巧妙化するスパムメール：Microsoftが警告する「ASCIIスマグリング」の脅威とは？

Microsoftによると、最近のメールスパム送信者が「ASCIIスマグリング（ASCII smuggling）」という高度な手法を悪用していることが明らかになりました。この手法は、HTMLメールのタグ内に難読化した文字を潜り込ませることで、メールセキュリティフィルターの検知を回避し、悪意のあるリンクへユーザーを誘導するというものです。防御をすり抜ける巧妙な手口ですので、システム管理者やセキュリティ担当者は警戒を強める必要があります。

テキスト文字列をレンダリングした結果、人間の目には読めなかったり、一目で意味がわからなくなったりするような仕様を「許容できる」と考えた奴は、完全な間抜けだよ。

ASCIIが制限付きだったことは理解しているけど、ASCIIの良いところは、すべての文字コードを完全に理解できて、あらゆるエッジケースを確実に処理するプログラムが書ける点なんだ。

スパムフィルターやLLMのプロンプトに読み込ませる前に、サニタイズ（無害化）してデノーマライズ（非正規化）するなり、何らかの処理をすればいいんじゃないか？

数年前、スパムがひどかった時期にGoogleのスパム対策の無能さに頭にきて、この問題を根本的に解決する方法を考えてみたんだ。

結論としてたどり着いたのはこれ：

• 自分の実際のメールアドレスを他人に教えないこと。すべてプロキシ経由にして、相手ごとに別々のアドレスを使うべきだ。理想を言えば、CSPRNG（暗号論的擬似乱数生成器）を使って十分な長さのアドレスを生成するのがいい。これなら「空間」的な意味での連絡元の追跡が可能になる。

• 可能なら定期的にアドレスをローテーションする。これで「時間」的な意味での追跡もできる。

これを組み合わせれば、変なメールが大量に届いた時に、どこから漏れたのか、いつ漏れたのか（意図的か過失かを問わず）が特定できる。そうすれば、ゴミと必要なメールを区別して、そのアドレスを完全に削除したり、相手に警告したりできるわけだ。

このアイデアにかなり惚れ込んでいて、なぜ長年この仕組みがプロトコルそのものに組み込まれてこなかったのか不思議でならない。誰でも簡単に使えるようにすればいいのに。

まあ、実際にやるのは大変だからな！ 数年経った今、俺はメール自体を読まないことでスパムを避けているよ……。

たまに思うんだが、フィッシング対策訓練の1ヶ月後に訓練メールにひっかかっている俺を見て、企業のIT部門はどう思っているんだろうな。

「Paypal」名義の somethingsomething@something.onmicrosoft.com からのスパムが何ヶ月も大量に届いているけど、Microsoft (outlook) は全く対処できていない。あいつらの能力を超えているみたいだな。

Microsoft自体がスパマーであり、スパム送信プラットフォームなんだから、これは単なる目くらましに過ぎないよ。

ありふれた名前@gmail.comを使っていると、フィルターをすり抜けてくるスパムより、以下のケースの方がよっぽど頻繁にあるね。
a) 自分が入力したわけでもないのに、ウェブサイトが勝手にメーリングリストに追加してくるケース
b) 他人が自分のメールアドレスを間違えて入力するか、一部を忘れているケース

これらは世界中から届く。南米の銀行口座情報、ディズニーの従業員の著作権使用料の税務書類、欧州のオンラインプラットフォームの登録情報、AWSのアカウント復旧オプション、スタジオシティの獣医の記録、マウンテンビューの私立学校・PTAのウェブサイトアクセス権まで、全部届くんだ。

開封せずに送り返すのはやめたよ、誰も気にしてないみたいだしな。

俺は馬鹿じゃないから、届いた情報を使って何か悪用することはないけど、みんな、ユーザーに登録させる前にちゃんとメールアドレスの本人確認をしてくれよ。

今のところの経験から言うと、スパムフィルターはスパムじゃないメールをブロックするくせに、スパムは大量に通してしまうんだよ。プラットフォームからの通知なんて全部スパムだ！ 登録した覚えがあっても、企業から連絡を受け取ることに同意しただけで、1日100通ものスパムを送られていいなんて一度も同意してないぞ。

緊急の通知じゃない限り、すべての通知を1日か1週間に1回のまとめメールにするべきだよ。そんなの難しいことじゃないはずだ！