迷惑メールの詳細ヘッダの意味を教えてください

本日、アマゾンアカウントが停止したという迷惑メールが送られてきました。

詳細ヘッダを確認したところ、以下のような経路でメールが転送されてきたようです。

①メール送信端末
↓
②インドネシアにあるメールサーバ
↓
③グーグルのメールサーバ
↓
④ヤフーのメールサーバ

なのですが、②から③へメールを送信する際に、グーグルのメールサーバで3重位の送信元確認をしているようなのですが、潜り抜けて来ているように見えます。（google.comだと認識している？？）

どうして上記のような事になっているかわかる方がいらっしゃいましたら教えていただけないでしょうか？

Received-SPF: none (mail-pj1-f100.google.com: domain of postmaster@warolamik.com does not designate permitted sender hosts)
Message-ID: <5f3445af.1c69fb81.85d82.878fSMTPIN_ADDED_MISSING@mx.google.com>
MIME-Version: 1.0
From: "Amazon.co.jp" <no-reply@accounts.google.com>
To: ○○@yahoo.co.jp
Priority: urgent
Importance: high
Date: 13 Aug 2020 02:40:53 +0700
Subject: =?utf-8?B?44GC44Gq44Gf44Gu44Ki44Kr44Km44Oz44OI44Gv5YGc5q2i?=
 =?utf-8?B?44GV44KM44G+44GX44Gf?=
Content-Type: text/html; charset=utf-8
Content-Transfer-Encoding: 7bit
Content-Length: 19949

あと、この部分がfromのキーワードがないのですが、このような事が可能なのでしょうか？

Received: by mail-pj1-f100.google.com with SMTP id c6so1642436pje.1
for <○○@yahoo.co.jp>; Wed, 12 Aug 2020 12:40:32 -0700 (PDT)

以上です。

otn

2020/08/13 07:07

コードは、 ``` という行と ``` という行で上下に挟んで下さい。

scsi

2020/08/13 08:42

3重位の送信元確認をしているというのは何処を確認してそう判断されましたか？

tamina

2020/08/13 09:35

DKIM-Signature: i=1; mx.google.com; dkim=pass header.i=@google.com ■DKIMは電子署名を使った送信元確認の仕組みだと思っています。 header.s=20161025 header.b="ljhB/8dk"; spf=pass (google.com: domain of 3krc0xxmkcigehw-eggsyrx-rsvitpcksskpi.gsqjeenvm.kkpkqemp.gsq@scoutcamp.bounces.google.com designates 209.85.220.69 as permitted sender) ■spfもIPアドレスを用いた送信元確認の仕組みと思っています。 smtp.mailfrom=3KRc0XxMKCigEHW-EGGSYRX-RSVITPcKSSKPI.GSQJEENVM.KKPKQEMP.GSQ@scoutcamp.bounces.google.com; dmarc=pass (p=REJECT sp=REJECT dis=NONE) header.from=google.com ■dmarcも何かの送信元確認の手法だと思います。

行動規範の内容に同意します

回答2件

時間が取れたので、調査した結果を書いておきます。

基本メールの情報はテキストベースです。
そのため、ヘッダ情報は悪意のあるサーバで自由に編集することが可能。

そのため、信用できる情報は、自分が使用しているメールサーバの追記したヘッダ情報のみとなるようです。
この場合、ヤフーのメールサーバは変なことを書かないと思われるので、ここだけ信用できる情報と考えられます。

そして、ヤフーのメールサーバで送信元認証がエラーが出ている。
相手の申告しているIPアドレスと実際のIPアドレスが異なっていることから
不審なサーバから受け取っている可能性が高いと考えられる。

また、ほとんどのメールはダイレクトで相手のメールサーバに届くため、
4ホップくらいしているメールのヘッダ情報は怪しい。

つまり、私が疑問に思っていた個所は、悪意のあるサーバが適当に作成した偽の情報である可能性があります。

投稿2020/08/30 15:31

tamina

総合スコア136

ベストアンサー

180.246.151.75 から smtp-relay.gmail.com を SMTPサーバとして使って
Header の From を no-reply@accounts.google.com, Envelope From を postmaster@warolamik.com として
○○@yahoo.co.jp 宛にメールを送った感じですかね。

smtp-relay.gmail.com は gsuite で使用できる relay サーバっぽいので
gsuite に登録すれば認証なしで smtp-relay サーバとして使用できるのかもしれませんね。

yahoo の検証では spf,dkim,dmac など失敗しています。

多分、下記で spf,dkim,dmarc が pass していると思ったと思いますが、
DKIM-Signature の形式がおかしい気がします。

Header
1DKIM-Signature: i=1; mx.google.com;       dkim=pass header.i=@google.com
2 header.s=20161025 header.b="ljhB/8dk";       spf=pass (google.com: domain
3 of 3krc0xxmkcigehw-eggsyrx-rsvitpcksskpi.gsqjeenvm.kkpkqemp.gsq@scoutcamp.bounces.google.com
4 designates 209.85.220.69 as permitted sender)
5 smtp.mailfrom=3KRc0XxMKCigEHW-EGGSYRX-RSVITPcKSSKPI.GSQJEENVM.KKPKQEMP.GSQ@scoutcamp.bounces.google.com;
6       dmarc=pass (p=REJECT sp=REJECT dis=NONE) header.from=google.com

検証結果は通常 Authentication-Resultsに記述されます。
180.246.151.75 が上記ヘッダーを送信時に勝手に追加して送信しただけかもしれません。

spf,dkim,dmarc は送信元確認をする仕組みですが、
確認情報をヘッダに記述するだけのところも多いのでメールが宛先に届くことよくあります。

投稿2020/08/13 23:20

編集2020/08/13 23:45

scsi

総合スコア2840