ファイルを開いたり、本文中の不正なリンク先で情報を入力したり、不審なファイルを実行したりすることで、使用しているパソコンやスマートフォンが乗っ取られるおそれがあります。
その結果、端末内の大切なデータが破壊されるだけでなく、個人情報や社内の機密情報が外部へ流出しかねません。企業の場合、顧客情報の漏えいにまで発展すれば、損害賠償の発生や社会的信用の失墜といった深刻な事態を招くことにつながるでしょう。
また、マルウェア感染だけでなく、巧妙な手口で情報や金銭を直接だまし取られる危険性も潜んでいます。例えば、実在する企業やサービスにそっくりな偽サイトへ誘導し、ログイン用のIDやパスワード、クレジットカード情報などを入力させて盗み取る手口が代表的です。
法人を狙ったものとして、取引先や社内の経営層になりすまし、送金先の口座変更を指示して現金を騙し取る詐欺も多発しています。少しでも不審な点があれば電話などで直接本人に確認をとるなど、被害を防ぐためには慎重な行動をとらなければなりません。
加害者になるリスク｜攻撃の踏み台にされる
スパムや脆弱性の悪用をきっかけに社内の端末やサーバー、Webサイトが乗っ取られると、自社が次のサイバー攻撃の出発点、いわゆる「踏み台」として悪用されることがあります。その結果、自社のメールアドレスやWebサイトを通じて、第三者に向けた大量のスパム送信や、悪質サイトへの誘導に悪用される事態になりかねません。本来であれば自社も攻撃を受けた被害者であるはずなのに、情報管理の甘さを指摘され、加害者としての責任を問われる場合もあるでしょう。
特に、Webサイトに設置された問い合わせフォームの悪用や、システムの弱点を突いたサイトの乗っ取りには十分な注意が必要です。サイトの中身を改ざんされて偽の入力画面や不審なリンクをこっそり設置されるなど、作りの甘い部分や古いまま放置された箇所は攻撃の入り口になってしまいます。無関係な人々を巻き込む事態を防ぐためにも、定期的なシステムの保守や見直しを行いましょう。
スパムの被害を防ぐ基本対策
スパムへの対策は、以下の2つの観点から進める必要があります。
- 【受信対策】被害者にならないための社内対策
- 【踏み台対策】加害者にならないためのWebサイト対策
ご紹介するのは基本的な対策のため、実施していないものがあれば取り入れることを検討してみてください。
【受信対策】被害者にならないための社内対策
スパムメールやSNSスパムを受け取った際に、社員が被害に遭わないようにするための対策を行いましょう。ツールによる自動的な防御と、人の判断力を高める教育の両方を組み合わせることがポイントです。
スパムフィルターやセキュリティ製品を使う
スパムの被害を防ぐための第一歩として、メールサーバーやセキュリティソフトに備わっているフィルター機能を活用するのが効果的です。この機能を有効にしておくと、送信元の情報や文面の特徴から怪しいメールを自動でより分け、専用の迷惑メールフォルダへ振り分けてくれます。従業員が誤って危険なメールを開いてしまうリスクも大幅に減らせるでしょう。
また、手口が巧妙化している近年では、基本的なフィルター機能だけではすり抜けてしまうスパムも存在します。そのため、最新の脅威に対応できる法人向けのセキュリティ製品を導入しましょう。システム側で不審な動きをブロックする仕組みを整えておけば、万が一悪意のあるリンクをクリックしてしまった場合でも、被害を抑えやすくなります。
社員へのセキュリティ教育・社内ルールづくりを行う
フィルターやセキュリティ製品だけでは、すべてのスパムを防ぎきることはできません。最終的にメールを開くかどうかを判断するのは社員自身であるため、一人ひとりのセキュリティ意識を高める取り組みが重要です。
まずは、スパムの見分け方を社内に周知しましょう。送信元アドレスが不自然ではないか、本文に怪しいURLや添付ファイルがないか、宛名が「お客様」など不特定多数向けの表記になっていないかなど、チェックポイントを具体的に共有しておくと判断がしやすくなります。
あわせて、不審なメールを受け取った際の報告フローを整えておくことも欠かせません。「誰に・どのように報告するか」が曖昧なままだと、対応が遅れたり、社員が自己判断でメールを開いてしまったりするリスクが高まるためです。
基本のルールとして、「少しでも怪しいと感じたら開かずに社内の担当者へ確認し、指示があるまで削除も転送もしない」というフローを徹底するのが効果的です。定期的に訓練メールを送るなど、実践的な教育を継続すると、組織全体の対応力を底上げできます。
