MAILER-DAEMONから大量のメールが届く

Question

自分が契約しているレンタルサーバのMAILER-DAEMONから大量のfailure noticeメールが届きます。
現在進行中で、1日に4000通程度になっています。
利用しているアカウントはサーバのメインメールアカウントではありません。
また、ホームページ上にそのアドレスは一切表示していませんが色々なwebサービスで利用しています。(懸賞等)

素人的考えですが…
「送信元を偽装して私のアカウントに設定してある(?)→送り先が存在しないから、送り先無いよメールが私の所に届く」
と言う感じに見て取れるのですが…

以下、内容です。

From: MAILER-DAEMON@【利用しているレンタルサーバの契約番号とレンタルサーバのドメイン(契約名とします)】
Sent: Saturday, December 13, 2014 2:18 AM
To: 【問題のメールアドレス(メルアドとします)】
Subject: failure notice

Hi. This is the qmail-send program at 【契約名】
.
I'm afraid I wasn't able to deliver your message to the following addresses.
This is a permanent error; I've given up. Sorry it didn't work out.

<[e-mail]>:【注1ここから】
103.7.30.40 does not like recipient.
Remote host said: 550 Mailbox not found. 
http://service.mail.qq.com/cgi-bin/help?subtype=1&&id=20022&&no=1000728
Giving up on 103.7.30.40.【注1ここまで】

--- Below this line is a copy of the message.

Return-Path: <【メルアド】>
Received: (qmail 9728 invoked from network); 13 Dec 2014 02:18:57 +0900
Received: from unknown (HELO microsoft.com) (106.117.51.186)
  by 【契約名】with ESMTPSA (DHE-RSA-AES256-SHA 
encrypted, authenticated); 13 Dec 2014 02:18:54 +0900
Date: Sat, 13 Dec 2014 01:18:43 +0800
From: =?utf-8?B?6YCa55+l?= <【メルアド】>
To: <[e-mail]>
Subject: 
=?utf-8?B?6Kqg6YKA5oKo55qE5Yqg5YWlLea+s+mXqOWoseS5kOWfji3kvJjmg6DnrYnnnYDmgqg=?=
Message-ID: <20141213011854786770@【利用中ドメイン】>
X-mailer: Foxmail 6, 13, 102, 15 [cn]
Mime-Version: 1.0
Content-Type: multipart/alternative;
boundary="=====003_Dragon685442414446_====="

This is a multi-part message in MIME format.
～多分ここからメール本文～

http://service.mail.qq.com/cgi-bin/help?subtype=1&&id=20022&&no=1000728
からスパムを大量に発送して、送信元を私のメールアドレスに偽装しているようにも思えるのですが違うでしょうか?

注1のメールアドレス部分は毎回違います。また、その部分が以下のようになっている物もあります。

<[e-mail]>:
220.181.14.139 does not like recipient.
Remote host said: 550 User not found: [e-mail]
Giving up on 220.181.14.139.

<[e-mail]>:
220.181.14.132 does not like recipient.
Remote host said: 550 User not found: [e-mail]
Giving up on 220.181.14.132.

これをどうにかして止めることは出来ないでしょうか?
メールアドレスばれしているから止めようがない(?)=アカウントを破棄するしか方法がなさそう、でしょうか?
もし、サーバの方で何か設定することで改善できるようでしたら、どのような情報を提示したら良いかの指示もお願いします。

Answer 1

エラーメール(bounce mail)が自身の管理外のメールサーバー(MTA)から送られてくるのであれば、勝手に From を偽装していると考えられますが、このケースは

• 自身の契約サーバーから bounce mail が送信されている
• 元メールの Received ヘッダから、外部(106.117.51.186)から本サーバーを経由している

ことから、オープンリレーになっているものと思われます。
http://www.rbl.jp/svcheck.php などで検査し、問題があれば、MTA(qmail)の設定を見直してください。

Comments

[terataka]

返答ありがとうございます。

初心者のため「オープンリレー」がどのような状態かわからず、ググってはみたのですがさらに意味が分からなくなり・・・w

http://www.rbl.jp/svcheck.php で今回問題発生したメールのドメインでチェックしてみました。
17.18番が「Skipped」になっていましたが、その他はすべて「relay NOT accepted!!」で、テスト結果は「全てのテストが行われました, no relays accepted.」になっていました。
問題は無いと言う事ですよね?(qmailに問題は無いという状態?)

他にどの部分をチェックしたら良いでしょうか?

[TaichiYanagiya]

オープンリレーでは無いようですね。失礼しました。
Received ヘッダを見直すと authenticated となっていますので、SMTP Auth で認証に成功しています。SMTP Auth のユーザー、パスワードが漏れてしまったのだと思います。

[terataka]

返答ありがとうございます。

>SMTP Auth のユーザー、パスワードが漏れてしまったのだと思います。
このメールアカウントのパスワードを変更すると言う事で良いでしょうか?

[TaichiYanagiya]

返事が遅れてすみません。
既にパスワードは変更されていると思いますが、

・他に被害はないか(例えば POP, IMAPでメールを盗み見られるなど)
・どこからパスワードが漏れたのか
・SMTP Auth が必要か、必要ならば接続元を制限できないか

など調査、検討されるとよろしいかと思います。

[terataka]

返答ありがとうございます。

パスワードを変更してみました。その後、現在までMAILER-DAEMONから大量のfailure noticeメールは届かなくなりました。
パスワードが簡単な物だったためどこかでばれてしまったのかもしれません。

とりあえずこれで様子を見てみたいと思います。