ここでは、架空のメールアドレス「taro@hitachiprius.ne.jp」宛に迷惑メールが届いたとして説明します。
架空のヘッダー情報を見ながら確認してみましょう。
実際にヘッダー情報を見てみると、文字や記号が多すぎてあまり見たくないという方が多いかもしれませんが、送信者の特定に必要なのは Received: 情報のみです。
※ この例では Received: が 3 つありますが、通過した経路によって数は加減します。
Received: は、このメールがどのようにサーバーを渡り歩いたか、という痕跡です。
サーバーを経由するごとに下から順に追加されるため、上図では、(1) が一番最初に経由した差出人に近いサーバー、(3) が最後に経由した受信者に近いサーバーであることがわかります。
さらに内容を見ていくと、「
Received: from X by Y」という情報がありますが、これは「
X というサーバーから Y というサーバー宛にメールが送られた」ということを意味しています。
まず、(1) の情報を見てみると、「mail.hogehoge.co.jp」というメールサーバーで処理されたことがわかります。
しかし、この部分の情報は迷惑メールの送信者のサーバーに関するものなので、嘘であることも多く、あまり意味はありません。
一方、(3) は、このメールの受け取り手の加入しているプロバイダ内での処理を表しており、送信者に関する情報は記載されていません。
最も確認すべき Received: は、「Received: from X by Y」の X 部分が未知の管理元で、Y の部分が自分の契約プロバイダになっている部分です。
上図では (2) がこれに当たり、
- 「taro@hitachiprius.ne.jp」宛のメールを
- 時刻「Tue, 1 May 2007 12:21:09 +0900 (JST)」に、
- 受信ホスト「maihost1.hitachiprius.ne.jp」が
- 送信ホスト「mail.mifty.ne.jp (spam.yahho.co.jp [555.666.777.888])」から受け取った
と読み取ることができます。
この送信ホストにある IP アドレス (上図では「555.666.777.888」) を、ドメイン名登録情報検索サービスで調べると、送信元サーバーの管理元がわかるのです。
ドメイン名登録情報検索サービスは多々ありますが、ここでは、以下のサービスを挙げておきます。