【踏み台対策】加害者にならないためのWebサイト対策
自社のWebサイトやシステムの弱点を突かれ、スパムの発信元にされることを防ぐための対策も欠かせません。ソフトウェアの管理から認証の強化、定期的な診断まで、複数の取り組みを継続して実施することが重要です。
ソフトウェアやシステムを最新の状態に保つ
サイバー攻撃の多くは、OSや古くなったソフトウェアの脆弱性を狙って仕掛けられます。そのため、メーカーから提供される修正プログラムを適用し、各種システムを常に最新の状態へ更新しておくことが大切です。
注意したいのが、Webサイトの構築でよく使われるWordPressなどのCMSや、機能を拡張するプラグインの管理です。利用者が多い分攻撃の標的にもなりやすく、古いバージョンのまま放置されているとサイト改ざんの入口になるケースがあります。被害を未然に防ぐためにも、更新の通知が来たら後回しにせず、速やかにアップデートしましょう。
管理画面やログイン機能の認証を強化する
自社サイトの管理画面や従業員のアカウントに不正ログインされると、サイトを乗っ取られてスパムの送信元として悪用される危険性が高まります。こうした事態を防ぐためには、認証機能を強化して第三者の侵入を許さない仕組みづくりが欠かせません。
対策として、名前や生年月日といった推測されやすい文字列は避け、長く複雑なパスワードを設定しましょう。パスワードの入力に加えて、認証アプリやセキュリティキーなどを組み合わせる「多要素認証」の導入も有効です。
あわせて、問い合わせフォームやコメント欄には、botによる自動投稿を防ぐ「reCAPTCHA」などのbot対策機能を導入することも、フォームスパム対策として有効です。
セキュリティの壁を二重、三重に厚くしておくことで、不正アクセスのリスクを下げられます。
ASM・脆弱性診断を実施する
自社のWebサイトに弱点がないかを把握するうえで有効なのが、ASMと脆弱性診断です。
ASMは、組織の外部からアクセスできる自社のIT資産を洗い出し、攻撃に悪用されうる箇所を管理するプロセスです。未使用の問い合わせフォームや古いまま残っているページ、把握できていないサブドメインや公開サービスなどを発見できます。
脆弱性診断では、WebサイトやWebアプリケーションにセキュリティ上の欠陥がないかを検査します。悪用される前に修正すれば、Webサイトの改ざんやスパムの踏み台化を防ぎやすくなります。サイトの改修や新規ページの公開のたびに新たな弱点が生まれる可能性があるため、一度きりではなく継続的に実施しましょう。
▼関連記事
ASM（Attack Surface Management）とは｜4つのプロセスとAI活用法
自社サイトをスパムの踏み台化から守る「AeyeScan」
専門のセキュリティ人材を確保するのが難しかったり、外部委託だけでは診断頻度やコスト面に課題がある場合は、クラウド型Webアプリケーション脆弱性診断ツール「AeyeScan」が役立ちます。AIを活用してWebアプリケーションの脆弱性診断を自動で行い、見つかった弱点とその修正方法をわかりやすくレポートするのが特長です。専門知識がなくても運用できるため、診断の内製化やコスト削減にもつながります。
24時間いつでも必要なタイミングで診断を実行でき、サイトの改修や新規ページの公開前にスピーディーにチェックすることも可能です。スパムの踏み台にされるリスクを減らすために、まずはAeyeScanで自社サイトの弱点を定期的に確認してみてください。
まとめ｜スパムの被害者・加害者にならないためにWebサイトの対策をしよう
スパムはメールだけでなく、SNSやWebフォームなど、送信・投稿される経路が多様化しています。法人にとってはマルウェア感染や金銭的被害といった「被害者になるリスク」と、自社サイトが踏み台にされる「加害者になるリスク」の両方に備える必要があります。
対策としては、フィルターの導入やセキュリティ教育による「受信対策」と、ソフトウェアの更新・認証強化・脆弱性診断といった「Webサイトの弱点対策」の両輪で進めることが重要です。スパムによる被害を防ぐために、必ず両方の対策を実施しましょう。
AIを活用したクラウド型Webアプリケーション脆弱性診断ツール「AeyeScan」は、専門知識がなくても手軽に社内でWebサイトの弱点を把握し、修正対応につなげることができます。スパムの踏み台にされる前に、まずは自社サイトの安全性をチェックしたい方は、お気軽にお問い合わせください。
著者：榊原敦子（シニアカスタマーマーケティングマネージャー）
